診断の会社が、脆弱性管理へ

ユービーセキュアの歩みは、セキュリティをもっと身近で、チャレンジを楽にするものへと変えていくための挑戦の連続でした。本連載「あの時の決断」では、今日に至るまでの数々の選択と、その裏にある想いに迫ります。

今回は、脆弱性診断からスタートしたユービーセキュアが、なぜ診断の「先」にある「脆弱性管理・運用」へと踏み込んだのかに注目。脆弱性管理まで、お客様の運用課題を解決するために必要な手段をそろえた、プロダクト事業本部担当役員の板倉さんにお話を伺いました。

ユービーセキュアは2007年の創業以来、脆弱性診断サービスや自社開発ツール「Vex」を提供しています。しかし、最前線でお客様と対話を重ねてきた板倉さんは、あるジレンマを抱えていたといいます。それは、精緻（せいち）な診断を実施してレポートを提出しても、運用フェーズで手が回らず、結果的に改修が進まないという現実でした。

板倉さん：アメリカやヨーロッパと違って、日本企業はトップダウンによる統制が難しい傾向にあります。アプリケーション自体が現場のニーズに合わせて作り上げられるカスタムオーダーメイド形式が多く、開発言語すら統一されていないことも珍しくありません。脆弱性をスキャンして「直してください」とお渡ししても、現場にはスムーズに通らないのが実態です。

海外では、脆弱性の放置は事業継続に直結するリスクとみなされ、経営トップから即座に直すよう指示が下ります。一方、日本ではトップダウンの統制が働きにくい環境です。

板倉さん：直せない理由は明確で、必要な人に対して必要な情報が与えられていないからです。一つのシステムをとっても、基盤担当・アプリ担当・認証担当と役割が分かれています。レポートを渡されても、細分化して「誰がどこを直すのか」を紐づけないと、各担当者が自分事として受け止められず、解消されないまま宙に浮いてしまう――。お客様自身が自社のIT資産を正確に把握しきれていないという課題がありました。

診断結果を提示して終わりにするモデルでは、真の課題解決に至りません。お客様自身がIT資産を把握し、自立して脆弱性を管理・運用できる仕組みまで支えることが求められています。このような現場起点での課題意識こそが、板倉さんの次なる事業展開への原動力となりました。

2012年に一度ユービーセキュアを離れ、外資系セキュリティベンダーなどで経験を積んだ板倉さんが再入社したのは2019年。会社からは従来の診断サービスとVexに次ぐ「新たな事業の柱」を構築することが求められていました。

再入社を前に、板倉さんはかつての取引先の経営層と対話を重ねていました。そこで見えたのは、ユービーセキュアが「Webアプリケーション専門の会社」と強く認識されていることでした。Webアプリケーションはセキュリティ全体から見ればごく一部にすぎず、事業を広げるにはプラットフォーム領域への展開が欠かせません。

そこで板倉さんは、診断領域の提供にとどまらず、お客様の課題である「脆弱性の管理・運用」まで踏み込んで支える決断を下します。手段として選んだのは、「自社でゼロから開発しない」という道。外資系セキュリティベンダー在籍時に培った人脈を活用し、市場で実績を持つ主要3プロダクト（Tenable、Rapid7、Qualys）をラインナップとしてそろえる形を選んだのです。

板倉さん：実は、創業当初に私が一番作りたかったのは、プラットフォーム全体の脆弱性を管理するツールでした。ただ、各種OSの脆弱性を追い続けるには膨大な工数がかかる。計算したうえで、まずはアプリケーションに集中すると決めました。それがVexの出発点です。2019年に戻った時、プラットフォームの必要性はさらに高まっていました。自分たちで作れればいいのは分かっていましたが、作るには時間がかかる。スピードを考えれば、実績のある製品を扱うほうが早いと判断しました。

事業の立ち上げ当初、取り扱っていたのはTenableのみでした。そこから板倉さんは、特定の1社だけでなく、主要3プロダクト全てを取り扱うことにもこだわりました。

板倉さん：Tenable、Rapid7、Qualysは、脆弱性管理の分野でアメリカの三大セキュリティベンダーと呼ばれる存在です。1社だけを提案していると、お客様は必ず残りの2社と比較します。どうせ比べられるのであれば、最初から3社を並べるのがいいと考えました。また、私たちにとってツールは、お客様の課題に対応するための手段です。だからこそ、特定の1社に絞らず、3社を取り扱っています。

