お客様成功事例
セキュリティ

Centrica/British Gas
クラウドベースのセキュリティテスト管理により、セキュリティと効率の向上とコスト削減を同時に実現しました。
概要

まえて、安全なコード開発を重視する必要性を認識しました。当社のデジタルチャネルは重要性を増しています。実際、お客様とのやり取りの 50% 以上がデジタルチャネルを通じて行われており、特にスマートフォンの利用が目立ってきていま概要す。顧客データを保護し、業界規制を遵守するには、予防的アプローチをとる必業界要があったのです。」Phillips 氏は、ガバナン
エネルギー、公益スのフレームワークを確立するのに最適
Paul Phillips 氏 は、British Gas の Software な手段と、フレームワークをサポートし所在地ているツールについて調査しました。パ
Assurance and Integration 部門の責任者で英国す。Phillips 氏 の 組 織 は、Centrica グ ル ー フォーマンスが極めて重要でしたが、コストも決定的な要素でした。「我々の業界
プの British Gas ブランド向けに提供され課題る開発処理のすべてについて、アプリケー では、サービスの規模のメリットを活かBritish Gas のアプリケーションに含まれる脆弱ションのセキュリティとコードの品質保 してコストを抑制すると同時に、人材を性を、ソフトウェア開発ライフサイクルにおい証 を 担 当 し て い ま す。 過 去 3 年 間、 効果的に活用することが、戦略の方向性て早期に特定して修正する。
Phillips 氏と彼のチームが開発中のソフト として極めて重要でした」と、Phillips 氏
ソリューションウェアのセキュリティを確保するために は語ります。「これらの要件を満たしてい®
Fortify on Demand を使用して、社内およびサーるのは、サービスベースのアプローチで活用してきたのが、Micro Focus Fortify on
ドパーティのコードに静的および動的スした。当時、Fortifyは、対応環境にSAPDemand です。
キャンを実行する。
が含まれている数少ない実用的なソ
それ以前は、British Gas は、現場で Fortify リ ュ ー シ ョ ン の 1 つ で し た。 こ れ は、成果
S t a t i c C o d e A n a l y z e r と M i c r o Fo c u s SAP を中核とした British Gas のシステム + より効率的にコストを管理しながら生産性をにおいて、特に重要な点でした。」
WebInspect を併用していました。これら向上の製品は、同社の運用上のニーズをサポー+ 主要なデジタルチャネルおよびモバイルアプリ
ケーション向けのアプリケーションセキュリ
ト し て い ま す。Fortify on Demand は、 ア British Gas は長期にわたって従来型の情報ティを強化
プリケーションセキュリティをリードす セキュリティを利用していましたが、状+ 予防的アプローチの提供により顧客の機密デー況の変化によって新しいアプローチが必る最新のソリューションです。
タを保護要となりました。「当然、ソーシャルエン+ 業界規制に対するコンプライアンス対策を改善
ジニアリングなどの新たに出現した脅威
課題+ British Gas の変更プランにおける予算および生への脆弱性に対処する方法は、従来のファ産性目標を達成変化する状況
イアウォールによる保護とは完全に異な変化する環境が、Fortify on Demand の導ります」と Phillips 氏は言います。「考え入決定を促しました。
「我々の担当分野は、方 も、 ア プ ロ ー チ も、 ま っ た く 異 な り
品質の保証と管理です」と、Phillips 氏はます。」
言います。「特に、新しい技術の発展を踏Centrica は、英国バークシャーのウィンザーに本社を置く多国籍公益事業会社です。スコットランドでは Scottish Gas、その他英国内では British Gas の商号で運営している国内最大のガス供給会社であり、電力最大手の 1 つでもあります。British
Gas は、英国内の約 1200 万世帯にガスや電力を供給しています。

お客様成功事例
Centrica/British Gas

ソリューション
早期発見、早期解決

Centrica/British Gas では、開発のほとんどが SAP の ABAP で行われています。そして、他の言語 (Java および .NET を含む )も使用されています。同社内の約 1500 名の開発者と、アウトソーシングベースのサードパーティが、約 50 のビジネスクリティカルなシステムとアプリケーションを担当しています。これには、英国顧客向けの主要デジタルチャネルである www.britishgas.co.uk、 中 核 と な る
SAP の請求および CRM のシステム、そしてセルフサービス型のお客様用アプリ
ケーションが含まれます。社内で開発されたコードのスキャンだけでなく、BritishGas は、サードパーティのコードも Fortify
on Demand で監査可能な状態とする義務について契約書に明記しています。

することを目指しています」と、Phillips
氏は語ります。

下傾向にあることが分かります。」と、語っています。コードを作成して最終的にデプロイするソフトウェア開発ライフサイクルにおいて、「シフトレフト」とは、あらゆる取り組みを前倒しすることにより、コストが低下し、ビジネスの効率を高められることを意味します。Phillips 氏にとって、Fortify on Demand は、British Gas における時間・コスト・品質の三角形のすべてのポイントを押さえています。「我々には、非常に大規模な変更プランがあり−それは、予算編成メカニズムとして知られており−コードの行数の観点からそれは大きな財産です。」と、彼は語ります。

