脆弱性情報と構成情報をサービスデスクに集約し
複雑化したITシステムのセキュリティ対応を迅速化

ITの進化に伴い、企業ITシステムの多様化・複雑化が加速している。システムごとに分断された構成情報と、深刻なセキュリティリスクとなる脆弱性情報を一元管理し、セキュアで効率的なシステム運用環境を構築したい。

複雑化が進み管理が行き届かなくなったITシステム
脆弱性を突いた攻撃への対応が喫緊の課題となる

業種や規模を問わず、現代のビジネスにおいてITの活用はもはや不可欠。部門・部署単位で業務やサービスに利用するITシステムを構築・運用し、数百・数千台のサーバーが稼働しているという企業もめずらしくない。さらに近年ではIaaS環境にシステムを構築したり、SaaS型のサービスを利用したりといったクラウド活用も浸透し、企業ITシステムの多様化・複雑化は加速している。こうした状況のなか、企業のシステムを狙ったサイバー攻撃も激化。特にシステムの脆弱性を突いた攻撃は増加を続けており、2021年12月には数多くのWebサーバーで利用されているJavaベースのロギングライブラリ「ApacheLog4j」の脆弱性が公表され、システム運用・管理者が対応に追われる事態を引き起こしている。
このように、昨今の情報セキュリティ対策では脆弱性問題への迅速かつ適切な対応が求められているが、実現できている企業は多くはない。脆弱性対策を進めるうえで課題となるのは大きく3つ。1つは脆弱性の情報をリアルタイムで確認できる体制が整っていないこと、2つ目は運用しているシステムの構成を迅速に把握できていないこと、もう1つはシステム変更を伴う脆弱性対策のプロセスが適切に管理できていないことだ。日々発信される脆弱性情報をチェックしきれず、Webニュースを見て脆弱性問題を知ったというシステム運用担当者も多い。また、Excelファイルを使い、システムごとに手動で構成情報を管理している企業もまだまだ多く、導入時に構成を記入してから更新していないことも少なくないのが現状だ。セキュリティパッチを適用する段階では、本番環境へ変更/リリースプロセスが適切に行われず二次被害を誘発するケースもある。こうした状況を放置しているとリスク対応が後手に回ってしまい、ビジネスに悪影響を及ぼすことにもなりかねない。特に多数のシステムが混在している大企業・中堅企業にとって、脆弱性対策の整備は喫緊の課題といえる。

構成情報と脆弱性情報を一元的に管理することで
最新の脆弱性リスクの影響範囲を迅速に把握する

脆弱性問題を含めて情報セキュリティ対策の強化を図る際には、まず「脆弱性情報の収集」と「システム構成情報の管理」をクリアしなければならない。SOC(セキュリティオペレーションセンター)サービスを利用したり、SIEM(統合ログ管理)ツールを導入したりと、実現するための方法は多岐にわたるが、システム運用部門に情報収集と対応を集約したいのならば、リアルタイムの脆弱性情報とシステムの構成情報を一元的に管理できる体制を構築するという手法が極めて有効な一手となる。
まず着手したいのはシステム構成情報を収集する仕組みの構築だ。脆弱性対策が必要なシステムを把握するためには、事業部門が運用しているサービスや顧客に提供しているシステムなどの構成情報を最新の状態に保つ必要がある。各システムの運用担当者が手動で申告するようなやり方では実現が難しいため、インベントリ(IT資産情報)収集を自動化するツールの活用が効果的なアプローチといえる。
収集したシステム構成情報は、脆弱性情報と紐付けることで最大限の効果を発揮する。最新の脆弱性情報はNISC(内閣サイバーセキュリティセンター)やJPCERT/CC、JVNといった公的機関のポータルサイトで確認することができるが、毎日のように発信される情報から自社での対策が必要な脆弱性を絞り込むのは非常に困難。システム構成を一元管理できていない情報セキュリティ部門では、システムを運用する各部門に対して注意喚起を行うことしかできず、迅速かつ適切な脆弱性対策は実現できない。さらに、3つ目の課題である「対応作業のプロセス管理」まで一元化できれば作業の適正化が図られ効率的な対応が可能になる。とはいえ、インベントリや脆弱性情報の収集を効率化する製品は多数提供されているが、その両方に対応するソリューションはほとんどないのが現状。プロセス管理までを視野に入れるならば、選択肢はさらに限られてくる。そこで注目したいのが、野村総合研究所(以下、NRI)が提供する「SenjuServiceManager(Senju/SM)」。ユーザーの問い合わせ対応やインシデント管理を行うサービスデスクに脆弱性情報や構成情報を集約。脆弱性情報収集・構成情報収集・マッチング・インシデント対応といったプロセスを一元化できるソリューションだ。

