お客様成功事例
セキュリティ

Change Healthcare

Micro Focus® Fortify on Demand によるアプリケーションのセキュリティ確保
概要

Change Healthcare は、米国で最大規模の財務および管理業務の医療ネットワークを運営しています。薬局、歯科医院、病院、研究 室 な ど、 医 療 機 関 の 種 類 を 問 わ ず、Change Healthcare の 開 発 し た ア プ リ ケ ーションは、米国内の数百万件もの医療関連のトランザクションを処理しています。
2015 年 8 月以前に、同社はテクノロジー企業に発生しがちなデータセキュリティ上の課題に直面しました。顧客はますます、同社のシステムのセキュリティが保護されており、患者データが安全であるという証拠を求めるようになってきていました。Change
Healthcare の評判と数百万人もの米国人の個人情報は、同社のアプリケーションのセキュリティに依存していました。しかし、脆弱性テストは、複数のプロセスを即時に実施しなければならないため、時間とコストの か か る も の で し た。 現 在、Change
Healthcare は以前の数分の 1 の時間とコストで、アプリケーションをテストしています。Fortify on Demand と Micro Focus®
Fortify WebInspect は、開発プロセスを阻害することなく、セキュリティホールとなる脆弱性を以前よりもはるかに迅速に見つけて修正する、低コストで効果的な手段を提供しています。

課題

近年、Change Healthcare はソリューションの範囲を拡大し、開発者の専門知識を多様化するため、複数の企業を買収しました。この戦略によって、病院や薬局のほか、ソフトウェアアプリケーションを使用して処方箋を処理し、報告書を作成し、他の重要な作業を実行する医療サービス提供企業など「Micro Focus Fortify on Demand は、 の多数の新規顧客を獲得するチャンスが生じました。しかし同時に、それらのアプリ開発者がセキュリティに関するあらケーションの開発プロセスが複雑化するとゆる問題に対処できるという自信をともに、コーディングの言語、環境、規格与えてくれました。開発者は、何を修 の数が増加しました。次第に、増え続けるアプリケーションのテストが、同社の開発正する必要があり、コードのどの部分を変更すべきで、さらになぜ修正が 者の課題として頻繁に発生することになりました。開発者にはセキュリティの専門知必要なのかが分かっています。」
識が不足しており、アプリケーションのテストプロセスが構築されていなかっただけ
CHANGE HEALTHCARE
でなく、精度を常時維持できないツールをApplication Director使用していたため、課題の特定と潜在的なDamien Suggs 氏脆弱性の修正が困難になっていました。

概要
■ 業種
医療
■ 所在地
米国
■ 課題
顧客データと企業の信用を守るとともに、アプリケーションのセキュリティ確保に必要なコストと時間を削減します。
■ 製品とサービス
Fortify on Demand■ 成果+ アプリケーションのセキュリティテスト時間を7 日から 48 時間未満に短縮+ テスト対象のアプリケーションの数は 10 倍に増加
+ 誤検出の数を減らし、脆弱性を迅速に修正+ アプリケーションのセキュリティテストにかかる同社のコストを 800% 削減+ サイバー侵害のリスクを低減し、顧客データを保護+ コンプライアンス違反のリスクを抑制し、企業に対する信用の保護を向上

お客様成功事例
Change Healthcare「長い間、当社では、Checkmarx というアプリケーションセキュリティツールを使用して い ま し た 」 と、Change Healthcare のApplication Director である Damien Suggs 氏
は述べています。「しかしながら、あまりに多くの誤検出が発生していたため、開発チームは Checkmarx を信頼していませんでした。
そのため、開発者は Checkmarx を使いたがらず、次第に開発プロセスにおいて使われなくなってしまいました。」
もう 1 つの課題は、脆弱性のコードのテストにかかる時間でした。アプリケーションはシステマティックにサードパーティーのクラウドベースのテストサービスへと送信され、PCI (Payment Card Industry) のセキュリティ要件を満たしているかチェックされていました。しかし、結果が出るまで最長で 1 週間かかっていたため、プロセス全体がかなり非効率的になり、テストに支払う
コストが上昇し続けていました。「コードのテストに時間がかかっていたため、開発者の生産性が低下していました」と、Suggs
氏は述べています。
影 響 を 受 け て い た の は Change Healthcareの開発者のごく一部でしたが、これは、同社がこのテストを、PCI へのコンプライアンスが必要なアプリケーションに限定して行っていたためです。テストを他の種類のアプリケーションにも拡大すれば、さまざまな国々に散在する 250 人超の開発者が影響 を 受 け る こ と に な り ま す。ChangeHealthcare は、複数のチームと場所でのテストを一元化し、コーディネートできる手段を必要としていました。
同時に、そうした課題により、個人情報利用時のセキュリティの保護に関する政府規制を遵守することが同社にとって非常に難しい状況になりました。一方で、顧客もまた、アプリケーションのセキュリティ評価が定期的に実施されている証拠を求めていました。こうした報告書を保存し、それにアクセスできる一元化されたリポジトリがないため、これは時間のかかるプロセスとなっていました。

