セキュリティを「優先度0番目」に掲げる弥生が挑む、
脆弱性診断の内製化

30チームの開発を止めない責任を、社内診断サービスとして引き受ける

会計や給与、販売といった業務ソフトウエアは、企業の事業活動の根幹を支えると同時に、財務情報や個人情報を預かるもの。脆弱性が残れば、被害は提供する事業者自身にとどまらず、そのソフトを使う企業や個人にまで及びます。
では、業務ソフトウエアを提供する事業者は、自社のWebアプリケーションをどう守ればよいのか。アジャイル・スクラム開発が広がり、機能の追加や更新が短い周期で繰り返されるようになったため、数ヶ月に一度まとめて行う診断では、この更新の速さに間に合いません。かといって、各開発チームがそれぞれ外部の診断会社へ発注し続ければ、コストも品質も全社からは見えなくなっていきます。

その問いに、一つの答えを示している会社があります。業務ソフトウエアの分野で広く名を知られる弥生株式会社です。同社はセキュリティ専門部隊のもと「社内診断サービス」を立ち上げ、約30チームの開発を止めずに脆弱性診断を回しています。その運用責任を支える中核のツールとして選ばれたのが、ユービーセキュアの「Vex」です。
弥生にとって製品の安全性は、機能と同じか、それ以上に重い責務です。その責任に応えるために設けられたのが、セキュリティ統括部でした。立ち上がったのは2025年2月。それまで情報システム部門のなかで他業務と兼務されていたセキュリティが、独立した専任の部門として切り出されました。同部でアプリケーション・セキュリティを担当するテクニカルリーダーの大谷友子様は、その背景をこう語ります。

「2024年10月にCISOが就任し、そのときからセキュリティが全社で『優先度0番目』に位置づけられました。最新の脅威に追随しながら、お客様の資産を最優先に、サービスとコーポレートの両面を守っていくこと。それがセキュリティ統括部のミッションです」（大谷氏）

セキュリティ統括部の中でWebアプリケーション診断を担うのは、大谷氏を含む4名のチームです。約30チーム・約50システムにのぼる診断対象に向き合っています。
「掲げているのは、継続的な学びを通じてセキュリティの進歩に対応することです。新しい脅威は次々に出てきますし、開発の作り方も変わっていきます。そこに追いついていく専門集団であろう、と」（大谷氏）

チームごとの個別発注に頼っていた、Vex導入以前の課題

セキュリティ統括部の設立以前、弥生の脆弱性診断は、開発チームごとに外部の診断会社へ個別に発注する形で運用されていました。リリース時に変更があった処理を対象範囲とし、数ヶ月から半年に一度のペースで実施する、いわゆるスポット型の方式です。

「最後にまとめて診断、という形でしたから、結果が出るのも遅くなります。指摘に対して修正し、もう一度依頼し直して…というやり取りにも時間がかかります。アジャイルやスクラム開発が広がってきたのに、診断だけは旧来のままという状態が続いていました」（大谷氏）

問題はそれだけではありませんでした。約30の開発チームがそれぞれの判断で発注先と契約条件を決めていたため、ボリュームディスカウントが効きにくい。診断にかかる総コストも、各チームの請求書を束ねないと見えてこない状態でした。

「全社として年間どれくらいの診断費を使っているのか、その費用対効果はどうなのか。こうした問いに答えられる人が、社内にいませんでした。チームをまたいで脆弱性の傾向を共有する取り組みもあるにはあったのですが、診断の進め方や費用を抑えるノウハウは、チームごとにバラバラなやり方が取られていました」（大谷氏）

セキュリティ統括部の立ち上げは、まさにこの状態を解きほぐすためでもありました。診断費の総額を可視化し、ボリュームディスカウントを効かせ、診断の準備・対象の特定・コミュニケーション・指摘の対応方針をすべて一本化する。月300万円規模で外部に支払っていた費用を、まずは月200万円水準まで引き下げる。これが、初年度に置かれた目標でした。

なぜプロキシ型のVexが、多様な業務アプリの診断に選ばれたのか

外部依存から内製化へと舵を切るにあたり、セキュリティ統括部はまず、社内診断を支えるツールの選定に取りかかりました。Vexと並んで候補に挙がったのは、クラウド型の脆弱性診断ツールでした。

「最初にPoCで試したのは、画面の操作を起点に診断を組むタイプのクラウド型ツールでした。シンプルなWebアプリなら問題なく動くんです。ただ、弊社のアプリケーションは、使い慣れたユーザビリティを守りながら、製品ごとに工夫を凝らしたフロントエンドを追求してきた結果、作りが多様になり、画面起点で診断するツールだと『この機能は診断できません』『この設定はサポートできません』というケースが頻発しました」（大谷氏）

業務ソフトウエアは、扱う業務の内容によって画面や操作の流れが大きく異なります。画面遷移が単純な業務もあれば、内部システムとの連携がいくつも絡む業務もある。その多様性を一つのツールで包み込むには、画面ではなく、もう一段下のレイヤーで通信を捕捉する仕組みが必要でした。

「結局のところ、ブラウザとサーバーの間でHTTPリクエストをプロキシでキャッチできるツールでないと、多種多様なアプリ全部をカバーできません。そう考えていくと、プロキシ型のVexが残りました」（大谷氏）

