もう限界…2度ぶつかった脆弱性診断の壁、レバレジーズが成功した「工数半減」の裏側
- ありがとうございます！
- いいね！した記事一覧をみる
会員（無料）になると、いいね！でマイページに保存できます。
急速にシステム数が増加し、AIの活用によって開発スピードがさらに加速する現代。この「開発のスピード感」にセキュリティ対策が追いついていないのは、多くの企業が抱える共通課題だ。100超のシステムを運用するレバレジーズも例外ではなく、海外製ツール導入の失敗、手動診断の限界と、2度も壁にぶつかってきた。そこから脱却した同社は現在、脆弱性診断の内製化・自動化に成功し、検知精度2倍、診断工数ほぼ半減を実現したのだという。そこで今回、同社 テクノロジー戦略室の原田 将貴氏、柳澤 伸哉氏らに、失敗の経緯から現在の取り組みと成果、成功の秘訣を聞いた。
性善説の時代も…社内でバラバラだった「セキュリティ対策」
レバレジーズは、ITや医療分野をはじめ幅広い領域でWebサービスを展開する企業である。事業の成長に伴い開発するシステムは増え続け、現在では100を超える規模となった。近年はAI活用の広がりもあり、開発スピードはさらに加速している。
一方で、事業やシステムの拡大に対し、セキュリティ対策の整備が課題となっていた。以前は、セキュリティテストの実施方法が部署ごとに異なり、全社共通の基準が存在していなかった。時期によっては、全社的なルールが追いつかず、「性善説」に近い運用になってしまいセキュリティ対策が十分でないこともあったという。
こうした状況を改善するため、同社は全社的なセキュリティ対策の強化に着手。まず海外製のDASTツール（Dynamic Application Security Testing：動的アプリケーションセキュリティテスト）を導入したもののうまくいかず…。その後、手動による診断体制を整備したが、いずれチームリソースが枯渇する未来を見据えて、自動による診断体制を検討することにした。
では同社はどのようにして、開発スピードを維持しながら、脆弱性診断を効率化し、セキュリティを強化していったのか。
一方で、事業やシステムの拡大に対し、セキュリティ対策の整備が課題となっていた。以前は、セキュリティテストの実施方法が部署ごとに異なり、全社共通の基準が存在していなかった。時期によっては、全社的なルールが追いつかず、「性善説」に近い運用になってしまいセキュリティ対策が十分でないこともあったという。
こうした状況を改善するため、同社は全社的なセキュリティ対策の強化に着手。まず海外製のDASTツール（Dynamic Application Security Testing：動的アプリケーションセキュリティテスト）を導入したもののうまくいかず…。その後、手動による診断体制を整備したが、いずれチームリソースが枯渇する未来を見据えて、自動による診断体制を検討することにした。
では同社はどのようにして、開発スピードを維持しながら、脆弱性診断を効率化し、セキュリティを強化していったのか。
この記事の続き ＞＞
-
・メール返信に1カ月…直面した「2度の壁」
・内製化をどう実現？「運用面」の大きな変化
・診断工数“半減”、得られた「成果」とは
・脆弱性診断を定着させるカギ
今すぐビジネス＋IT会員に
ご登録ください。
すべて無料！今日から使える、
仕事に役立つ情報満載！
-
ここでしか見られない
2万本超のオリジナル記事・動画・資料が見放題！
-
完全無料
登録料・月額料なし、完全無料で使い放題！
-
トレンドを聞いて学ぶ
年間1000本超の厳選セミナーに参加し放題！
-
興味関心のみ厳選
トピック（タグ）をフォローして自動収集！
関連タグ
タグをフォローすると最新情報が表示されます
