Capy、grasysの支援でSBOMを活用した脆弱性管理体制を構築
Capy株式会社は、株式会社grasysの支援のもと、SBOM（Software Bill of Materials：ソフトウェア部品表）を活用した脆弱性管理体制を構築しました。不正アクセス対策サービス「Capy CAPTCHA」を支えるインフラにおいて、ソフトウェアの構成要素を定期的に可視化し、最新の脆弱性情報と照合します。検出された脆弱性は株式会社grasysがシステムへの影響範囲や対応優先度を一次評価し、その結果をもとにCapy株式会社が対応の要否を判断します。
体制強化の背景と従来の手作業における課題
Capy株式会社は、金融、EC、メディアなど幅広い業種の企業に、Webサービスへのアクセスが人間かbotかを判別する「Capy CAPTCHA」を提供しています。サービスを安定して提供するには、OSやミドルウェア、ライブラリなどの脆弱性を継続的に把握し対応することが求められます。
従来は外部ベンダーによるセキュリティ診断に加え、ニュースやSNSなどから情報を収集して自社環境への影響を個別に確認していました。しかし、ソフトウェアを構成する多数のコンポーネントや依存関係を手作業で確認する必要があり、影響確認だけで長い場合には2日程度を要するケースもありました。こうした状況を受け、自社システムへの影響と対応の要否をより迅速に判断できる体制の構築が進められました。
SBOM解析ツールの導入とSSVCによる優先度評価
構築された仕組みでは、オープンソースツールの「Syft」と「Grype」が活用されています。「Syft」でソフトウェアの構成要素を解析して「CycloneDX」形式のSBOMを定期的に生成し、そのデータを「Grype」を用いて最新の脆弱性情報と照合します。
検出された脆弱性については、株式会社grasysが影響範囲や攻撃到達の可能性などを確認します。優先度の判断には、脆弱性の悪用状況や攻撃の自動化可能性、資産の露出度、業務への影響度などを考慮する「SSVC（Stakeholder-Specific Vulnerability Categorization）」の考え方が取り入れられています。株式会社grasysから整理された評価結果と根拠の報告を受け、Capy株式会社が最終的な対応要否を判断することで、確認作業の負担軽減と迅速な対応判断につなげています。
本番環境への負荷を抑えるスキャン構成
継続的な確認にあたっては、スキャン処理が本番サービスへ及ぼす影響への対策も講じられました。「Capy CAPTCHA」では導入企業のキャンペーン等によってアクセスが急増することがあり、過去には脆弱性スキャンとアクセス集中が重なってインフラのリソースが逼迫した経緯がありました。
そのため、稼働中のサーバーを直接スキャンする手法を避け、複製したディスクをスキャン専用のインスタンスで検査する構成を採用しました。本番環境と分離した環境で検査を行うことで、サービスへの負荷を抑えた継続的な脆弱性確認を実現しています。
取り組みの詳細公開と今後の展望
本取り組みの詳細は、ITmedia Enterpriseのタイアップ記事「“人海戦術に頼らない”脆弱性管理の現実解 専門家も評価した『運用のかかりつけ医』―SBOM運用を『形だけ』で終わらせない」（https://www.itmedia.co.jp/enterprise/articles/2610/27/news004.html）でも紹介されています。記事内では技術構成や運用の詳細のほか、Capy株式会社の技術顧問である松本悦宜による、専門パートナーとの役割分担や継続運用の重要性に関する解説が掲載されています。
Capy株式会社は今後も本体制の改善を継続し、脆弱性管理を日常的なインフラ運用に組み込むことで、迅速な対応判断と安定したサービス提供の両立を目指す方針です。
Capy株式会社の概要
- 会社名：Capy株式会社
- 代表者：代表取締役社長 岡田 満雄
- 本社所在地：〒100-0005 東京都千代田区丸の内2丁目2-1 岸本ビルヂング6階
- 設立：2017年8月
- 事業内容：不正ログイン対策ツール「Capyキャプチャ」の開発・提供、生体認証ソリューションの開発・提供、セキュリティコンサルティング
- 公式サイト：https://corp.capy.me/ja
- YouTube：https://www.youtube.com/channel/UCm_0cmxYAkxez5lCScqV7zg
- お問い合わせ先：Capy株式会社 広報担当（Email：info@capy.me）
本記事はCapy株式会社の発表をもとに作成されています。
ビジネスパーソンの課題解決と納得感にこだわるDellows News編集部。キャリア論からAI、健康法まで幅広い分野に対応し、複雑なテーマでも平易な言葉で丁寧に解説。読者が「明日から使える」知識やヒントを得られるよう、具体的な事例・データ・専門家の見解を交えて執筆。情報を整理し、納得感ある記事づくりを心がけています。
