グループ会社からの感染をどう防ぐ？　インシデントから学ぶIT資産管理の要点

　総合工具メーカーのオーエスジーは世界35カ国に拠点を展開しているが、各拠点のITガバナンスが不十分だったことから、セキュリティに不安を抱えていた。実際に、2023年4月にはグループ会社のVPNの脆弱性を突かれ、本社の基幹システムがランサムウェアに感染するという重大なインシデントが発生している。

　そこで同社は、約70のグループ会社に対して外部公開のIT資産についてのヒアリングを実施した。しかし、拠点側に専任担当者が少なく、ITや情報セキュリティに関するリテラシーにも差があったため、手間と時間がかかったわりには正確な情報がつかめなかったという。

　アナログな情報収集では膨大な手間がかかることに加え、網羅性、精度、情報鮮度などの課題があることを実感した同社は、攻撃者の視点で自動的に資産を探し出すASM（Attack Surface Management）サービスを導入。その結果、限られたリソースで効率的に対処する運用体制を確立し、グループ全体のセキュリティガバナンスを飛躍的に強化させることができた。本資料では同ソリューションの詳細とともに、同社の運用ルールや連絡体制の構築など、具体的な取り組みについて紹介する。