GRED Web 改ざんチェック Cloud 導入事例

株式会社ワコール様
Web 改ざんチェック “何か” が起きてからでは遅い ワコールの実体験から学ぶセキュリティ対策の教訓
どうやったらコンバージョンをアップさせることができるか。売り上げを伸ばすためにはどういったツールを導入すればいいのか。そういった数字を上げる施策に精を出す EC 担当者が、ある日突然足元をすくわれて EC サイトの運営を停止せざるを得ない事態に陥ってしまう…。
そんな、「うちに限ってそんなことは」と思いたくなるような出来事を体験したのは、老舗下着メーカーのワコールである。今回は、経験者であるからこそ語ることのできるセキュリティ対策の重要性を、藪下孝一さんと加茂優里さんのおふたりに聞いた。
―まずはおふたりの担当されている業務内容をお聞かせください。
藪下︓私は株式会社ワコールホールディングスの経営企画部で、情報セキュリティ推進担当として、ワコールをはじめ、ピーチ・ジョンや三愛水着楽園を展開する Ai など、約 20 社ほどあるグループ会社全体のセキュリティ推進を行っています。
加茂︓私は株式会社ワコールの情報システム部小売情報システム課に所属しています。主に BtoC チャネルのシステム業務を行っており、店舗や Web、カタログ通販など、お客さまの購買に関わるシステムを見ている部門です。
―ワコールの EC サイトについて教えていただけますか︖
株式会社ワコールホールディングス 経営企画部
情報セキュリティ推進担当 係長 藪下孝一さん（右）／株式会社ワコール 情報システム部 小売情報システム課
加茂優里さん（左）加茂︓ワコールでは 2000 年にワコール Web ストアの前身となる
EC サイトを立ち上げました。会社の中期経営計画として、EC サイトを重点チャネルと定義しお客さまの利便性向上のため、積極的に機能強化を図っています。それとともに、実店舗とのシナジー守りの施策の代表格「セキュリティ対策」をワコールと考えるを発揮するべくオムニチャネルサービスの実現も進めています。

「EC サイトのセキュリティ対策は万全ですか︖」そう尋ねられす。一方、EC ネイティブの方々にとっては、気軽に Web で購入た時に、まったく問題ありません、と即答することができるだ
ろうか。もし少しでも回答に迷いがあるのなら、一度セキュリティ対策を見直す必要があるかもしれない。
老舗下着メーカー「ワコール」では、セキュリティ対策の 1つとして、Web 改ざん検知ソリューション「GRED Web 改ざんチェック（以下、GRED）」を導入している。サイトの自動巡回、改ざんを検知された場合のアラートメール送信やソースコードの特定などを行うことができるサービスである。セキュアブレイン社が提供するこのサービスは、サイバーエージェント、JCB をはじめ、5,000 社以上が採用している。もちろん、GRED が検知するようなサイバー攻撃や不正アクセスがないに越したことはない。だが万が一、EC サイトがサイバー攻撃を受けた時に、迅速に対応することができなかったら。万が一、Web を改ざんをされた時に、適切な処置をすることができなかったら。EC サイトがいちばんの核である EC 事業者にとって、それらの対応が遅れることは致命傷になりかねない。コンバージョンや売り上げなどに直接結びつくことはない、“守り” の施策の代表格「セキュリティ」。EC 事業者が考えるべきセキュリティ対策について、藪下さんと加茂さんに話を聞いた。

ワコールといえば、百貨店で購入前に試着をすることができたり、店舗でプロの販売員からアドバイスをもらえる点も魅力の 1 つでできることを望まれることも多い。そういった方々のニーズに応えるべく、サイトの利便性向上やサービス強化を行いました。

Web 改ざんにより全サイトを 1 カ月停止「GREDを導入していればもっと早急に対応できたはず」―現在、ワコールの EC サイトでは Web 改ざん検知ソリューション「GRED」を導入されているとのことですが、導入に至った経緯を教えてください。
藪下︓今から 10 年ほど前、ワコールでは不正アクセスにより情報漏えい事故が起こりました。その一件をきっかけに、会社としてはできうる限りのセキュリティ対策をしていたという自負があったのですが、2014 年に第三者からの不正アクセスにより一部サイトが改ざんされていたことが判明。自社 ECサイトをはじめ、ワコールグループ各社企業サイト、ブランドサイトなどを、1 カ月間ストップしなければいけないという事態が発生しました。今までの対策では足りないことを痛感するとともに、私たちはセキュリティ対策を一から見直す必要に迫られました。まずは早急に Web 改ざん検知の仕組みを探さなければとソリューションの検討をはじめ、そこで行き着いたのが GRED です。