サービスデスクに各種情報を集約して
情報収集からインシデント対応までを一元化

NRIが開発・提供しているSenju/SMは、国内シェアNo.1のサービスデスクツールとして、多くの企業に導入されている。NRIの運用現場で培ったノウハウを盛り込んで開発され2006年にリリース。純国産ツールとして国内企業の要望に合わせてバージョンアップを重ねており、サービスデスクに求められる機能が網羅されている。現在はSaaS型のサービスとなる「mPLAT/SMP」も提供されており、オンプレミス・クラウドどちらの環境でも利用できるようになっている。
運用業務を軽減しながらITサービスの品質向上を実現するためのツールとして重用されているSenju/SM(mPLAT/SMP)だが、昨今では脆弱性対策をはじめとした情報セキュリティ対策向けソリューションとしての活用も期待されるようになった。ITサービスマネジメント領域とシステムマネジメント領域で活用できるツールを取り揃えたSenjuFamily製品と連携することで脆弱性情報収集や構成情報収集のプロセスを自動化。さらに、インシデント管理・問題管理・変更管理・リリース管理といったITILのプロセスと連携させることで、一貫した脆弱性対策を可能とする。
インベントリ収集はシステム運用管理ツールであるSenju/DCとの連携で実現。SNMP、Telnet接続などを利用し、エージェントレスでシステム(サーバー)の構成情報を収集する。ハードウェア構成からサーバーOSの更新状況、導入されているソフトウェアとバージョン情報までを迅速に確認できる。また、各種ポータルサイトからの脆弱性情報収集も自動で収集してSenju/SMで一元管理することが可能。システム構成情報とマッチングさせることで、脆弱性のあるシステムを即座に把握できるようになる。脆弱性情報や構成情報の自動収集・管理をトータルで行うサービスデスクツール事例はあまりなく、多様な外部連携が可能なSenju/SMならではの強みとなっている。
もちろん、本来のITサービスマネジメント(ITSM)領域における機能も充実している。脆弱性情報と構成情報のマッチングにより表面化したセキュリティインシデントに対して、誰がどう対応するのかまでを関係者と状況共有しながらトータルでマネジメントできるのは大きなメリットといえる。

サービスデスクツールを使いこなして
部門間を横断したシステム情報の共有を実現

脆弱性情報と構成情報を集約することで、脆弱性のリスクに対してプロアクティブな対応を可能とするSenju/SM(mPLAT/SMP)は、ITILが求めるITサービスマネジメントを実現したい企業はもちろん、脆弱性対策を迅速化したい企業にとっても有効な選択肢となる。サービスデスクツールのため、脆弱性の緊急度や影響範囲をシステム運用部門が情報セキュリティ部門やビジネス部門、システム開発部門と容易に共有でき、インシデントの管理から問題管理、変更管理、リリース管理までのプロセスを適切にマネジメントする。脆弱性対策を内包したサービスデスクの自動化・高度化を推進することができる。また構成情報の収集に関しては、市場に存在する製品のほとんどがクライアントPC周りのインベントリ情報を収集するツールのため、サーバーの構成情報まで収集できるソリューションとしても高い価値がある。
導入にかかる期間は企業が運用しているシステムの規模によって異なるが、2カ月程度で運用を開始することが可能。エージェントレスで導入できるため、サーバー1台1台にエージェントモジュールをインストールする必要もない。冒頭で述べたApacheLog4jの脆弱性問題によって、脆弱性対策を経営課題として取りあげる企業も増えており、実際にApacheLog4jの影響があるかを多大な人的リソースを費やして調査した結果、それ以外の脆弱性リスクが顕在化したという事例も出ているという。NRIが長年のシステム運用によって蓄積してきたノウハウが惜しみなく投入されたSenju/SMを有効活用すれば、脆弱性対策をフックに、部門間を横断したシステム情報の共有を実現できる。安全性を担保したうえで統合的なシステム運用を実現したいのならば、導入を検討する価値は大いにあるはずだ。

最新ソリューション資料を見る

ソリューション紹介資料ダウンロード ソリューション一覧へ戻る