- 課題
- 別の脆弱性診断ツールを活用していたが、ドメイン数に制限があり、複数サービスに同一水準の診断を実施できなかった。また、UIのわかりづらさや診断スピードにも課題を感じていた
- 導入
- ドメイン数制限がない点、APIの巡回・スキャン機能や充実したレポート、安心感のあるサポート体制などを総合的に評価し、AeyeScanの導入を決定
- 効果
- 複数サービスに対して脆弱性診断を行えるようになり、全社的なセキュリティ向上を実現。さらにレポートの精査・編集にかかる工数が削減され、業務効率化にも繋がっている
背景と課題
株式会社レスキューナウは、2000年の創業以来、24時間365日体制で自然災害やライフライン情報などの危機管理情報を収集・配信し、企業や自治体の危機管理をサポートするソリューションを提供している。
同社では以前まで外部の脆弱性診断ツールを活用していたが、複数サービスを運営しているにもかかわらず、診断ツールのドメイン数制限により、すべてのサービスに同一水準の脆弱性診断を実施することができなかった。また、大手企業との取引も多く、取引先からサービスの安全性を客観的に示すことが求められるケースも増えていた。
こうした状況を受け、全サービスを対象に脆弱性診断を拡大していくことが喫緊の課題となっていたという。
「以前まで活用していた診断ツールはドメイン数に制限があったため、主力サービスのみ診断を行うという運用でした。そこで、ドメイン数の制限なく診断を行えるツールを探し始めたことが、AeyeScan導入のキッカケでした」（株式会社レスキューナウ 事業開発本部 システム開発部 開発チームリーダー兼QAチームリーダー 竹内 和也 氏）
さらに、以前まで活用していた診断ツールには、UIがわかりづらいという課題もあった。たとえば、診断レポートのダウンロード方法が直感的でなかったり、診断レポートを見ても脆弱性の所在が把握しづらいといった点である。また、提供企業は国内であったものの、ツール自体は海外製であったため、問い合わせ対応に時間を要することも多かった。
こうした背景から、同社はドメイン数の制限を解消し、よりスムーズに脆弱性診断を実施できる体制を整えるべく、ツールの再検討に踏み切った。
ソリューションの選定
セキュリティ検査ツールの比較検討にあたっては、まずドメイン数制限の有無や、複数ドメイン運用時のコスト感を重視した。その上で、診断精度やレポートのわかりやすさなども総合的に評価していった。
「やはり、まずは複数ドメインに対して脆弱性診断を行えることが最優先でした。そのうえでトライアル導入を行ったのは、AeyeScanともう一社のサービスです。
トライアルでは、診断精度の信頼性、APIの巡回・スキャン対応、レポートのわかりやすさなどを重点的に比較しました」（竹内氏）
最終的には、診断精度やレポート品質、APIスキャンなどの多角的な評価を経て、同社が求める脆弱性診断が可能と判断し、AeyeScanの導入を決定した。決定する上では、サポート体制も決め手になったという。
「AeyeScanはサポートが手厚いことも魅力でした。問い合わせにすぐ返答がもらえるため、スピード感を重視する当社にとって大きな安心感がありました。
特に、以前までのツールは電話やメールでのコミュニケーションでしたが、AeyeScanではSlack上でやり取りができ、タイムラグなくこまめに連絡できる点も決め手となりました」（株式会社レスキューナウ 事業開発本部 システム開発部 QAチーム 遠藤 美貴 氏）
導入効果
AeyeScan導入後は、診断対象サービスの拡大に加え、さまざまな効果を実感しているという。
以前のツールでは、診断が予定より長引き、スケジュールが遅延することもあった。しかし、AeyeScanを使いはじめてからは、診断時間をある程度把握できるようになり、計画的なスケジュール進行が可能になった。
また、充実したレポート機能により、レポート作成の工数削減にもつながっている。
「以前のツールでは診断が1週間経っても終わらず、組んでいたスケジュールが遅延するということもありました。さらに診断レポートがわかりづらかったため、一度私たちでレポートを精査して編集するといった工数が発生していました。
AeyeScanに乗り換えたことで、スケジュール遅延はなくなり、レポートもどの部分にどういった脆弱性があるかがひと目でわかるようになりました。そのままエンジニアに渡せるため、レポートの精査や編集にかかる工数がなくなり、業務効率化という点でも導入メリットを感じています」（竹内氏）
さらに、ドメイン数の制限なく診断が可能になったことで、現場から「自分たちのサービスも診断を行いたい」という主体的な意見が生まれるようになった。社内のセキュリティ意識が高まったことも、AeyeScan導入によるポジティブな変化のひとつだという。
今後の展望
現在、レスキューナウは、さまざまな危機管理ソリューションを統合したオールインワンサービスの開発に取り組んでいる。現状は各サービスの開発状況に合わせた診断頻度となっているが、今後は定期的な脆弱性診断を行い、早期に脆弱性を発見・改修する体制を構築していく予定だ。そして、よりスピード感のある開発に取り組み、そのスピードに追従できる診断体制を整備していきたいと竹内氏は語る。
「現在はすべてのサービスに対して、最低でも年に一度の脆弱性診断を目標にしています。今後は四半期に一度、もしくはそれ以上の頻度で実施できる体制を構築し、より強固なサービス運営を実現していきたいと考えています。また、AeyeScanは定期的に機能改善が行われているため、今後の進化も大いに期待しています」（竹内氏）
「AeyeScanは診断精度が高く、サポート体制も非常に信頼できます。問い合わせにも迅速に対応してもらえるため、安心して利用できるサービスだと感じています。今後も継続的なアップデートによって、さらに良いサービスになっていくことに期待しています」（遠藤氏）
