導入事例「 Red Team Lite 」を活用しシステムの安全性を短期間で実証サービスの信頼向上に寄与
顧客企業の DX を後押しする革新的なサービスを幅広く展開として掲げている点だ 。Sansan 株式会社

CISO 補佐 CSIRT マネジャー 河村 辰也 氏
は「 当社のサービスでは、お客 様の大事な市場を取り巻く環境が大きく変化する中、個人情報を取り扱いますので、セキュリティ

企 業 には自 社 のビジ ネスを 変 革 する 取りの確保はビジネスの大前提です。お預かり組みが強く求められている 。ここで重 要なした名刺 情 報 が、不正に使 用されるようなポイントとなるのが、最 新 のデジタルサーことは絶対にあってはなりません 。とはいえ、ビスをいかに業務に取り入れていくかというあまりセキュリティばかりに傾き過ぎてしま点だ 。
「 出 会 いからイノベーションを 生 みうと、今度は自由なチャレンジが行いにくく出す 」を企業ミッションとする Sansan も、なってしまう 。我々に求められているのは、そうした先 進デジタルサービスを提 供する

セキュリティと利 便 性を高いレベルで両立事業者の一つである 。

させることだと考えています 」と語る 。

同社の法人向けクラウド名刺管理サービス

このような思想のもと、同社ではサービス「 Sansan 」は、企業・自治体をはじめ 7000の安心・安全を担保する取り組みを全方位

件 以 上 の 契 約 を 有し、この 分 野 に お けるで展開 。システム面での対応はもちろんのデ ファクト・スタン ダードとなって い る 。

こと、全 社 員 が 個 人情 報 保 護 士 の 資 格 を

また、個 人 向 け 名 刺 ア プリ「 Eight 」も、取得するなど、人・プロセスの面でも万全のビジネスを加速するツールとして 280 万人態勢を築き上げている 。

・お客様名：Sansan 株式会社
・資本金：63 億 33 百万円（ 2021 年 8 月 31 日時点 ）・従業員数：979 名（ 2021 年 8 月 31 日時点 ）・所在地：東東京都渋谷区神宮前 5-52-2
青山オーバルビル 13F

・公式 HP：https://jp.sansan.com/■ ソリューション

・Red Team Liteを超えるユーザーに活用されている 。さら■ プロジェクトのゴールにその他にも、クラウド請求書受領サービス

1 . 社内 Active Directory の「 Bill One 」など、業 務 効率化に寄 与するサービスを展開 。日本企業の DX を強力に後押ししている 。

ペネトレーションテストに「 Red Team Lite 」を採用

管理者権限取得

2. Eight データベースからの顧客情報取得

こうした取り組みの一環として、同社では加えて注目されるのが、「 セキュリティと利外部ベンダーによるペネトレーションテスト

■ プロジェクト実 施期間便性を両立させる」を企業理念の「 Premise 」を毎年実施している 。河村 氏はその狙いを・2021 年 3 月 〜 6 月「 各サービスを支えるインフラについては、当社のエンジニアが細心の注意を払って環境を構築し運用しています。しかし、内部だけの視点だと、見落としなどが生じる可能性も否定しきれません 。そこで、外部の第三者に攻 撃者の目線で 環 境をチェックしてもらうことで、対 策や運 用に綻びが生じていないかを確認しているのです 」と説明する 。

Sansan 株式会社
CISO 補佐CSIRT マネジャー
河村 辰也 氏

同社では各サービスのペネトレーションテストを順番に実施しているが、今回のテスト対象には前述の個人向け名刺アプリ「 Eight 」

が 選 ば れた 。ベンダー 選 定にあたっては、で最 大限のアセスメントを実 施することがされるペネトレーションテストは、一 切のRed Team テスターの攻 撃 力を特に重 視できた 。

制 限 を設けずに実 施するように、ベンダーに依頼しているという。
「 驚かれることも多いしたとのこと 。その結果、最終的に選ばれた「 テスト実施に向けたプロセスでは、セキュのですが、やはり何らかの制限があると、見つアワークス側のスタッフと綿密な打ち合わせかるべきリスクも見つからなくなってしまう。

「 ペネトレーションテストに関する技 術を行いました 。様々な情報のやりとりもタイムそのため、あらゆる攻撃手法にて、テストを資格 を保 有するなど、優 秀なエンジニアがリーに行えましたし、技 術 者の言 葉で 会 話実施することに意義があると思っています 」

数 多く在 籍して い る点 が 決 め 手 となりまできたので、非常に話が早かったですね 。おかと河村 氏は説明する 。当然、今回のテストした 。また、当社ではセキュアワークスのげで大変スムーズにテストを行えました 」とも同様の形で実 施されたが、それでも重 大マネージド・セキュリティ・サービスを導入

