大企業の取引先が増えてきたことを踏まえ、セキュリティを強化。営業面でも効果を実感

会社・事業について

DIGGLE株式会社 SRE 橘 樹男さん

——貴社について教えてください。

DIGGLE株式会社は「テクノロジーで、企業の成長可能性を掘り起こす。」をミッションに掲げ、経営情報の一元化で予算を最適化し未来を最大化するコラボラティブ経営管理サービスDIGGLE(ディグル)を提供しています。

——事業内容について教えてください。

「組織の距離を縮め、企業の未来の質を上げる。」をProduct Visionに、予算計画の作成や、予算・実績の差異分析、見込管理、非財務指標の管理、レポート作成・共有などの経営管理業務全体をワンプラットフォームで行えます。経営情報をDIGGLE上に蓄積し、適切な権限設定とともに社内に流通させることで、余剰予算を可視化しスピーディーな再配分で生きた経営管理を実現します。

また、先日新プロダクト「DIGGLE人員管理」の提供を開始しました。これまで、財務数値(PL)をベースとした予実管理業務の最適化に寄与するプロダクト開発を行ってきましたが、企業の経営戦略におけるリソースは「ヒト」「モノ」「カネ」等があり、これらのリソースを適切な経営判断によりアロケーションすることが経営戦略にとって非常に重要な価値観だと捉えています。プロダクト「DIGGLE」で培ったリソースのアロケーションの実績を、「ヒト」「モノ」の領域に展開していくことが、今後私たちDIGGLE株式会社が目指す方向性です。

脆弱性診断の実施背景・目的

——貴社プロダクトについて、セキュリティ面ではどのような点を重視していましたか。

お客様の経営情報を取り扱うため、情報漏洩は許されません。権限管理、ログ管理、災害発生時のバックアップ体制など、セキュリティ対策には細心の注意を払っています。万が一情報が流出することがあればそれは重大なインシデントであり、お客様の信頼を失う上に、法的責任や経済的損失を免れません。

——事業成長や競争力強化の観点で、セキュリティが重要になるポイントを教えてください。

事業規模が拡大するにつれて、取引先企業の属性も大企業層へと拡大しています。セキュリティチェックシートの提出を求められることが多く、そもそもセキュリティ体制が整っていることを示せないとサービスを提供できない場合もあります。顧客に安心してサービスを利用してもらうため、そして事業競争力を強化するためにも、セキュリティ対策は不可欠です。

——弊社サービス利用前はどのような診断を実施していましたか？

以前は、ZAPというツールを用いて定期的に脆弱性診断を実施していました。しかし、社内で診断ツールを使いこなせる人材が限られており、診断結果の解釈や修正の優先順位付けに迷うことがありました。

——なぜ弊社の脆弱性診断を導入しようと思ったのか、背景を教えてください。

お客様からセキュリティ診断の実施を要望されたことがきっかけです。求められるセキュリティレベルが上がってきていたことから、以前から社内で「脆弱性診断をしっかり行う必要がある」と声が上がってはいましたが、改めてお客様の要望がきっかけとなりました。

良い機会なので専門家にお願いし、意義あるセキュリティ対策をしたいと思い、外部への依頼を決めました。

導入までの流れ

——社内での検討プロセスはどのようなものでしたか？

CTOの水上と私で、複数の脆弱性診断サービスを比較検討しました。1ヶ月の短期間で決める必要があったため、水上がピックアップした会社に私が話を聞いて判断しました。

——導入を決める際に特に重視したポイントは何でしたか？

当社はセキュリティ専門チームを持たないため、診断後に具体的なアドバイスをくれるか、社内でセキュリティ対策を継続的に行えるかを特に重視していました。

さらに、お客様からのご要望をきっかけに急遽診断を依頼したため、短納期と限られた予算という制約に対応してもらう必要がありました。

今回の脆弱性診断実施内容

——ご要望を踏まえ、全体に対する広範な診断は安価なShisho Cloudの自動診断で担保しつつ、特に重要な認証機能や権限設定機能に範囲を絞った手動診断を実施することにより「量と質」を両立するプランを提案させていただきました。

​​——弊社からの提案について、どのような点が印象に残っていますか？

弊社が正に必要としている脆弱性診断だと感じました。診断対象を絞った点についても、事前に社内で検討していたため、違和感や懸念はありませんでした。

——他社と比較した際に、どのような違いを感じましたか？

1ヶ月の短納期で診断を実施する必要がありましたが、GMO Flatt Securityは柔軟に対応してくれました。他の企業では納期が間に合わないケースもあったため、この対応力は魅力的でした。

