エイチ・ツー・オー リテイリング株式会社

導入効果

• 統一された可視性とガバナンス
• リスクに応じたトリアージ
• 時間短縮とコストの最適化
• 透明性の向上

インタビューイ

熊坂 祐二 (CISSP、CISA)
エイチ・ツー・オー リテイリング 株式会社
総務・人事グループ リスクマネジメント室 情報セキュリティ推進部長

小売業におけるセキュリティ戦略と優先順位の定義

Q.グループ内での役割と日々の責任について教えてください。

熊坂様: 情報セキュリティ推進室では、グループ全体の IT ガバナンスとセキュリティ戦略の策定と実行を監督しています。当社は百貨店、スーパーマーケットなど多様な事業を展開しています。私の使命は、お客様の信頼を保護し、最も貴重な無形資産である最重要データを保護・安全保障しながら、DX によるサービス変革を安全にサポートする基盤を構築することです。

Q.現在、最優先するセキュリティは何ですか?

熊坂様: AIを活用したビジネスリスク評価による脆弱性トリアージの強化、グループ全体の IT 資産の可視化の拡大、組織全体のセキュリティガバナンス強化の 3 点に注力しています。

Q.優先順位についてさらに詳しく教えてください。

• AI によるリスクベースの脆弱性トリアージ
  熊坂様: 以前は、検出された脆弱性すべてに対して画一的なアプローチをとり、すべて同じように対処していました。しかし、システムが複雑化するにつれ、すべての情報をフィルタリングすることが難しくなりました。今後は、脆弱性優先度の格付け (VPR) などの Tenable の AI 機能を活用することで、実際の生産環境で最も悪用される可能性の高い脆弱性を客観的に評価できるようになることを目指しています。これにより、本当に注意を払う必要のある分野にリソースを集中させ、最小限の運用努力で効果的なリスク削減を達成できるようになります。
• IT 資産の可視化をグループ全体に拡大
  熊坂様: 守るべき資産とその所在を正確に把握すること、そしてそれをコスト効率よく行うことです。
• セキュリティガバナンスの強化
  熊坂様: ガバナンスをさらに強化するため、明確なセキュリティスコアを用いて、各事業部門が独自にリスクを把握して監視できる環境を構築しています。私たちが目指すのは、「保護する・安全保障するセキュリティ」から、「自律的に管理するセキュリティ」への根本的な転換です。

Q.小売業界特有のセキュリティ要件にはどのようなものがあり、どのように対処していますか?

熊坂様: 小売業は基本的に信頼の上に成り立つビジネスです。顧客の個人情報を保護することは不可欠ですが、業務の可用性も同様に欠かせません。当社の店舗や e コマースサイトにダウンタイムが発生した場合、ただちに販売機会の損失となり、お客様にご迷惑をおかけすることになります。多様なシステムが共存する環境では、特に M&A の後では、すべての資産を最新かつ包括的に把握することがビジネスにとって重大になります。ポイントインタイムの評価に頼るのではなく、経年変化を追跡できる継続的モニタリングの枠組みを確立して、めまぐるしく変化する小売環境に対応できるセキュリティを提供しています。

ハイブリッドとマルチクラウドの課題を克服:エイチ・ツー・オー リテイリングが Tenable の統合された可視性を選択した理由

Q.Tenable 導入を検討するきっかけになった課題は何ですか?

熊坂様: 最大の課題は、オンプレミスからマルチクラウド環境まで、グループ全体で IT 資産が多様化していることで、環境全体をリアルタイムで把握することがますます難しくなっていました。

従来は、主に対外的なシステムに焦点を当てた脆弱性評価を毎年、外部に委託して実施していたのですが、脅威の高まりとともに内部システムを含むすべての資産にわたって脆弱性を管理することが必要になりました。内部システムには非常に多くの IP アドレスが含まれるため、従来のアプローチでは非常にコストがかかるという難点もありました。包括的な可視化とコスト最適化の両方を実現するため、脆弱性管理を内製化し、プロセスを自動化することにしました。

Q.なぜ Tenable を選んだのですか?

• ソリューションの主な要件は?
  熊坂様: 外部アタックサーフェス管理 (ASM)、ウェブアプリケーションセキュリティテスト、プラットフォームアセスメント、IaaS セキュリティ構成アセスメントです。これらの機能をすべて、別々のツールで管理するのではなく、単一の統合プラットフォームで管理することが基本的な前提条件でした。これらの機能をすべて、別々のツールで管理するのではなく、単一の統合プラットフォームで管理することが基本的な前提条件でした。
• Tenable が正解になった理由は?
  熊坂様: 決め手となったのは、ハイブリッドなマルチクラウド環境全体で統一された可視性を提供できる Tenable の能力でした。インフラには、AWS、GCP、OCI のほか、オンプレミスのシステムもできます。管理業務のサイロ化が防げることは極めて大きな利点であり、緊急対応チームの意思決定を加速させ、ガバナンス全体を強化することができます。さらに、Tenable は外部アナリストから高い評価を得ていたので、ソリューションの品質に確信が持てました。

Q.最初の評価から完全実施までどれくらいの時間がかかりましたか?

熊坂様: 評価開始から本格デプロイメントまで約 6 か月かかりました。初期の段階では、検出された大量の情報をどう整理するかがひとつの課題でしたが、Tenable のスコアリング機能を活用して優先順位の高い問題から対処する明確な運用ルールを確立しました。これによって運用チームに過度の負担をかけることなく、スムーズなロールアウトを実行することができました。

定量的な利益、定性的なインパクト、そしてエイチ・ツー・オー リテイリングの安全保障への道のり

Q.デプロイメント後、どのような成果がありましたか?

熊坂様: 定量的な観点から見ると、脆弱性の特定と修正の速度は劇的に向上しています。脆弱性管理を内製化することで、これまで外注サービスに費やしていたコストが最適化できました。同時に、かつて手作業によるデータ収集に費やしていた時間を、実際の修正作業に充てることができるようになりました。

定性的には、経営層に対してセキュリティリスクを客観的な「スコア」として報告できるようになったことで、経営の透明性が高まったことが大きな収穫です。

Q.改善してほしい点はありますか?

熊坂様: 日本のユーザーコミュニティがさらに成長し、日本語のレポート機能が強化され、より直感的に使えるようになることを期待しています。Tenable は単なるベンダーではなく、当社のセキュリティ成熟度を高めるためのパートナーであると捉えています。

Q.今後の予定は?

熊坂様: 今後は、開発プロセスの早い段階でセキュリティを確保し、より安全なシステム開発手法を標準化するという「シフトレフト」戦略を進める予定です。また、導入したツールを十分に活用できるよう、チームの専門性を高めることにも投資していきます。技術と人材の両面を強化することで、安全性と信頼性でお客様に選ばれ続ける小売グループとしての基盤をさらに強固なものにすることを目指しています。

※ 2025 年 6 月現在