ソリューション
テストの高速化

Change Healthcare は、ソフトウェア開発のライフサイクル全体にわたる、包括的なソフトウェアセキュリティ保証プログラムの2実施を決定しました。この転換の鍵となっションの弱点をスキャンしています。このたのは、開発者が自発的に日々のスケジュー自動化された侵入テストテクノロジーは、実ルに組み込みたいと思うような、シンプル際の攻撃をシミュレーションし、セキュリで高速な単一のクラウドベースのテストティの脆弱性を検出して、さらなるセキュサービスへの移行が決定されたことでした。 リティレイヤーを追加します。
Suggs 氏にとって、成功への鍵は、セキュリティテストを日常業務の一部に組み込ん 「Micro Focus Fortify WebInspect は、アプリだ こ と で し た。
「Micro Focus Fortify on
ケーションに侵入し、見事にセキュリティDemand は、開発者のニーズに合ったもの問題を検出してくれます」と、Suggs 氏はでした。開発者の理解が得られたのです。」 述べています。「根本原因が深いところにあと、同氏は言います。
る脆弱性を検出できるうえに、その多くが他の製品では見つけることができないもの開発者がテストしなければならないコードです」
が増えれば、テストのペースを速めることが 必 要 に な り ま す。2015 年 8 月 に、 さらに付け加えると、Fortify Taxonomy Web
サイトは、優れたリソースにもなっていま
Change Healthcare は Fortify on Demand のす。この Web サイトは開発者に対し、現在使用を開始しました。これは、サービスとのプロジェクトに関連する可能性のある既して提供されるアプリケーションセキュリ
知の脆弱性について、貴重な情報を提供しティテストおよびリスク管理のプラットてくれます。この Web サイトを見れば、アフォームです。現在、開発者は、テスト対プリケーションに影響を与える可能性のあ象のアプリケーションを送信すると、潜在る弱点の種類をより深く理解できます。
的なセキュリティ上の問題を重大度別にリストアップしたレポートを受信できるようになっています。レポートには、問題があ
コストの削減るコードの場所と具体的な修復の提案が含
こうした新たなアプローチにより、同社は、まれます。
セキュリティテストにかかるコストを大幅に削減しました。分析が必要なアプリケー
Fortify on Demand は、静的スキャンが戻っションの数が増えているにも関わらず、テてくるまでの目標時間を 48 時間としていまストにかかるコストは 800% 減少しました。
したが、大半がわずか 6 時間超で戻ってきました。ソリューションが高速になったこ
以前は、外部のソフトウェアセキュリティとで、Change Healthcare の開発者は、すばテストに時間単位で料金を支払っていましやくテストと修復を行えるようになり、生た。テストと複数回の改訂が必要なアプリ
産性が向上するとともに、サイバー侵害をケーションが増えるにつれ、請求額は急激
受 け る 危 険 性 も 減 少 し ま し た。Fortify onに増加しました。Change Healthcare は現在、Demand の使用によるもう 1 つの主なメリッアプリケーションごとにサブスクリプ
トは、誤検出アラートの数が大幅に減少し、 ション方式で料金を支払っているため、追貴重な時間とリソースを解放できたことで加料金が発生することはありません。
した。「誤検知については、その項目を簡単に抑止でき、次回以降の診断でもそれは抑今後の見通し止されます。」と、Suggs 氏。
Fortify は、個人情報が漏洩するリスクを低
最も重要なのは、同社の既存の開発環境とFortify on Demand がシームレスに統合された こ と で し た。 こ れ に よ り、Microsoft
Visual Studio 内や Jenkins 自動化サーバーから、テスト対象のコードを送信することが可能になりました。

成果
知識の増加

Change Healthcare は さ ら に、Fortify
WebInspect を 使 用 し て、Web ア プ リ ケ ー減するだけでなく、使用するすべてのアプリケーションが完全にテストされているという安心感を経営陣にもたらします。現在、社内の監査担当者は、以前よりもはるかに簡単にセキュリティ報告書にアクセスできるため、病院、保険会社、政府などの関係者に、包括的なテスト体制が確立されていることを簡単に提示できます。

Change Healthcare の開発者がテストするアプリケーションの数は、約 10 倍に増加しています。今では、同社の開発者のうち約 150

人が Fortify on Demand を使用しており、今後も対象者を増やして、使用を拡大する予定です。
同社は 2017 年に大規模な合併を予定していたため、これは特に重要な点でした。合併すれば、数千人もの新たな従業員がプロセス を テ ス ト す る 可 能 性 が あ り、 ソ リ ュ ーションの性能がさらに求められることになります。

www.microfocus.com「Micro Focus Fortify on Demand は、開発者 「つまり、このソリューションは、アプリケーションのセキュリティに対する当社のアプがセキュリティに関するあらゆる問題に対処できるという自信を与えてくれました」 ローチを完全に変え、定義し直してくれました」と、同氏は述べています。と、Suggs 氏は言います。「開発者は、何を修正する必要があり、コードのどの部分を変更すべきで、さらになぜ修正が必要なの
詳細情報 :
www.microfocus.com/fodかが分かっています。」

3

「このソリューションは、アプリケーションのセキュリティに対する当社のアプローチを完全に変え、定義し直してくれました。」
CHANGE HEALTHCARE

Application Director
Damien Suggs氏

お問い合わせ先：
www.microfocus.com

マイクロフォーカスエンタープライズ株式会社
jp-info-enterprise@microfocus.com
www.microfocus-enterprise.co.jp

368-JA0020-004 | 3532 | H | 05/19 | © 2019 Micro Focus or one of its affiliates.Micro Focus および Micro Focus ロゴは、英国、米国、およびその他の国における Micro Focus、その子会社、関連会社の商標または登録商標です。その他すべての商標は、該当する所有者に帰属します。