オープンハウスグループ、クラウドの脆弱性対応を一元化し全社で分担する体制へ

製品選定で評価軸に据えられたのは、脅威を検知できるかどうかではなく、検知したあとに具体的な修正手順まで示せるかどうかでした。この一点を軸に置いたことで、比較は防御力の優劣ではなく「対応を誰に任せられるか」の比較に変わっています。修正の手順が画面上に出るのであれば、インフラ部門が調査結果を解釈し直してアプリケーション側へ渡す工程そのものを省けます。分業の隙間に生じる翻訳作業をなくすという狙いが、選定の段階から一貫していたと考えられます。

各システムにエージェントを入れずに環境全体を外側から見に行く方式を選んだ判断も、運用の続けやすさに効いています。サーバやコンテナごとに導入と更新の作業が発生する方式では、システムが増えるほど監視の網に穴が空きやすくなります。新規プロジェクトが追加されると自動的に監視対象になる設定をあらかじめ組み込んだ設計は、その穴を担当者の注意深さではなく仕組みの側で塞ぐ考え方です。

PoCの段階でアプリケーション担当者にも実際に管理画面を操作させた進め方は、導入後の体制づくりを前倒しにするやり方として注目に値します。使う側が事前に操作感を確かめていれば、本番稼働と同時に対応を任せられる状態になります。グループ会社の担当者まで含めて責任を持って使える環境を整え、インフラチームやアプリケーションチームの一方に負担が偏らないよう分担を設計した点も、この事例に固有の工夫です。なおCTCは評価項目の整理や既存システムとの接続方法の確認といった後方支援を担っており、判断と日々の運用は自社側に残る形で役割が分かれています。