Webアプリケーション脆弱性検査ツール「Vex」の導入事例｜富士通様

グループ全体で情報セキュリティを強化

富士通グループには、「常に変革に挑戦し続け 快適で安心できるネットワーク社会づくりに貢献し 豊かで夢のある未来を世界中の人々に提供します」という企業理念があります。これに基づき、グループ全体の「情報セキュリティ基本方針」が定められ、情報セキュリティ関連規定が整備されています。
私たちは、その基本方針に基づき、富士通グループがお客様へ納入するインターネット接続システムにおける、セキュリティに関するガイドライン作成やセキュリティ監査の実施、またSEに対する技術サポートや教育などを行っています。
以前より、お客様へ納入するWebサイトやWebアプリケーションなどの脆弱性は、簡易的なツールを使って、ある程度のチェックを行い、簡易的なツールでチェックできない項目はSEが手作業で一つ一つチェックしており、大きな労力と時間がかかっていました。また、手作業ですとどうしても人に依存する部分があり、SEの技術レベルによって品質にバラつきが出てしまうということが避けられない課題でした。そこで、グループ全体でツールを導入する事で課題解決を図るべく検討をしておりました。

富士通グループの要望を満たすVexを採用

全社導入では、コスト、機能、操作性、サポート、将来性の5つの面で評価分析をしました。機能面では、グループ内で先立ってVexを導入していた株式会社富士通ソーシアルサイエンスラボラトリ(以下、富士通SSL)が詳細な評価を実施しており共有した事で安心しておりました。そこで、私たちが特に重視したのは、コスト、操作性、サポートでした。このすべてにおいてユービーセキュアさんは高評価だったので、全社での導入を決定しました。
具体的には、今回の利用目的ではシステム納入の繁忙期に多数のライセンスが必要となりますが、繁忙期に合わせて年間ライセンスを購入するとコストが過大な負担となってしまいます。ユービーセキュアさんには、必要な時に必要なライセンスを購入できる形態をご提示いただきました。また、操作性については、セキュリティのスペシャリストではないSEがちゃんと操作できるかが課題でしたが、VexはWebアプリケーションの開発経験や開発言語の知識があれば対応可能なツールであると評価しました。さらに、サポート面ですが、問い合わせに時間がかかるとお客様に直接ご迷惑がかかってしまいます。
海外メーカーさんですと、テクニカルな質問に関しては本国への問い合わせとなり、 タイムラグが発生してしまう点が懸念事項としてありました。ユービーセキュアさんは国内メーカーということもあり、かなり迅速に対応してもらえるということでした。

必要な体制を1ヶ月で構築し全社へ展開

Vex導入が決定した後は、できるだけ早く納入システムのセキュリティ品質を高められるよう、約1ヶ月で社内に展開しました。まずは、当社グループ内へライセンスを提供するための部内運用ルールの制定し、申請方法の案内を行いました。さらに、導入後3ヶ月間は集合形式でのSE向け勉強会を計6回実施し、その後半年間は月1回実施しました。勉強会には合計で約200名のSEが参加しました。また、勉強会の模様をWebビデオで閲覧できるようにしました。
SEはシステム納入前の約2週間程度、一時的にしかVexを使用しません。1年間で1～2度しか使わないSEも多くいます。そのため、Vexに関するマニュアルをすべて読んで理解するのは負担が大きいため、当社における必要最低限の項目をピックアップした社内用の手順書も作成しました。
また、今回はグループ内で先立ってVexを導入していた富士通SSLに、Vexの社内サポート窓口となってもらう体制を構築しました。操作上の質問や基本的な内容の問い合わせは対応してもらっています。技術的な内容の質問については、富士通SSL経由でユービーセキュアさんに対応してもらう体制をつくりました。

網羅的かつ短期間での診断を実現

Vexの導入によって、SEによる手作業を自動化して効率的になり、工数が改善されたことが一番大きなメリットです。さらに、診断の精度が確実に上がりました。Vex導入以来、富士通グループが納入したすべてのWebアプリケーションにおいて一度もセキュリティ事故は発生しておりません。お客様へ安全安心なシステムを継続的に提供する事ができる体制が整ったと感じております。
また、SEはシステム納期直前、時間に余裕がない中でVexを使うことが多いので、急ぎの問い合わせもありますが、ユービーセキュアさんにはいつも迅速に対応いただいており、大変助かっています。ただ一つ、Vexの検査実行時間が長い傾向があるため、性能向上に取り組んで頂くか、あらかじめ検査にかかる時間の見通しが立つと作業がしやすいです。
今後も、新たに発見された脆弱性への対応をタイムリーに実施いただくことや、また、現状の日本語・英語に加え中国語など多言語への対応など、将来を見越したアップデートを期待しております。