ロータスビジネスコンサルティング株式会社

IBM SoftLayerと高い親和性
クラウドの特性を活かしつつ安全性の強化に成功

概要

お客さまの課題

クラウドサービス「Cloud One for SAP Business One」にセキュリティパッチを適用するには、事前に検証期間が必要。その間は脆弱性が保護されておらずリスクが高かった

解決策と効果

総合サーバセキュリティ製品「Trend Micro Deep Security™」で、様々な対策を一元的に導入。「仮想パッチ」によって、検証期間中の脆弱性保護も行えるようになった

"基幹業務を支える Cloud One for SAP Business One にとってセキュリティは重要課題。多様なリスクに統合的に対応できるようになり、さらに自信を持ってお客様にお勧めできます"

ロータスビジネスコンサルティング株式会社
代表取締役社長
下郡山 正男 氏

"Hypervisor上で稼働する Deep Security は、インスタンスの追加にも対応しやすく、クラウドサービスである IBM SoftLayer との親和性が非常に高いと感じています"

ロータスビジネスコンサルティング株式会社
執行役員 エグゼクティブコンサルタント
SAP認定ソリューションコンサルタント(SBO)
大島 美貴 氏

"セキュリティパッチ適用前でも、脆弱性を保護してくれる仮想パッチは、安全性を高めてくれるだけでなく、私たちの運用管理負荷の低減にも効果がありました"

ロータスビジネスコンサルティング株式会社
コンサルティングサービス第3部 アソシエイト
赤石 昌代 氏

導入の背景

ERPパッケージや生産管理システム、BIシステムなどの構築に加え、グローバル規模の保守やヘルプデスクなど多様なサービスを提供するロータスビジネスコンサルティング。中でも、多くの実績を持つのがSAPソリューションの導入支援である。

SAPと戦略的なパートナーシップを提携し、システムの構築から導入、運用テスト、保守サポートまで、幅広い対応を行っているが、近年、新たにクラウドサービス事業も開始した。

具体的には、サービス基盤としてIBM SoftLayerを利用し、SAP Business OneをSaaS化したCloud One for SAP Business Oneの提供を開始。「お客様は自前のインフラを持つことなく、SAP Business Oneをサービスとして利用できます」と同社の下郡山 正男氏は述べる。予算や人員の限られる中堅・中小企業や、大企業の海外拠点への導入に最適なサービスとして、大きな注目を集めている。

お客さまの課題

Cloud One for SAP Business Oneは、顧客の基幹業務を支えるサービスである。そのため、セキュリティの確保は重要な要件となる。

当然、同社でも標的型攻撃の動向などを把握し、必要な対応を講じている。しかし、運用面の課題があった。具体的には、脆弱性への対応である。

「OSなどに新たな脆弱性が発見されると、セキュリティパッチが配布されますが、適用は慎重に行わなければなりません。まず、ローカルの検証環境でパッチを適用。その後、アプリケーションが正常に稼働するかどうかを確かめてから本番環境に適用することになります。作業は人手で行っていたため、脆弱性が見つかってからパッチを適用するまで、早くても3日程度の期間がかかっていました」と同社の大島 美貴氏は振り返る。

当然、この間に脆弱性を突く攻撃を受けてしまうと、大きな被害につながる可能性がある。「少しでも早くパッチを適用するために休日や夜間に作業することも多く、その負担も高まっていました」と同社の赤石 昌代氏は語る。

選定理由

課題解決のために同社が導入したのが、トレンドマイクロの「Trend Micro Deep Security™」(以下、Deep Security)である。

Deep Securityは、不正プログラム対策、IDS/IPS(侵入防御)、Webレピュテーション、ホスト型ファイアウォール、システムの変更監視、セキュリティログ監視など、多様なセキュリティ機能をオールインワンで提供する総合サーバセキュリティ製品だ。

「多様化・巧妙化する脅威に対し、個別にソリューションを導入するのでは、対策に漏れが出やすいし、運用負荷もさらに高まってしまいます。それに対し、Deep Securityなら多様なリスクに一元的に対応できます」と下郡山氏は選定の理由を述べる。

課題となっていた、脆弱性対策に関してもIDS/IPSによって運用負荷の高まりを抑止しつつ、安全性を保持することができる。

「検討段階で参加したハンズオンセミナーで使い勝手を体験し、運用の容易性を実感しました。しかも、トレンドマイクロはIBM Premier Business Partnerの一員。サービス基盤として利用するIBM SoftLayerとの親和性も高く、安心して利用できます」(赤石氏)

ソリューション

同社が利用しているDeep Securityの脆弱性対策は「仮想パッチ」とも呼ばれ、脆弱性を狙う攻撃をサーバ内のネットワークレベルでブロックし、「仮想的にセキュリティパッチが当たっている状態」を作り出すものである。ネットワークレベルでブロックすることから、システム側の修正が必要なく、稼働しているアプリケーションなどへの影響を最小限に抑えられる。

この特性を活かし、同社はセキュリティパッチの検証を行っている期間は、仮想パッチでシステムを保護しておくという運用を行っている。

IBM SoftLayerを活用した、Cloud One for SAP Business Oneのシステム構成イメージ

導入効果

Deep Securityの活用により、Cloud One for SAP Business Oneのセキュリティレベルは大きく向上した。

「これまで、セキュリティパッチの検証期間は脆弱性を保護できない『空白の期間』となっていましたが、リスクにさらされる期間を最小化できました」と大島氏は話す。

また、同時に課題となっていた運用管理負荷も軽減。「新たな脆弱性が見つかり、緊急パッチがリリースされると、以前は休日、深夜を問わず対応にあたっていました。現在は、仮想パッチによって保護されているという安心感があり、余裕を持って対応することができます」と赤石氏は言う。

ほかにも成果があった。Deep Securityなら、クラウドサービスならではの拡張性を損なうことなく安全性を強化できる点だ。

「Deep SecurityはVMwareのHypervisor上で稼働するため、マルチテナント環境でも、各インスタンスに対して総合的なセキュリティ対策が可能です。均質なセキュリティレベルを維持したまま、テナントの追加にも柔軟に対応できます」と大島氏は評価する。

例えば、IBM SoftLayerの「Auto Scaling」によって自動的に追加されたインスタンスも自動的にDeep Securityの保護対象にするといった対応も行える。

今後の展望

今後も同社はDeep Securityを積極的に活用し、さらなる安全性の強化に役立てたいと考えている。

「IBM SoftLayerは、仮想サーバだけでなく、物理サーバをプロビジョニングできるという特長があります。Deep Securityは、仮想、物理を問わず同じセキュリティポリシーのもとで一元管理を行えることから、お客様のニーズに応じた柔軟な環境選択が可能になると考えています」と大島氏は期待を寄せる。

このようにDeep Securityは、Cloud One for SAP Business Oneの安全性を支え、同社のクラウド事業の成長に大きく貢献している。

※ 記載内容は2016年8月現在のものです。内容は予告なく変更される場合があります。