一方、社内からは「似た製品を3つも並べて、どう説明するのか」と反対の声が多く上がりました。

板倉さん：似た製品であっても、お客様の状況に合わせて「なぜこの製品を提案するのか」を説明できるのがプロフェッショナルです。そこで製品ごとに専任の担当者を立て、それぞれが責任を持って説明・提案できるようにしました。こうして複数ベンダーと強固なパートナーシップを結び、「ユービーセキュアに相談すれば、自社に合った選択肢を提示してくれる」という体制を一気に作り上げました。

管理プラットフォームの幅広いラインナップが整ったことで、ユービーセキュアはお客様にとって「Web診断の会社」から「脆弱性管理全般を相談できるパートナー」へと認知が変わっていきました。プロダクト事業の売上は約1.5倍へと伸長し、経営の安定基盤として大きく貢献します。

お客様との関係性や会話も、質的に変化しました。提案の場はツールの機能比較ではなく、「インシデントが起きた時、誰がどうやって対応するのか」という運用の悩みを打ち明けられる場へと発展しました。

板倉さん：私は提案をする際に、よく車の購入に例えてお話しします。「車を買って何をしたいのですか？ スーパーに行きたいだけなら、軽自動車で十分じゃないですか？」といった感じですね。遠出したいならストレスにならない車が必要ですが、目的に合わないハイスペックなものを提案しても宝の持ち腐れになり、運用の負担が増えるだけです。お客様の本当の目的を見極め、運用できないのであれば代わりに私たちが運用するサービスモデルも提案するなど、身の丈に合ったやり方を理解していただくよう、徹底しています。

運用に伴走する姿勢が表れたのが、事業立ち上げ時に挑んだグローバルに展開する大手企業グループでの案件でした。ホールディングス体制の中で各グループ会社の運用が統一されていない難案件に対し、板倉さんはお客様の組織へ深く入り込んでいきました。

板倉さん：お客様の組織内のプロセスや、意思決定に関わる会議体の全ての役割を把握したうえで「このタイミングで役員会議に提案しましょう」と担当者と二人三脚で準備を進めました。担当者と同じ目線でプロジェクトを推進していたので、経営陣から「あなたはうちの社員ですか？」と笑われたほどです。

お客様社内では導入完了まで1年以上かかると見込まれていたプロジェクトを、1年弱で完遂しました。

板倉さん：各社の運用を統一することで、統廃合で消滅し、管理が曖昧になっていた旧グループ会社のデータなども洗い出され、潜在化していたIT資産の可視化まで実現できました。これは、ツールを手段として、お客様が自立して運用できる体制を構築できた事例です。

クラウド移行の加速や、協力会社に起因するサプライチェーンのリスクなど、企業を取り巻く脆弱性管理の難易度は年々高まっています。海外拠点を持つ企業では、各国のルールや法規制への対応にも追われているため、担当者が自力で全てを把握するのは困難な状況です。

板倉さん：脆弱性管理には決まった正解がなく、多くのお客様が試行錯誤しながら手探りで取り組んでいるのが実情です。そのため、私たちが情報を先駆けてキャッチし、各国のルールや環境に合わせた提案を行っていく必要があります。自社の都合を優先するのではなく、お客様の課題領域に合わせて柔軟に解決策を提示し続けることが私たちの役割です。

ユービーセキュアは自社開発製品を持ち、長年培ってきた技術会社としての土台を備えています。海外製品を扱うようになっても、その技術的な知見があるからこそ、製品の特性を深く理解し、お客様の環境に合わせた提案ができます。これは変化の早い時代において、お客様に最適な選択肢を提供し続けるための強みです。

板倉さん：私にとって仕事で一番大切なのは、お金ではなく、心の底から「楽しい」と思えることを追求することです。ただお金を求めるだけの営業では、敵を作ったり、騙されたと思われたりして、本当の面白さは得られません。お客様と真剣に議論し、現場の困り事を解消して楽になってもらう――。人と人との良い関係性を築き、必要なものを最速で届けることが何よりのやりがいだと思います。

外資系セキュリティベンダーで鍛え抜かれたビジネス視点を持ちながら、お客様の現場に深く寄り添う板倉さん。診断の枠を超え、相手が必要とするものをそろえる情熱は、これからも多くのお客様の挑戦を根底から支え続けていくはずです。