脆弱性管理の自動化と可視化を実現し、属人対応からの脱却へ

この事例の要点

お客様	大手重工業メーカー
課題	担当者任せで、全体を把握できない脆弱性対応
支援内容	Vulnerability Responseの構築と、優先度判定・振り分けの自動化
製品・技術	ServiceNow Vulnerability Response
成果	全社の脆弱性を把握し、優先順位を付けて対応できるように

お客様情報
- 業種：大手重工業メーカー
- 会社概要船舶・鉄道車両・航空機・モーターサイクル・ガスタービン・ガスエンジン・産業プラント・油圧機器・ロボットなどの多彩な事業を展開されている総合エンジニアリングメーカー様です。
課題
- 担当者別対応に伴う課題脆弱性対応が担当者ごとに管理されており、対応状況の標準化がされていないご状況でした。
- 限定的な対応範囲による管理不足特定の脆弱性にのみ対応されており、全体の把握が難しく、すべての機器に対する脆弱性管理までは行き届いていないご状況でした。
- ダッシュボード構築中の課題パッチ適用状況のダッシュボードは構築中のため現状は対応状況の確認に留まっていることに課題を感じておられました。
解決策
- 伴走型でのプロジェクト支援本社部門と情報システム子会社が力を合わせてServiceNowプロジェクトを進めていく中で、サービスの活用をさらに広げ、その価値を一層高めていくことが大きなテーマでした。私たちが大切にしていることは、単なる開発にとどまらず、プロジェクト全体の成功を見据えた取り組みです。両部門の調整や段取りを丁寧にサポートすることで、関係者の皆さまがスムーズに議論し合意を重ねられるよう後押しし、プロジェクトが滞りなく進む環境を整えてまいりました。
- 脆弱性スキャナーの選定ServiceNowとの連携に適した脆弱性スキャナーを選定いたしました（候補：Tenable、Rapid7、Qualys、Tanium）。連携性と運用効率を重視した選定作業を行いました。
- Vulnerability Response（VR）の構築と自動化機能の実装脆弱性管理機能である「Vulnerability Response（VR）」を構築し、複数の自動化機能を実装しました。具体的には、脆弱性スキャナーによるスコアとCMDB内の資産優先度スコアを組み合わせて対応優先度を自動的に判定するほか、脆弱性情報に基づく自動グルーピングや対応担当者の自動振り分けを実施。また、対応リクエストの自動作成や対応完了の自動確認が可能であり、さらにレポートを自動生成することで、脆弱性の対応状況を可視化できる仕組みとなっています。
導入効果
- 脆弱性の全社的把握と優先順位付け全社的な脆弱性の状況を把握できる仕組みを整備し、対応の優先順位付けを可能にするとともに、リスク管理の精度向上を実現いたしました。
- レポート機能による情報共有と意識向上経営層や関連部門への情報共有を容易にするレポート機能を整備し、セキュリティ意識の向上に繋がったとの声をいただいております。
- 運用の自動化による対応力強化自動化された運用を導入し、対応スピードと品質を大幅に改善するとともに、属人化の解消を図りました。