エイチ・ツー・オー リテイリング、脆弱性管理を内製化　Tenable Oneで一元管理

　阪急阪神百貨店やイズミヤなどを傘下に持つエイチ・ツー・オー リテイリングは、年1回、外部に委託していた脆弱性の診断を内製化し、Tenableのサイバーエクスポージャー管理プラットフォーム「Tenable One」で、IT資産とセキュリティリスクを一元的に可視化している。グループ全体への可視化対象の拡大も進めている。評価の開始から本格稼働まで、約6カ月かかった。10月19日、Tenableが発表した。

　エイチ・ツー・オー リテイリングは、阪急阪神百貨店を中核に、イズミヤ、阪急オアシス、関西スーパーなどの食品小売ブランドから、商業施設の運営までを手がける、関西を代表する小売グループだ。DXを進め、顧客体験の向上と、ITインフラの近代化に注力する。情報セキュリティ推進部長の熊坂祐二氏は、お客さまの信頼を保護し、最も重要なデータを守りながら、DXによるサービスの変革を、安全に支える基盤の構築を使命に掲げる。

　課題は、オンプレミスからマルチクラウドまで、グループ全体でIT資産が多様化し、環境全体をリアルタイムに把握することが、難しくなったことだった。従来は、主に外部向けのシステムを対象に、脆弱性の評価を、毎年、外部に委託して行っていた。脅威が高まり、内部のシステムを含む、すべての資産で脆弱性を管理する必要が出た。内部システムには、非常に多くのIPアドレスがあり、従来のやり方では、コストがかかる。包括的な可視化とコストの最適化を両立するため、脆弱性管理を内製化し、プロセスを自動化することにした。

　要件は、外部アタックサーフェス（攻撃対象領域）の管理、Webアプリケーションのセキュリティテスト、プラットフォームの評価、IaaSのセキュリティ構成の評価を、別々のツールではなく、単一の統合プラットフォームで管理することだった。決め手は、ハイブリッドなマルチクラウド環境全体で、統一された可視性を提供できる点だ。インフラには、AWS、GCP、OCIのほか、オンプレミスのシステムもあり、それらを一つのプラットフォームで可視化できる。管理のサイロ化を防げることは極めて大きな利点で、緊急対応チームの意思決定を速め、ガバナンス全体を強められる。Tenableが、外部アナリストから高い評価を得ていた点も、品質への確信につながった。

　初期は、検出された大量の情報の整理が課題だったが、スコアリング機能を使い、優先順位の高い問題から対処する運用ルールを定め、運用チームの負担を抑えて、展開を進めた。以前は、検出された脆弱性すべてに、画一的に対処していた。今は、脆弱性優先度の格付け（VPR）などのAI機能で、実際の環境で悪用される可能性の高い脆弱性を、客観的に評価し、本当に注意が必要な分野に、リソースを集中できる。時点ごとの評価に頼らず、経年の変化を追跡できる継続的なモニタリングも整えた。

　熊坂氏によると、脆弱性の特定と修正の速度は、大きく向上した。脆弱性管理の内製化で、外部委託に使っていたコストを最適化でき、手作業のデータ収集に使っていた時間を、実際の修正に充てられる。経営層には、セキュリティのリスクを、客観的なスコアで報告でき、リスクの報告の透明性が高まった。各事業部門が、スコアで自らリスクを把握して、監視できる環境づくりも進め、課されるものとしてのセキュリティから、自律的に管理するセキュリティへの転換を目指す。

　今後は、開発の早い段階でセキュリティを確保する「シフトレフト」の戦略を進め、導入したツールを十分に生かせるよう、チームの専門性を高めることにも投資する。日本のユーザーコミュニティの成長と、日本語のレポート機能の強化にも期待する。

ニュースリリース