導入事例 CASE STUDY (TRIPWIRE)

Tripwire Enterpriseを活用したISMS対策とJSOX 法向けシステム変更管理
Tripwire Enterprise の使用によりシステムの変更管理、IT全般統制への取り組みを強化
ビジネスニーズ
ISMS と JSOX 施行に伴うIT 全般統制への対応強化のため、既存のプロセスをシステム的に行うことで、確実なシステム変更管理体制を構築
ソリューション
Tripwire Enterprise を導入し、システムの変更を自動検知
結果人に依存した作業ミス、確認ミスを排除することに加えて無許可のシステム更新も自動で検出することで IT 統制の強化と運用業務の効率化を実現

兼 松 エレクトロニクス 株 式 会 社
導入製品
T r ip w ir e E n t e r p r is e
会社概要
商 号： 兼 松エレクトロニクス株式会社
KA NE MAT SU E LE C T R O N I C S LT D .

兼松エレクトロニクス株式会社の ISMS とJSOX への取り組み

兼松エレクトロニクス株式会社は、日本全国に販売拠点や保守サービス網を整え、海外でも中国・ASEAN 地域・インドに拠点を設置する IT ソリューションとサービスを提供する企業です。
1968 年の創立から、「お客様第一主義」「、新しい価値の創造」「、CSR の追求」
を理念として、企業価値の向上に邁進しています。
同社は、企業が本来果たすべき社会的責任と IT を活用するうえで備えるべき体制という観点から ISMS や JSOX 法への対応も積極的に推進してきました。

Tripwire Enterprise 導入の背景

JSOX 法への対策における IT 全般統制で は、IT の開発、保守に関する管理、システムの運用管理、アクセス管理、外部委託に関する契約管理など IT 基盤に関する統制活動全般が求められます。
同社では、自社で利用する顧客情報や会計、販売管理情報などの多くのアプリケーションプログラムが存在します。
そのアプリケーションの品質は同社の信頼の証でもあり、自社システムの障害は「上場企業として株主への信用失墜などの影響がもたらされる」との判断に基づき、決められた運用プロセスにより行われていたシステムの変更管理体制を強化することに乗り出しました。
具体的にはアプリケーションの修正や変更に対し「変更検知の自動化」を導入し、「正確なオペレーション」、「オペレーションミスの早期検知」、「移行手順ミスの抑制」を中心とする体制の強化とアプリケーションの品質向上を目指しました。

Tripwire Enterprise 導入の経緯

同社が 2006 年 6 月に ISMS 認証を取得し た当時、プログラムの変更管理においては運用マニュアルなどを作成し業務フローと組み合わせた人手による運用体制を整えていました。
その後、より強固な IT 統制への移行の検討から、ファイルやプログラムの監視・管理が可能なソリューションを 2007 年から探し始めました。
市場での評価や実績などを判断し、Tripwire
Enterprise が適していると判断しました。
導入にあたっては、専門的な知識と実績のあるシステムインテグレータに依頼することが短期間で運用を実現できると判断し、Tripwire Enterprise の導入実績が豊富で同製品の認定SEが在籍しているシステムインテグレータにプロジェクト参画の依頼をしました。

Fortra.com

本 社： 〒1 04 - 83 38 東 京 都中央区京橋2- 1 3- 1 0 京 橋 M IDビル
設 立： 19 68 年 ( 昭 和 4 3 年 ) 7 月 2 3
代 表 者： 代 表 取 締 役 会 長酒井 峰夫

代表取締役社長

菊川 泰宏

資 本 金： 9 0 億 3, 1 25 万円
売 上 高： ( 連 結 ) 61 8 億 96 百万円
従 業員数： ( 平 成 2 7年 3月31日現在)( 単 体 ) 51 6 名( 連 結 ) 1, 5 79 名
決 算 期日： 3 月 31日
事 業内容
IT(情報通信技術)を基盤に企業の情報システムに関する設 計・構 築 、運用サービス
およびシステムコンサルティングと I T シ
ステム製 品およびソフトウェアの販 売 、賃貸・リース 、保 守 および 開 発・製 造 、労 働者派遣事業

