【導入事例】社内システムの脆弱性対応をkintoneで一元管理——年度ごとの対応履歴も残せる仕組みづくり

「脆弱性の調査結果や対応状況が、担当者のメモやバラバラのファイルに散らばっている」——セキュリティ対応の現場では、こうした管理の属人化が起きがちです。

kintone開発を担当するHさんに、あるマーケティング企業様で行った、社内システムの脆弱性管理をkintoneで仕組み化したプロジェクトについてお聞きしました。

プロフィール

相談のきっかけ

——このお客様は、もともとどんな課題を抱えていたのですか？

社内で使用しているシステムが複数あり、それぞれの脆弱性診断の結果や対応状況を、担当者ごとにExcelやメモで管理されていました。年度が変わるたびに過去の対応履歴を探すのが大変で、「どのシステムが」「いつ」「どんな対応をしたのか」を横断的に把握しづらい状態だったと聞いています。

——最初のご相談では、どんなお話があったのですか？

セキュリティ対応そのものよりも、まず「管理の仕組みを整えたい」というご相談でした。診断結果を登録する場所を統一し、対応状況を追跡できるようにしたい、というのが出発点でしたね。

——どんな仕組みを設計したのですか？

脆弱性の調査結果を登録すると、対象システム・発見日・対応状況・対応期限などが一覧で管理できるアプリを構築しました。Customineなどのプラグインを活用して、優先度の高い対応を見やすく表示できるようにしています。

——「年度ごとに保管・管理できるように」という点は、どう実現したのですか？

年度ごとに対応状況を振り返られるよう、記録の蓄積の仕方を工夫しています。過去の対応履歴を年度単位で参照できるようにしたことで、監査や社内報告の際にも、必要な情報をすぐに取り出せるようになりました。

——開発期間はどれくらいだったのですか？

3ヶ月ほどで構築しています。セキュリティに関わる情報を扱うため、権限設定やアクセス制御についても丁寧にすり合わせながら進めました。

——進めるうえで気をつけたことはありますか？

脆弱性情報という性質上、誰がどこまで見られるかという権限管理を特に慎重に設計しました。担当者以外に情報が広がりすぎないよう、必要な人が必要な範囲だけ見られる形に整えています。

——リリース後は、どんなサポートをしているのですか？

保守契約のもとで運用を継続しています。新しいシステムが増えた際の管理項目の追加や、運用の中で出てきた細かい調整にも対応できる体制にしています。

——この事例は、どんな企業に参考にしていただけると思いますか？

複数のシステムを運用していて、セキュリティ対応の記録が分散している企業様には特に参考にしていただけると思います。特別なセキュリティ専用ツールを新たに導入しなくても、kintoneで管理の土台を整えられるというのは、コスト面でもメリットがあると感じています。

脆弱性対応の記録管理は、専用ツールを新たに導入しなくても、kintoneの仕組みで十分に整理できるケースがあります。「対応はしているが、記録が分散していて振り返りづらい」という状態であれば、まず管理の仕組みを整えるところから見直してみる価値があります。