ASM導入事例：エヌ・ティ・ティテレコン株式会社が『BreachRisk』を採用──見えないリスクをAIで可視化し約20分の1コストで管理

クラウド利用拡大で露呈する設定不備とガバナンスの限界

ーーASM導入以前に、どのようなセキュリティ課題や不安を抱えていらっしゃいましたか？

NTTグループの一員として、主要なシステムやサービスには一定のガバナンスが効いており、サイバーセキュリティ対策は比較的高いレベルで実施できているという認識でした。

一方で、クラウドやSaaS、ローコードプラットフォームの利用が拡大したことで、必ずしもスキルが高くない担当者でもシステムを構築・利用開始できる状況が生まれていました 。これにより、管理やセキュリティ設計が不十分なシステムが潜在化したり、スキル不足による設定ミスが増加したりと、そうした部分でのインシデントが目に付くようになってきたと感じていました 。

ーー経営層として特に懸念していたリスクや、説明が難しかった場面があればお聞かせください。

クラウドサービスの設定に不慣れな担当者が、ボタン一つでシステムを意図せずインターネット全体に公開してしまうケース 。
コロナ禍で急遽リモートアクセス環境を構築する必要に迫られ、通常は行わないようなフルオープンなアクセス許可をしてしまったケース 。
システム移行のために一時的にIPアドレス制限を解除し、作業完了後に制限を元に戻すのを忘れ、公開状態が続いてしまったケース 。

「ちゃんと守りたい本丸のシステムが正面から攻められてやられるというよりは、現場で作ったシステムやツールが管理不備でやられてしまうのがよくあるパターン」と認識しており 、特に「検証環境という名の環境に本番データが混在しているケース」や 、「新人が設定した環境が意図せず危険な状態になってしまうこと」を懸念していました 。

これらのリスクは、専門家であれば認識できますが、社内でその危険性を説明し、理解を得ることが難しい場面もあると感じていました 。我々のような小規模な組織ですべてを完璧にガバナンスすることは難しく、潜在的なリスクをどう効率的に把握し、管理するかが課題でした。

高精度な自動検出と低負荷運用で資産管理を効率化

ーー数あるソリューションの中から、BreachRiskを選んだ理由を教えてください。

BreachRiskを選んだ最大のポイントは、社名や保有ドメイン、IPアドレス帯を登録しておくだけで、インターネット上からそれらに紐づく自社のIT資産を自動で検出・可視化してくれる点です。これにより、管理者や運用者に大きな負荷をかけることなく、管理が行き届いていないサイトや設定ミスを発見できると考えました。

特に評価したのは、過検知や誤検知が非常に少なかった点です 。過去に他社の類似サービスを試した際、自社とは全く関係のないサイトが大量に検出され、その調査と切り分けに膨大な工数がかかり、本来の目的を見失いかけることがありました 。

当初、BreachRiskは社名とドメインから情報を引いてくるという仕様上、もっと過検知が多いのではないかと懸念していましたが、実際には「基本的にはなかった」と言えるレベルで、非常に助かりました 。導入初期に正体不明な資産が2、3件見つかりましたが、調査した結果、いずれも自社が管理すべき本物の資産であることが判明し、むしろその精度の高さを実感しました 。

ーー導入後、御社にどのような変化がありましたか？

導入後、早速いくつかの効果が現れました。まず、セキュリティチームが把握していなかったサイトや、管理がおろそかになっていたサイトの存在が明らかになりました。

Whois情報から自社に紐づいていることはわかるものの、用途が不明だったドメインがありました 。担当者に確認したところ、Webサイトのホスティングサービス経由で取得した正規のドメインであることが判明しました。また、過去に使用していたものの、現在は使われていないメール用のドメインが検出されました 。

このように、「本人はちゃんとやっているつもりでも、実際にはできていないこと」を客観的な事実として可視化できるようになったのは大きな変化です 。これにより、今後誰かが新たに構築したサイトや設定ミスによるリスクを速やかに把握し、必要な対策を講じることが可能になりました。

まだ導入初期段階ですが、BreachRiskが検出した脆弱性のあるサーバーについて、状況を再確認し、担当者に対応を促すといった具体的なアクションにも繋げています 。