加茂︓己の身にこのような事態が降りかかったことで、会社として、より一層セキュリティ対策に力を入れるようになりました。4 年ほど経過した今も、セキュリティへの関心は薄れていません。
―では、ソリューションの中で、なぜ GRED を選ばれたのでしょうか︖
藪下︓その事故の直後、サイトのソースコードに意図しないものが入っていないかを確認するために、ソースのクレンジングをしたいと考えていました。そこで GRED を導入する前に、「ま藪下︓私たちが体験したような事故は頻繁に起こるものではな

ずはワコールホールディングス全サイトのソースを洗い直していので、当事者意識を持つのはなかなか難しいと思います。でほしい」という依頼をさせていただき、GRED を使って 1 ～ 2すが、サイトやサーバー、使っている EC パッケージのぜい弱カ月かけて全ソースを確認していただきました。その時のご対性やバージョンを完璧に管理できていますか︖と聞かれた時に、応が良かったことや、サイトの URL を登録するだけでスピーもし 1 つでも万全な状態と言うことができないのであれば、ソディーにサービスの利用を開始できるといった点に魅力を感

リューションを導入するなど、すぐにできる限りの対策を取っじ、GRED を導入することに決めました。また私たちは、オンたほうがいい。まだできることがあるにも関わらず、対策を完プレミスとクラウドの 2 種類がある GRED の中で、クラウド

璧にせずにサイトを止めるのか。早めにしかるべきソリューショの製品を選びました。サーバーを用意するとなると、その運用ンを導入して、もし何かあったとしてもすぐに対応して最小限やメンテナンスも合わせて行う必要があるので、手軽に始めるに食い止めるのか。この差は本当に大きいと思います。

ことができるクラウド製品は、私たちにとってメリットが大き―今後おふたりは、セキュリティ対策にどのように取り組んでかったですね。

いかれたいですか︖

加茂︓私たちが想像していたよりもコストが掛からなかったと

藪下︓2018 年からワコールも、セキュリティインシデントにいう点も、決め手の 1 つです。

対する効果的・迅速な対応を行い、一丸となってセキュリティ―実際に導入されてみていかがでしたか︖

脅威へ対応していくため、Wacoal-SIRT（Wacoal Security

加茂︓GRED は毎日自動的にサイトを巡回しており、実際にスIncident Response Team）を構築し、「日本シーサート協議会」

キャンを行う回数についても事前に設定すればすべて自動でに加盟しました。加盟されているさまざまな企業との横のつなチェックしてくれます。また、レポートも定期的にあがってくがりを密にし、どういった製品やサービスを使えばより安全なるので、手間が掛からず非常に助かっています。手を動かさなセキュリティシステムを構築できるのかを考えていければとければならないのは、検知結果の確認くらいですね。検知され思っています。また個人としては、社内でセキュリティに関わた内容が問題ないものかどうかを確認する作業です。

る人間をもうすこし増やしていきたいですね。加茂が所属する―GRED を導入されて何か変わったことはありますか︖

小売情報システム課と一緒にセキュリティの知識レベルを上げ

加茂︓やはり、安心できるようになったということでしょうか。て、セキュリティに強い組織づくりに取り組んでいきたいです。

今思えば、2014 年の事故は、GRED を導入していれば、もっ加茂︓セキュリティを高めることに工数をとられ過ぎることなと迅速に対応できていたのではないかと思います。サイトに不くサイトを運用することができる、というのが EC 事業者にとっ審な動きがあったとしても、翌日に GRED からアラートメーては 1 つの理想形ではないでしょうか。セキュリティ対策はな

ルが届くことで、もっと早く手を打つことができていたはず。

るべくサービスを活用して、お客さまとのコミュニケーション

GRED を導入したことによって、「何かあってもしっかり検知に注力することができるよう、GRED を活用していきたいと思してくれるから大丈夫」という安心感があるのはとてもありがいます。

たいですね。

後手に回りがちなセキュリティ対策も、「万全な状態と言えないのならすぐに対策を」※本内容は、
Web マガジン「ECzine」に掲載（2019 年 1 月）されたものです。

―セキュリティ対策は、直接 EC の売り上げや成果につながるも※株式会社セキュアブレインは、2024 年 4 月に株式会社日立システムズとのではないため、つい後手に回ってしまうことも多いのではない合併しました。

かと思います。EC 事業者が Web 改ざん検知ソリューションをはじめとしたセキュリティ対策を行うべき理由や、そういったサービスの導入を検討している企業などにアドバイスをお願いします。

2024.06