Fortify on Demand を導入することで、教育という大きな副次的メリットも得られました。「当初、安全なコードの開発に関して、開発コミュニティの意識は低い状態でした。」と、Phillips 氏は語ります。「すべての開発者に対して、安全なコーディングが重要である理由を説明する初期教育段階を経て、社内教育パッケージを作成しました。この開発者の意識を高める取り組みは、経営陣から完全なサポートを得ることができました。現在、安全なコーディングプラクティスは、会社のポリシーにおいて不可欠の要素となっています。」 「我々は、リスクの理解と低減に役立つと同 時 に、 コ ス ト 面 と プ ロ ジ ェ ク ト ス ケ
ジュール面で妥協しないサービスの提成果供を確約する必要がありました。デリバビジネス上のメリット
コンプライアンスの観点において、Britsh リーライフサイクルを大幅に延長したり、Gas のアプリケーションが業界規制に準 導入に多額のコストがかかったりするも拠していることを確認するうえで、Fortify のは望ましくありませんでした。Fortifyon Demand が役立ったと Phillips 氏は語っ on Demand は現在、広範囲で使用されており、変更プランの重要な一部として広ています。「定義済みのフレームワークとガバナンスプロセスが用意されていたの く受け入れられています」。

Phillips 氏は、「当社のアプローチは、「早期発見、早期解決」というものです。ライフサイクル最初のコンセプトの段階からプロジェクトに関与し、プロジェクトに期待される成果物を把握します。我々はプロジェクトにさまざまなコアサービ で、我々はこれを共有しました。コンプスを提供します。中でも、静的スキャン ライアンスの観点で、何を提示する必要 Micro Focus とは密接に連携しています。と動的スキャンの 2 つは重要な要素です。 があるのか、チェックボックスにチェッ 「実際の Fortify on Demand のスタッフは、プロジェクトが安全なコードを提供でき クを入れていくような感じでした」と、 こ こ British Gas で、 当 社 の ア プ リ ケ ーションセキュリティチームと開発コミュるように計画を立て、適正な予算を提供 Phillips 氏は語ります。Application security
ニティの両方と強固で良好な業務関係をmanagerのRamesh
Nagaraj氏は同意して、します。開発ライフサイクルの最後に大きな脆弱性を見つけてプロジェクトの締 「Fortify on Demand は、クリティカルなア 築いています」と、Phillips 氏は語ります。
め切りに影響が出るというような事態を プリケーションの品質とセキュリティの 「安全なコーディングについて、理に適っ無くすよう努めています。」と語ってい 確保について自信を与えてくれ、コンプ た実用的な話し合いができ、その結果、ライアンス要件を満たすための大きな支 我々は大きな経験と理解を得ることがでます。
きました。これは、British Gas におけるアえとなっています」と語っています。「当静的スキャンはユニットテスト以降に頻 社のソフトウェアライフサイクルに不可 プリケーションセキュリティの継続的な繁に実施され、動的スキャンはコードが 欠の要素です。最初に重要なことに集中 改善につながります。」
より成熟したときに実施されます。プロ することで、生産性を高めることができ今後、Phillips 氏は同社の増加しているモ
ジェクトレベルでの動的スキャンは、全 ます」。
バイルフットプリントと、脅威の新たな体的なリリースプロセスに移行する前に、経路であるソーシャルエンジニアリング
コードがクリーンな状態であることを確 British Gas は開発の観点でもメリットを得への漏洩を厳重に監視していきます。スています。Phillipsは続けて、「コードをよ認するために役立ちます。この時点で、マートメーターが、新たな攻撃のターゲッ
ビジネスクリティカルなコアシステムの り迅速に成熟させることに関して、「シフ約 90% 〜 95% が Fortify on Demand で カ トレフト」の文化が確立されたため、保 トとなる可能性があるのです。「我々は、アーキテクチャと実践可能なアプローバーされており、新しいものが定期的に 守はより容易になり、脆弱性は少なくなっチを理解することで、初期段階から安全ています。FortifyonDemandの使用を開追加されています。「2 年ごとに、ビジネスクリティカルなアプリケーションにつ 始したときと比べて、ソースコードに含 な設計を期し、プロセスの早い段階ででき少なくとも 1 回はコアスキャンを実施 まれる脆弱性の数量と重大度が確実に低 きる限り多くの脆弱性を排除することに2取り組んでいます」と、Phillips 氏は語っています。
彼 は、 こ の 取 り 組 み に 最 適 な ソ リ ュ ーションを手にしています。「我々は、リス

www.microfocus.com

クを理解して低減し、安全で目的に合った製品を提供し、お客様の機密データを保護する必要があります。」Phillips 氏は締めくくります。「Fortify on Demand は、これらすべてを実現するための鍵です。」

詳細情報はこちら：
www.microfocus.com/fod

3「2 年間にわたり、現場常駐コンサルタントの専門知識に大いに助けられました。ツールだけでなく、プロセスの側面からも、チームが Fortify
ソフトウェアを理解できるように教えてくれました。」
UWE SODAN氏TIP Security, Engineering Excellence and Education, Code Analysis Team ManagerSAP

お問い合わせ先：
www.microfocus.com

マイクロフォーカスエンタープライズ株式会社
jp-info-enterprise@microfocus.com
www.microfocus-enterprise.co.jp

368-JA0016-001 | H | 05/19 | © 2019 Micro Focus. All rights reserved. Micro Focus および Micro Focus ロゴは、英国、米国、およびその他の国における MicroFocus、その子会社、関連会社の商標または登録商標です。その他すべての商標は、該当する所有者に帰属します。