伊藤忠テクノソリューションズ株式会社(CTC)様が提供する「ネットスーパーサービス」でのWAF導入事例。情報サービス業界のリーディングカンパニーである伊藤忠テクノソリューションズ株式会社(略称:CTC)。他社に先駆け、クラウドビジネスにいち早く取り組んできたCTCがGMS(総合スーパー)・食品スーパー向けに提供する「ネットスーパーサービス」では、クラウド型サービスのセキュリティ対策として、クラウド型(SaaS型)WAF「Scutum(スキュータム)」が採用されている。CTCが求める高いセキュリティ要求に応えるために「Scutum」が採用された経緯を伺った。「CTCのネットスーパーサービス」の概要をお聞かせください。企業が独自にシステム構築をするオンプレミス型で提供していたネットスーパーソフトウェアをより多くのお客様のご要望にお応えするべく、2012年7月にクラウド型サービスとして提供を開始しました。CTCのネットスーパーサービスは、ネットスーパー事業の運営に必要なすべてのシステムを月額課金で提供しています。事業運営支援まで、ネットスーパー事業を総合的に支援するサービスをワンストップで提供することが可能です。クラウド環境でのセキュリティ対策は、オンプレミス型とは異なる仕様が求められます。提供する側、される側双方の負担を増やさずに、むしろ減らせるよう、試行錯誤しました。様々な仕様を比較検討し、必要とする全ての要件を満たすWAF「Scutum」を導入することにしました。「Scutum」選定の理由はどのような点でしょうか?導入の決め手は、CTCの運用負荷が少なく、低コストかつ短期間で導入可能というクラウドの強みを発揮しながら、高度なセキュリティサービスが提供される点です。運用力が極めて重要になります。WAFを入れてそのまま放っておくのでは、セキュリティ対策をしていないのと同じです。セキュリティ強度と価格のバランスをいかにとるかという点に、苦労しました。セキュリティ監視・管理を含めたWAFの運用には相応の知識や経験が必要ですし、強固なセキュリティ環境を維持するためには、専任の担当者が必要になる場合もあります。「Scutum」は、セキュリティの専門家によるWAFの運用も含めてサービスとして提供されるため、運用負荷や投資を最小化し、その分をサービスとしてお客様に還元できると考えました。そこで、行き着いたのが「Scutum」でした。「常にサービスレベルを向上させながら、より使い勝手の良いシステムを提供したい」という思い価格の面ではいかがでしょうか?初期のシステム投資や運用管理コストを必要とせず、全てを月額料金制サービスとして利用できるのは、メリットだと考えています。通信量に応じたきめ細かい料金設定がされているため、コストがビジネス状況に連動でき、最適性も実現されます。CTCのネットスーパーサービスも、必要な店舗数に応じて1店舗からでも利用可能な柔軟なサービス形態としていますので、セキュリティ対策コストの最適化は必須です。サービスを止めないために、「止まらないWAF」を今後「Scutum」に求めるものは?クラッカーからの攻撃が世の中に数多く出てきていますから、今後は「セキュリティに対する説明責任」が、より求められると考えています。クラウド型でサービスを提供する企業自身が「セキュリティ対策として、ここまでやっています」と、明確にアナウンスできなくてはならない、説明責任がサービス提供側に求められています。反対に、アナウンスできないサービス提供者は淘汰されるのではないでしょうか。ユーザーからは「何があっても止まらない」サービスを求められます。WAFが止まってしまっては「ネットスーパーサービス」も安全上の見地からサービスを止めざるを得ないため、「何があっても止まらないWAF」であることを、今後もお願いしたいと思います。多種多様な産業をカバーし、CTCグループ全体で「ITライフサイクル」をトータルにサポートする総合力や国内外のIT先進企業とのパートナーシップをもとにいち早く新しい技術に取り組み、ビジネスに活用する、マルチベンダー・総合システムインテグレーターとして知られる。近年はクラウドコンピューティングへの注力、ビックデータビジネスに向けたラボ環境構築などを戦略として打ち出している。