Fortra 導入事例 Case StudyTripwire Enterpriseを活用したISMS対策とJSOX 法向けシステム変更管理

導入作業は、大きく次の３つの作業工程に分類されました。
1. 監視対象サーバおよび変更監視対象の洗い出し
2. 監視の設計およびルール策定とテスト
3. 製品の導入およびルール等の設定
項目１の作業は同社が中心となって行い、その情報を元に項目 2 について、システムインテグレータが作業を実施しました。
同社の環境ではなく、システムインテグレータ側のテスト環境にて、策定したルールのテストまでを実施し、テスト済みの定義を KEL の本番環境へ適用したた
め、1週間あまりの短期間で本番展開作業は完了しました。
またその後ルールの微調整は行いましたが、大きな問題を生じることなく安定稼動を行うこととなりました。

Tripwire Enterprise 導入で実現したこと

Tripwire Enterprise を導入する以前は、システム開発から本番移行までの変更に関わる承認は、すべて社内のワークフローで管理し、決められたプロセスに則り運用されていました。例
えば、開発者がプログラムを開発、変更、本番移行を行うためシステムに変更を加える場合は、社内のワークフローによって承認を得ます。承認が得られたプログラム等は、運用チームに渡され、そこで、本番への移行が行われます。実際に変更されたかどうかは、人手による判断に委ねられていました。
Tripwire Enterprise 導入後は、本番環境に何らかの変更が行われると、自動的にチーム全員に変更を通知するメールが配信されるようになりました。
そのため、関係者全員が、変更を確認できるようになりました。
現在、本番移行に関わるプロセスは、次のように管理されています。
1. 事前にシステムの更新を申請
2. 変更後に Tripwire Enterprise が検知した変更のログと照合
3. 申請された内容と合致していることを確認

兼 松エレクトロニクス株 式 会 社
情 報システム室 室 長

小林邦夫 氏兼 松エレクトロニクス株 式 会 社
情報システム室

佐藤由知 氏4. 内容と適合しない場合、調査対応が行われる
Tripwire Enterprise で変更内容の確認を実装したことで、正しく更新が行われているかを判断できるようになります。
また、
更新漏れや申請のない、計画外の更新も同時に検知されるため、システムに対する不正なプログラムの置き換えなどの発見にもつながり、IT 統制だけではなく、システムの品質を高めることが可能になりました。

導入後、業務や効率面において変化した点

以前は人手を介した作業に依存していたため、移行 もれや未承認のプログラムリリースなどによるシステムトラブルに見舞われることもありました。
今ではシステムの変更が Tripwire Enterprise により検知され、自動的に報告されているため、正規の許可を得ずに作業をすることへの牽制にもつながっています。
IT
統制を確実に行う環境を整えることができました。
同 社 は 2008 年 に Tripwire Enterprise のファイル整合性監視機能を採用しましたが、今では導入サーバ数を増やしながらシステム運用を続けています。

Tripwire Enterprise 今後の活用

Tripwire Enterprise は、オープンシステ ムを構成する幅広いデバイスやソフトウェアに対し、セキュリティを維持するための変更監視やコンフィグレーションアセスメントを実現するセキュリティ構成管理（SCM） 製品です。
Tripwire Enterprise の導入によりファイルシステム、ディレクトリサービス、データベース、ハイパーバイザー、ネットワーク機器など幅広く整合性を監視することが可能になります。
同社は、今後、Tripwire Enterprise のポリシー管理機能や、データベース、仮想化環境なども含めた IT システムへの徹底した変更管理でセキュリティを可視化し、改ざん検知、情報漏えい、標的型攻撃対策を検討できると考えています。
「導入をサポートしてくれたシステムインテグレータには、当社のシステム構成などに精通したSEがいるので、今後もいろいろな提案を期待しています」とプロジェクトに携わった両氏より今後の期待を込めたコメントをいただきました。

Fortraについて
Fortra は、他に類を見ないサイバーセキュリティ企業です。私たちはお客様のために、よりシンプルで強力な未来を創造します。
当社の信頼できるエキスパートと統合されたスケーラブルソリューションは、世界中の組織にバランスとコントロールをもたらします。私たちはポジティブ・チェンジメーカーであり、サイバーセキュリティの旅路のあらゆる段階において、Fortra.com

お客様の味方となります。詳細については、fortra.com をご覧ください。

Copyright © Fortra, LLC and its group of companies. Fortra™, the Fortra™ logos, and other identified marks are proprietary trademarks of Fortra, LLC.

(fta-tw-ca-ja-0124-r1-hm)