河村 氏は語る 。

な問 題 が 確 認され な かったことには 非 常のがセキュアワークスであった 。

していますが、そこでの対応にも十 分 満 足に大きな意義がある 。

しています。さらに、セキュアワークスのイン「 Red Team Lite 」による攻撃は約 2 週間

シデント管理リテーナーを利用したコンサルにわたり行われたが、これに対する社内の加えて、さらなるセキュリティ強化に向けたティングも受けましたが、的確な助言と成果対応も的 確 だったとのこと 。マルウェアの手がかりが得られた点も見逃せない 。
「 今回物を得ることができました 。こうした総合力活動はセキュリティ製品や SOC による監視のプロジェクトを担当した診断員の方は、非常の高さも評価につながりました 」と河村 氏でいち早く検 知され、ネットワーク内で のに細かい部分まで当社の環境をチェックしては語る 。

横 断 的 侵 害や Eight データベースの顧 客くれました 。おかげで、今後やるべきことが情報へのアクセスもしっかりと防御された 。

具 体 的 に 洗 い 出 せ ました 。小 さ なことの加えて、もう一つのポイントが、特定のプロ「 総じて高いセキュリティレベルが確保でき積み重ねが重大なインシデントにつながりセスに限 定してリアルな標的型攻撃を可能ており、当社のビジネスに致 命 的な影 響をかねないので、頂いたレポートを今後の改善な限り忠実に再現する「 Red Team Lite 」

及ぼすような攻撃が容易には実行できないに活かしていきます。ちなみに次回のペネトの存在である。
「できればサイバーキルチェインことが 確 認 で きました 」と河 村 氏 。このレーションテストでは、ぜひフルスコープでに沿ったフルスコープでの Red Team テスト

結果は経 営トップにも報告され、継 続 的にの Red Team テストを実施したいと考えてを実 施したかったのですが、今 回はあまり取り組むよう指示がなされているとのことでいます 」と河村 氏は語る 。

時間的な余裕がなかった関係で、できるだけある 。

短 期 間 で 実 施 できるサービス が 求 められ

同 社のビジネスは 急 速 な 拡 大を 続 けてました。その点、「 Red Team Lite 」であれば、「 今 年から 社 内 のログを横 断 的 に 検 索いるだけに、グループ全 体を見 据えた支 援

脅威に侵入されたフェーズからテストを開始する仕 組みを導入したのですが、その効果も期待したいとのこと 。河村 氏は「 サービスできます。このように柔 軟にニーズに応 えがはっきりと見えたことも大きな成 果でしの数もグループ会社の数も増え続けているられるサービスが用意されている点も良かったね 。ログ 基 盤 に 収 集され た 情 報を 分 析

ので、社内の要員だけだとなかなか手が廻りたですね 」と河村 氏は続ける 。

することで、Red Team がどのような手段切りません 。こうした面でも、セキュアワーや経路で攻撃を仕掛けたか追うことができクスには数多くの知見が蓄積されているとました 。当 社 の 対 策レ ベ ルが 着 実 に 向 上思いますので、コンサルティングなども積極していることを実感できたのは、非常に良い的に活用していきたい 」と語る 。

充実したテストを短期間で実施

セキュリティレベルの高さを確認経験でした 」と河村 氏は続ける 。
出会いからイノベーションを生み出す革新的なサービスを、今後も世に送り出していく

今回のテストでは、「 社内 Active Directoryの管理者権限取得 」と「 Eight データベースの顧客情報取得 」の 2 点がゴールとして設定された 。社内ネットワーク内に感染 端末／今後も継続的な改善を推進

サービスの安心・安全を追求

攻 撃 デバイスを設 置したり、マルウェアをペネトレーションテストを実施する際には、実 際に起 動したりする作業については同社

本 番 業 務 へ の 影 響 を 避けるために様 々な自身で実 施 。これにより、限られた期 間内制限を設ける企業も多い 。しかし同社で実施「 その取り組みをセキュリティ面Sansan 。
からしっかりと支えて行きたい 」と河村 氏は抱負を述べた 。

セキュアワークス株式会社
お問い合わせSCWX_PreSales ＠ secureworks.com 03-4400-9373 www.secureworks.jp● Secureworks ロゴは、米国 Secureworks Corp の商標または登録商標です。● その他の社名および製品名は、各社の商標または登録商標です。● 記載内容は、2021 年 10 月 8 日時点のものです。
● 取材 2021 年 9 月 ● サービスの提供内容は国によって異なります 。Securework および Secureworks ロゴ、Counter Threat Unit (CTU)、および iSensor は、登録商標またはサービスマーク、もしくは米国およびその他の全ての製品とサービス、商標などはそれを保持する企業・団体に帰属します 。本カタログに記載されている仕様は 2021 年 9 月時点のものであり、予告なく変更する場合があります 。最新の仕様については、弊社ホームページにてご確認ください 。
Availability varies by region. ©2021 Secureworks, Inc. All rights reserved.