支え合うサイバーセキュリティ：Capyの脆弱性管理体制構築の裏側

最近、サイバー攻撃の手法が高度化し、企業のソフトウェアやサプライチェーンの脆弱性がつながるリスクが増大しています。この状況に対処すべく、株式会社grasysとCapy株式会社は、新たな脆弱性管理体制の構築に取り組みました。特に注目すべきは、SBOM（ソフトウェア部品表）とSSVC（Stakeholder-Specific Vulnerability Categorization）フレームワークを活用したその取り組みです。実際の導入事例を通じて、どのようにして運用効率を高めたのかを見ていきましょう。

セキュリティ対策の現状

近年、開発現場でのセキュリティ対策として従来型の運用方法が問題視されています。これまでは年に一度の定期診断や、問題が起きた際の個別調査が主流でしたが、これは非常に時間がかかり、即時性が欠けるためです。新しい脆弱性が毎日のように報告される中、手作業での調査では、影響範囲の特定やパッチ確認に数日を要し、その隙間を狙った攻撃のリスクが高まっています。

また、SBOMの運用も課題を抱えています。「ツールを使ってリスト化はできるが、アラートが多すぎて手に負えない」という状況が業界全体に広がっています。このような背景から、ただツールを導入するのではなく、実運用に耐えうる形で脆弱性管理を行うことが求められています。

Capyの導入背景

Capyは、金融機関や大手ECサイトに導入されている不正ログイン防止ツール「Capy CAPTCHA」を提供しており、その性質上、24時間365日の稼働が求められます。そのため、セキュリティ対策には特に高い可用性が必要です。これまでは外部ベンダーによる定期診断や、公開情報を基に手作業で影響を調査していましたが、複雑なライブラリの依存関係に対処するには限界がありました。このため、悪化する脆弱性情報に自主的に対応する体制が不可欠となりました。

脆弱性管理の新たな仕組み

Capyの松本悦宜氏は、その導入背景をこう語ります。「従来はどのミドルウェアを使用しているかは把握していても、そのミドルウェアが使用する他のミドルウェアの依存関係を全て把握するのは非常に難しかった。セキュリティパッチがどのバージョンに含まれているかを調べるのも非常に手間だった」と述べています。これに対してgrasysと協力し、「緊急性を持って脅威を検知・対処する仕組み」を構築しました。これにより、情報が即座に届けられることで判断工数とコミュニケーションコストが劇的に減少しました。

実用的アプローチ

この事例によると、SBOMを運用に落とし込むためには、以下のような現実的なアプローチが採られました。

1. OSSツールの活用: Syftを使ってCycloneDX形式のSBOMを自動生成し、Grypeで最新の脆弱性データベースとの照合を行うことで、手作業の調査から脱却しています。

2. SSVCフレームワークの導入: 米CISAが提唱するSSVCを活用し、システムの露出度や攻撃の到達性に基づいて脆弱性の優先順位をつけることで、重要なリスクを可視化しました。

3. 非侵襲的なテスト環境の構築: 本番環境に直接影響を与えないように、本番環境の複製を用いることで高負荷時でも安定した運用が可能です。

4. 運用のかかりつけ医モデル: grasysのエンジニアが顧客のインフラや特性を理解し、日常の運用と一体化させることで、実行可能なセキュリティ体制を維持しています。