予算に合わせて診断対象を絞った点にも抵抗はなく、優先順位の高い箇所に絞って診断を実施できる点はメリットだと感じました。

——最終的に弊社を選んだ決め手は何でしたか？

1ヶ月の短納期、限られた予算への柔軟な対応が一番の決め手でした。

特に、ツールと手動診断を組み合わせることで、網羅性の高い診断と効率的な対策が可能になるので、GMO Flatt Securityに任せる意義は大きいと感じました。

手動診断では、わかりやすい診断レポートや継続的な診断体制を構築できそうな点を期待していました。

サービス利用後の評価

——サービスを利用した所感を教えてください。はじめに、手動脆弱性診断はいかがでしたか？

手動脆弱性診断のレポートではソースコードを引用しながら「ここに問題がある」というような具体的な指摘があり、修正方針が非常に立てやすかったです。従来のZAPを使った診断では、脆弱性の根本原因を特定するために、まずコードを一つずつ精査していく必要があり、修正のための工数が膨らみがちでした。しかし、今回の手動診断では、脆弱性の根本原因が明確に示されていたため、工数が大幅に削減できました。

社内で対応依頼をする際も、診断レポートが非常に分かりやすくまとめられていたため、レポートをベースに報告することで、関係者全員が同じ認識を持つことができました。

——Shisho Cloudの導入はいかがでしたか？

工数をかけずにセキュリティのチェックを行えています。毎日最新のコードがデプロイされるので、診断も1日1回実行して、ダッシュボードで結果を確認できるようにしています。

ダッシュボードでは、Critical、High、Mediumといった分類で脆弱性を確認できるため、対応の優先順位付けが容易になりました。

現在は深刻な脆弱性が見つかっていないため、緊急度の高いアラートが発生した際に対応する運用としています。しかし、今後エンジニアが増員してもセキュリティへの意識を維持できるようShisho Cloudの通知機能を活用し、タスク管理システムと連携させることで、脆弱性対応のフローを構築していく予定です。

Shisho Cloudのダッシュボード画面(イメージ)

——診断結果はどのように活用していますか？

修正対応の優先順位付けや工数見積もりの指針として、効率的なセキュリティ対策に役立てています。

修正対応はSREの私が中心となり診断結果をプロダクト組織に共有し、スプリントに適宜組み込んでもらう形で進めています。報告書は私の方で作成し直す必要はなく、そのままプロダクト組織に共有し、対応を依頼できています。

——今回は予算をあらかじめ決めている状態でのご依頼でしたが、予算内で達成できた内容の満足度はいかがでしたでしょうか？

短納期という厳しい条件の中、期待以上の成果を上げることができ、大変満足しています。

——セキュリティに関する今後の取り組みを教えてください。

診断結果を開発の早い段階で反映させ、継続的にセキュリティを意識した開発体制を構築したいです。

「DIGGLE」は顧客の経営情報という非常に重要な情報を扱っています。上場企業のお客様も増えており、情報漏洩は株価にも影響しかねない重大な問題です。そのため、権限管理の徹底、監査ログの取得、データマスキングなど、データ管理の診断サイクルを早くし、今以上に厳格化していく必要があります。

診断の深度と範囲についても、より深く・広く取り組んでいきたいと考えています。今回の手動脆弱性診断で対象外だった範囲もしっかり確認していき、堅牢なプロダクトを目指しています。

——弊社の診断サービスに対して、今後どのような進化を期待しますか？

小規模なチームで運用していく際に、どのようにフローを整備すれば良いか悩むことが多いので、テンプレートや事例などを提供していただけるとありがたいですね。

具体的には、開発プロセスにShisho Cloudを組み込む方法や、脆弱性診断の結果をどのように対応チームに共有し、対応を促すかといった、事例やベストプラクティスがあると参考になります。

——他の企業にこのサービスを勧めるとしたら、どのような点を強調しますか？

まず、診断結果の分かりやすさと、具体的な対策方法まで丁寧に説明してくれる点を強くお勧めします。他の診断サービスでは、単に脆弱性の指摘に留まることが多い中、GMO Flatt Securityは、どのように修正すれば良いかという具体的なアドバイスを提供してくれるので、非常に実践的です。

特に、Shisho Cloudは高機能で、ワークフローなども充実しているため、事前に使い方をしっかり把握しておくと、より効果的に活用できると思います。

また、今回は非常に短い期間での依頼でしたが、柔軟にスケジュールや予算に対応していただき、非常に助かりました。継続的な診断体制を構築できたこと、お客様へのセキュリティ説明がスムーズになったことなど、多くの面で満足しています。

営業面でも効果を実感しています。大規模な取引先が増える中で、セキュリティチェックシートへの回答に自信を持ってお伝えできるようになりました。セキュリティ対策を強化したいと考えている企業には、ぜひお勧めしたいサービスです。

——橘さん、本日はどうもありがとうございました！