日本最大のビジネススクールを運営しているグロービスが、脆弱性管理クラウド「yamory」を導入

〜EdTech事業における組織横断の統合的な脆弱性管理を実現〜

Visionalグループが運営する脆弱性管理クラウド「yamory（ヤモリー）」（https://yamory.io/　以下、yamory）は、株式会社グロービス（本社：東京都千代田区、代表取締役 ： 堀 義人　以下、グロービス）に導入されたことをお知らせします。
グロービスは1992年の設立以来、「経営に関するヒト・カネ・チエの生態系を創り、社会の創造と変革を行う」ことをビジョンに掲げ、各種事業展開を進めています。デジタルでの社会人教育事業（EdTech）にも注力しており、開発組織を拡大するとともに、セキュリティ対策を徹底してきました。

そこで、グロービス 経営管理本部 情報システムチーム テクノロジー・ディレクター　王 佳一氏に、今回のyamory導入の背景についてお伺いします。

• この度は、yamoryをご導入いただきありがとうございます。まず、グロービス様におけるセキュリティ対策の現状や、どのような課題感をお持ちだったかをお聞かせください。

王氏：
グロービスは日本最大の経営大学院（MBA）やテーラーメイド型の企業内研修等の運営を通じて、人材育成に関わってきました。現在は「テクノベート時代の世界No. 1 MBAへ」という目標を掲げ、デジタルでの社会人教育事業（EdTech）に本腰を入れています。約5年前にEdTech新規事業部門を創設し、質とスピードの両方を保ったプロダクト開発を行うためのエンジニア組織を構築しています。
ITシステムの脆弱性対策において、より効率的な管理、迅速な対策ができる方法を模索した結果、yamoryの導入に至りました。

 

 

グロービスが展開する「GLOBIS学び放題」

 

• これまではどのようなセキュリティ対策をされてきたのでしょうか？

王氏：
社内には多くの開発チームがあり、それぞれ個別にセキュリティ対策をしている状況でした。例えばインフラのレイヤーでは、OSSのスキャンツールを定期実行してSlackへの通知を行っていました。またアプリケーションのレイヤーでは、GitHubの機能を用いたセキュリティスキャンを行っている例があります。
 

• 先進的な取り組みをされてきている印象ですが、そのなかで課題感はありましたか？

王氏：
昨年12月に判明したApache Log4jの脆弱性については、すべての開発チームのJava利用状況をセキュリティ担当者が確認し、必要な脆弱性対策の調査をしていきましたが、漏れなく対応するには、膨大な工数と時間がかかりました。また、複数サービスを運営していく中で、脆弱性対応の基準が属人化してしまうリスクや、脆弱性の対応優先度の判断が難しいといった課題がありました。
 

• yamoryを選んでいただけた理由をぜひ教えて下さい。

王氏：
まず1つ目に、複数レイヤーをyamory1ツールで統合的に管理できる点です。
これまで、すべてのシステムレイヤーの脆弱性を管理するためには、それぞれのレイヤーに対してツールを使い分ける必要がありましたが、yamoryでは複数のレイヤーの脆弱性管理を一元化することができるため、より効率的で網羅的な脆弱性の検知、管理・対策が可能になる点が大きなメリットであると感じています。

2つ目に、組織を横断して脆弱性管理が行える点です。
グロービスでは、セキュリティ担当者が各開発チームを横断して、脆弱性への対応状況を都度確認していましたが、yamoryを活用することで各開発チームのリポジトリを可視化し、脆弱性への対応有無も自動で管理・確認できることが期待されています。

3つ目に、Apache Log4jなど緊急性の高い脆弱性の検知も早く、横断検索も可能な点です。
外部のリソースに依存するのではなく、yamory独自のデータベースに脆弱性情報が集約されているため、迅速な脆弱性検知が可能で、昨今リスクが高まっているゼロデイ脆弱性なども素早い検知を実現できる点に魅力を感じています。また、間接依存の脆弱性も検知が可能で、横断検索機能で脆弱性のある Log4j の存在の有無を確認することができ、緊急性が高い脆弱性にも迅速に対策できることが期待されています。
 

• そのようにご期待いただけて大変有り難いです。今後もより効率的で精度の高い脆弱性対策・管理ができるツールとして、皆さまにご活用いただけるよう目指してまいります。

【脆弱性管理クラウド「yamory（ヤモリー）」について】
「yamory」は、ITシステムの脆弱性を自動で検知し、管理・対策ができるクラウドサービスです。独自で構築した脆弱性のデータベースを使い、危険度のレベルを算出し、対応の優先度を自動で判断するオートトリアージ機能（特許取得済み）を搭載しています。ITシステムのライブラリ・フレームワーク、ミドルウェア・開発言語、OSの脆弱性、および、オープンソースのライセンス違反を一元管理できる国内初のサービスです。脆弱性を管理・対策することでサイバー攻撃から身を守り、ITシステムからの情報漏洩と、ライセンス違反による法的リスクの軽減を実現します。
URL：https://yamory.io/
Twitter：https://twitter.com/yamory_sec
運営会社：株式会社アシュアード（Visionalグループ）

【Visionalについて】
「新しい可能性を、次々と。」をグループミッションとし、HR Tech領域を中心に、産業のデジタルトランスフォーメーション（DX）を推進するさまざまな事業を展開。「ビズリーチ」をはじめとした採用プラットフォームや、人財活用プラットフォーム「HRMOS」シリーズを中心に、企業の人材活用・人材戦略（HCM）エコシステムの構築を目指す。また、M&A、物流Tech、サイバーセキュリティ、Sales Techの領域においても、新規事業を次々に立ち上げている。
URL：https://www.visional.inc/