Prop Tech plus株式会社は、不動産ファンド・REIT業界に向けて、業務システムやデータ基盤、Web・IRソリューションなどを提供しています。
同社では、多数のAWSアカウントでセキュリティ対策に差が生じていたことから、クラスメソッドの「セキュリティ強化プログラム」を活用し、課題の整理と今後の改善方針を検討しました。約2カ月間にわたるプロジェクトについて、エンジニアリングアドミニストレーター部 副部長の依田さん、経営企画室 室長の水巻さん、Webソリューション部・経営企画室の白川さん、経営企画室の清水さんにお話を伺いました。
多数のAWSアカウントで生じたセキュリティ設定のばらつき
Prop Tech plusでは、AWS Organizationsを利用し、一つの管理アカウントの下に多数の業務アカウントを配置しています。同社が各アカウントの環境を構築・管理し、その上で稼働するWebサイトやアプリケーションを顧客へ提供。顧客ごとの要件に応じながら、長年にわたり環境を構築してきました。
Webソリューション部が管轄する業務アカウントは約120に及びますが、構築時期や顧客から求められた要件が異なるため、セキュリティの設定や対策には徐々に差が生じていたといいます。以前は一つのAWSアカウント内に複数の顧客環境を置くケースもあり、環境をより適切な単位で管理するため、アカウント構成そのものを見直す必要もありました。一方、アカウント構成の変更のみで、会社全体として求めるセキュリティレベルを統一できるわけではありません。こうした課題に対し、Webソリューション部と経営企画室を兼務する白川さんが実働の中心となり、セキュリティの改善への取り組みをスタートしました。
「管理アカウント配下の業務アカウント全体を把握し、セキュリティ運用を見直す必要がありました。業務アカウントも、現在の構成で要件を満たせているのか、強化するならどの対策を講じるべきか、判断基準が整理されていなかったんです。課題は認識していても、全体最適に向けた着手点を見極めきれていませんでした」（白川さん）
同様の課題意識は、経営企画室や事業インフラチームにも共有されており、会社として共通のセキュリティ基準を整える必要性を認識していました。
「会社のセキュリティをどう守っていくかを考える中で、もう少し共通のベースラインを整えていかなければならないという課題感がありました。先に別のクラウド環境で似た取り組みを行っていたこともあり、AWSでも同様の取り組みを進める流れが生まれたんです」（水巻さん）
「どこまでやるべきか」を自社だけで判断する難しさ
同社にもAWSの知識や技術力があり、ベストプラクティスをもとに自社のセキュリティ状況を確認することは可能でした。しかし推奨事項は多岐にわたり、すべてを同じ優先度で取り入れるのは現実的ではありません。自社の環境や体制に即して優先順位と対応範囲を定め、着地点を判断するには相応の時間とリソースが必要でした。
「自分たちだけでも、やってやれないことはないと思います。ただ、一つずつ確認していけばかなりの時間がかかりますし、どこを一つの区切りとするかを決めるのも簡単ではありません。そうした部分では、外部の知見を借りながら進める必要があると感じていました」（依田さん）
そこで相談したのが、AWSの利用を支援しているクラスメソッドでした。
同社とクラスメソッドの関係は2022年頃に始まります。当時、AWSを直接契約で利用していた同社は、クレジットカードの利用限度額などを背景に、日本円建ての請求書払いが可能なサービスを検討。AWS Organizationsへの対応やコスト、DevelopersIOの技術情報、問い合わせ対応などを評価してクラスメソッドを選定しました。その後もAWS運用のさまざまな場面で相談を重ね、継続的な支援関係を築いています。プロジェクトでは、外部の力だけで課題を解決せず、得た知見や判断軸を社内に蓄積する方針を重視。白川さんを中心に自社メンバーが主体となり、継続改善できる体制づくりを目指しました。
「目の前の課題を外部に解決してもらうだけではなく、社内に知見を残していくことを重視しました。白川を中心に自分たちでも考えながら進め、その経験を今後の取り組みに広げていきたいという考えがありました」（水巻さん）
2つのAWSアカウントで現在地と課題を確認
アセスメントの対象となったのは、約120ある業務アカウントすべてではありません。会社全体に関わる管理アカウントと、今後のロールモデルとして位置付ける一つの業務アカウントを選び、全社標準と実際の顧客環境という二つの視点から現状を確認しました。
