積水化成品：ServiceNowで脆弱性対応を短期間に構築、年間60営業日の期間短縮を実現

Before

1969年に設立し、発泡プラスチックスのパイオニアとして発展してきた積水化成品工業は、創立以来培ってきた発泡技術や重合技術を進化させ、さまざまなフィールドに製品やサービスを提供している。

同社はDX戦略を推進していく上で欠かせない情報セキュリティのグランドデザインを描く必要に迫られていた。ランサムウェアをはじめとする大規模なサイバー攻撃の多くが、システムや機器に潜在する既知の脆弱性に起因していることや、DXなどの戦略的IT投資に向けた人的リソースの確保も求められるという状況に直面していた。

「人材再配置やリスキリングの課題を踏まえ、DXをはじめとする戦略的施策が停滞する状況を打開すべく、少人数での脆弱性対応業務を実現する体制構築が急務と判断しました」と、情報システム部大阪情報システムグループインフラ担当の阪口恭平氏はプロジェクトの背景について述べる。

ServiceNow導入以前のサイバーハイジーンの管理は、クラウドおよびオンプレミス環境で稼働する各種システムやネットワーク機器から検知された「脆弱性の台帳登録」から「影響有無の調査」までのほとんどの工程を、担当者の目視と手作業に頼っていた。

報告を受けた上長も対応是非を判断する根拠が不足しており、また、実際の対応や関連する申請は別手続きで、過去の作業履歴も追いづらい状況だった。サイバーハイジーンを維持するだけなら脆弱性スキャナーがあれば事足りるかもしれないが、DXを推進していく過程で拡大していく多様なアプリケーションに対し、変化に柔軟に対応できるインフラを実現する必要があった。

AI導入内容

積水化成品はServiceNowを導入し、セキュリティ基盤を構築することを決定した。SecOps、ITOM、ITSMの3つのソリューションを採用し、包括的な脆弱性管理システムを構築した。

わずか3.5カ月の短期導入

積水化成品の取り組みで注目すべきは、2024年9月のキックオフからわずか3.5カ月という短期間で基盤構築を成し遂げたことである。プロジェクトを全面的に支援したシステムサポート名古屋支社デジタルイノベーション事業部マネージャーの竹腰祐記氏は、「弊社はServiceNowパートナープログラムにおける最上位のElite Partnerとして、10年以上の経験を有するプロフェッショナルを中心にチームを構成しました」と話す。

「お客様と常に緊密なコミュニケーションをとりながらプロジェクトを進めてきましたが、特に阪口様は、打ち合わせの席で議題に挙がった検討項目について、ほとんど持ち帰ることなくその場で回答してくださいました。ServiceNowの標準機能をOOTBでそのまま使えばよい部分、ローコード機能を使ってカスタマイズする部分なども、明確かつ迅速に切り分けていただき、とても助かりました。こうした意思決定の速さこそが、今回の短期導入を実現できた最大の成功要因となっています」と、同じくマネージャーとしてPMOを務めた白井裕子氏は語る。

Vulnerability ResponseとPredictive Intelligenceの活用

積水化成品はServiceNowの Security Operations（SecOps） を中核に、脆弱性対応の自動化を実現した。

機械学習による脆弱性の自動解析 ServiceNowのPredictive Intelligenceを活用し、脆弱性スキャナーから取り込まれた膨大なデータを自動的に解析。ヨコオと同様、資産の重要度と脆弱性の深刻度（CVSSスコア等）を掛け合わせ、組織にとっての「真のリスク」を算出する。これにより、上長はAIが生成した客観的な優先順位に基づいて、対応の要否を迅速に判断できるようになった。

ITOMによる資産のリアルタイム紐付け IT Operations Management（ITOM） により収集された最新の資産情報と、検知された脆弱性を自動的にマッチング。手作業による「脆弱性台帳」の更新作業を完全に排除し、脆弱性対応のリードタイムを年間60営業日分短縮することに成功した。

資産管理と変更履歴のナレッジ化

自動収集した資産情報に対し、実施した変更履歴を自動的にリンクさせることで、過去の対応エビデンスを自動生成する。これは将来の監査対応やセキュリティナレッジとして活用され、インフラ担当者の工数削減（年間約114人日）に大きく寄与している。

After

2024年12月中旬より利用を開始したServiceNowは、積水化成品のインフラ管理業務ですでに多くの成果をもたらしている。

年間60営業日分の対応期間短縮

「定量的な観点において注目すべきは、検知された脆弱性への対応判断までのリードタイムが大幅に短縮された点です。これにより、年間で約60営業日分の対応期間短縮を見込んでいます」と阪口氏は語る。

年間約114人日分の工数削減

脆弱性を監視し続けるインフラ担当の工数が年間約114人日分削減されると想定しており、これらの創出されたリソースを戦略的IT投資に活用することが可能となった。

多面的な運用効果

脆弱性スキャナーだけでは対応できない通常のパッチ適用だけでは解消されないWindowsのオプトイン機能の脆弱性を含めた「脆弱性見逃しリスクの低減」をはじめ、「脆弱性の対応方法調査時間の短縮」「クラウドネットワーク構成の可視化」、「各ソフトウェアのバージョン一元把握基盤の実現」、「資産管理情報のリアルタイム性向上」といった効果もあげている。

サイバーハイジーンとDXの両立

「ServiceNowによる脆弱性対応の基盤を整備することで、その業務にあたる人員やコストを最小限に抑えつつ、同時にサイバー攻撃による情報漏えいや事業停止などの経営リスクを軽減できる仕組みを実現することができました」と、情報システム部長の蓬田律氏は評価する。

「サイバーハイジーンを維持とDX推進に必要な人的リソースの確保という『守りと攻めのIT』を表裏一体として考え、取り組むことが重要です」という阪口氏の考え方が具現化され、少人数での効率的なセキュリティ運用体制が確立された。

積水化成品は今後もServiceNowの活用範囲を広げ、DXを支えるセキュリティ基盤のさらなる強化を進めていく計画である。