選定は、PoCの並行実施という形で進みました。同じ業務アプリに対して、複数のツールで診断結果を突き合わせ、どこまでの構成にフィットするかを見極めていく作業です。
「期日までに診断できないことが頻発すると、社内診断という取り組み自体が立ち行かなくなります。Vexはプロキシ型ですから、HTTPリクエストさえ捕まえられれば基本的には動きます。クラウド型のツールでは決められた手順の途中で設定が進まず診断できなかったケースも、Vexなら手元の環境から直接通信を捕まえてすぐに対応できました。安定性という意味で、社内診断と相性がいいと思います」（大谷氏）

開発を止めない「社内診断サービス」を、Vexがどう支えるのか

セキュリティ統括部が立ち上げた「社内診断サービス」は、各開発チームから依頼を受けて診断を引き受け、シナリオ作成・検査・誤検知や過検知のトリアージ・レポート作成までを一貫して担う、社内向けの診断ベンダーのような存在です。各開発チームを「お客様」として、外部の診断会社に頼んでいた役割を、セキュリティ統括部が社内で引き受ける形をとっています。
このサービスを成立させているのが、Vexの安定性とシナリオ機能です。とりわけ大谷氏が繰り返し強調されたのが、「期日を守れること」の重みでした。診断が期日に間に合わなければ、開発チームはリリースを止めるか、診断を省くかの判断を迫られます。期日を守れない診断は、開発チームに頼られるサービスとして成り立ちません。

「開発チームにはリリースのスケジュールがあります。診断が間に合わずにリリースを待ってもらうといったことが頻発すれば、社内診断という取り組み自体が立ち行かなくなります」（大谷氏）

Vexのシナリオ機能は、A→B→Cと順番にリクエストを送りながらパラメータを引き継ぐ仕組みです。ログイン後の複雑な業務フローや、複数画面にまたがる手続きを含む診断でも、シナリオを組めば自動で巡回できます。
「同じことを他のプロキシ型ツールでやろうとすると、スクリプトを自分で書き込まないといけません。一つのアプリのために何時間もかけてスクリプトを書いて、しかも他のアプリには流用しにくい。それが内製化の一番の壁でした。Vexはシナリオで吸収できる範囲が広いので、4名体制でも回せる手応えがあります」（大谷氏）

もう一つ、運用の現場で効いているのが、認証基盤への負荷を抑えた診断です。
「弥生では複数の製品が一つの認証基盤を共有しており、診断のたびにログインを繰り返すと、その基盤に負荷が集中してしまいます。Vexなら認証を通したあとのセッションを固定し、ログイン処理を経ずに検査を回せますので、認証基盤に負担をかけずに診断を進められます」（大谷氏）

開発を止めずに期日を守りながら、認証基盤にも負担をかけない。この両立を、約30チーム・約50システムという規模で安定して続けていく。その難しさを引き受けているのが、Vexを中核に据えた社内診断サービスです。

この運用には、副次的な効能もあります。プロキシ型のVexはブラウザとサーバー間の通信をそのまま見せるため、診断の手を動かすほど、Webアプリが裏側で呼ぶHTTPリクエストや認証の構成への理解が深まっていく。外部に任せればレポートだけが手元に残るところを、社内診断ではその知見そのものが組織に蓄積されるというわけです。

内製化の先に描く、DevSecOpsの実践と将来のコスト構造

内製化によるコスト削減は、二つの段階で進んでいます。まず、約30チームがそれぞれに発注していた外部診断を、セキュリティ統括部が一元的に管理し、ボリュームディスカウントを効かせる。これで、前年度に月300万円規模だった外部への診断費が、今年度は月200万円ほどの水準まで下がってきました。

二つ目の段階が、社内診断（Vex）の比率を高めることです。試験的な運用を始めたごく初期の段階で、すでに月20万円ほど、月180万円まで下がりました。

「これはまだ、ほんの一歩です。来年度は月150万円から100万円、その翌年度には月50万円の水準まで下げることを目標に置いています」（大谷氏）

削減をさらに前へ進める鍵が、社内診断と外部委託の振り分けの自動化です。
「ある診断を、外部に回すべきか、それとも社内のVexで診断できるか。そこをAIで自動的に振り分ける仕組みを準備中です。うまく回るようになれば、診断をベルトコンベアのように流していけるようになります」（大谷氏）

将来像として描いているのが、開発から運用までの流れにセキュリティを組み込むDevSecOpsの実践と、診断をできるだけ上流の工程へ前倒しするシフトレフトの徹底です。リリース直前にまとめて診断するのではなく、開発の早い段階から診断を組み込んでいく。さらに先には、Vexを開発部門にも開放するという構想もあります。

「今はユーザー数の制約もあって、Vexはセキュリティ統括部の中で運用しています。ただ、開発者自身が診断ツールに触れることで、セキュリティを『自分たちの開発の一部』として捉える意識が広がっていくでしょう。開発とセキュリティの境界をなめらかにしていくのが、私たちの目指すところです」（大谷氏）

最後に、これから脆弱性診断の内製化に踏み出そうとする企業に向けて、大谷氏からアドバイスをいただきました。
「会社やチームによって、システム構成も運用上の考え方も違うものだと思います。私たちの場合は『多様なWebアプリの診断を、プロキシ型ツールで内製化する』という目的にVexがフィットしましたが、それがどの会社にも当てはまるかは分かりません。自分たちの課題と環境に対して、どのツールが合うのかを実際に試しながら見極めていく。これが大事だと思います」（大谷氏）