約2カ月間にわたるアセスメントでは、クラスメソッドから提示されたシートに同社側が回答し、その内容をもとにミーティングで確認を重ねました。初回は構成図も共有し、システム構成や課題について認識をそろえています。
回を重ねるごとに確認すべき項目は複雑になり、白川さんにとっても、自社のAWS環境を改めて深く知る機会となりました。普段の担当範囲だけでなく、自身が入社する以前から残る環境や、これまで触れる機会が少なかった領域まで調べながら、一つずつ現状を整理していったといいます。
「フェーズが進むにつれて理解しなければならないことが増え、分からない部分はその都度質問しながら進めました。水巻や依田にも力を借りながら取り組む中で、知識が深まる一方、知れば知るほど新たな疑問も出てきた感覚です」（白川さん）
アセスメントでは、課題の洗い出しに加え、変化するセキュリティ環境へ自ら対応するための人材育成も重要なテーマでした。白川さんは現在「AWS Certified Security - Specialty」の取得に向けて学習中。クラスメソッドへの相談を通じ、学ぶ資格や教材も具体化したといいます。
「資格を取ること自体が目的ではなく、その知識を仕事でどう生かすかが大切だと思っています。私自身が学んだことを共有しながら、セキュリティを誰か一人に任せるのではなく、一人ひとりが気づき、対応できる体制を作っていくのが目標です」（白川さん）
自社に合った現実的なセキュリティ対策を探す
クラスメソッドの支援で同社が特に評価したのは、一般的なベストプラクティスをそのまま当てはめるのではなく、自社の体制や運用状況を踏まえ、現実的な優先順位や対応方針まで一緒に整理できた点です。
セキュリティ対策には早期に着手すべきものがある一方、限られたリソースの中では、重要度や緊急度を踏まえて優先順位を定める必要があります。理想的な状態だけを提示するのではなく、現在の同社に必要な対応を見極め、現実的な線引きまで相談できた点が高く評価されました。
「こうした取り組みは『これが正解だから、これをやらなければならない』と杓子定規になりがちです。しかしクラスメソッドには、我々の企業体力や現在の状況を踏まえて、『これは後回しでもいいかもしれません』というところまで含めてアドバイスをいただけました」（水巻さん）「理想的な状態をそのまま追いかけるのではなく、我々の体制やリソースを踏まえて、現実的にどこまで取り組めるのかを一緒に考えていただけました。我々としても実行可能な路線に収めてもらえて、非常に助かりました」（依田さん）
最初から完璧な仕組みを目指すのではなく、まず実行可能な形から取り組み、運用を重ねながら精度を高めていくという考え方。こうした実情に即した改善の進め方は、白川さんにとっても大きな学びとなりました。
「最初から100点満点のものを作るのではなく、回数を重ねながらブラッシュアップしていけばよいと考えられるようになりました。それによって、自分たちでも改善を進めていけるという手応えを感じています」（白川さん）
継続的なセキュリティ強化に向けたスタートライン
約2カ月間のプログラムを終え、同社は現状と課題を整理し、改善の優先順位を明確にしました。早期に対応すべき課題と中長期の課題を切り分け、具体的な改善へ移行する土台も整っています。
「課題が明らかになり、さまざまな気づきを得られたことで、ようやくスタートラインに立てたと考えています。今後は、手を付けやすく効果が高いものから優先順位を付け、白川を中心に改善を進めていきます」（水巻さん）
経営企画室の清水さんにとっても、アセスメントは今後の運用方針を整理する機会となりました。
「権限周りは基本的に私が担当しているので、ログインの入り口が複数ある状況を今後どう整理していくかは、以前から課題として感じていました。今回、クラスメソッドとのディスカッションを重ねる中で、今後の方向性が見えてきたことは非常に大きかったと感じています」（清水さん）今回の伴走支援を通じて、クラスメソッドとの距離が縮まったことも、今後の取り組みを進めるうえで一つの成果となりました。
「以前は、サポートにあまり頼らずに自分で解決しなければならないと考えていました。しかし今回、一度回答して終わるのではなく、状況を確認しながら本当に困っていることを理解しようとしてくれることが分かり、以前より相談しやすくなりました」（白川さん）
多数のAWSアカウントに共通するセキュリティのあり方を見直し、専門家とのアセスメントを通じて、自社が向き合うべき課題と優先順位を明確にした同社。今後も社内に蓄積した知見とクラスメソッドとの伴走関係を生かしながら、一つずつ課題の改善に取り組み、継続的なセキュリティ強化を実現していきます。
