株式会社Preferred Networks 様

　自社開発の半導体を使ったスパコンと最先端のAI関連技術を通し、様々な社会問題の解決に取り組んでいるPreferred Networks。業務分野は新素材開発、プラント自動化、ヘルスケア、ロボット、金融など多岐に渡り、国内の大手企業からも注目を集めている企業です。

　同社はAWSやGoogle Cloud、MicrosoftAzure、Alibaba Cloudなど多種多様なパブリッククラウドを活用していますが、それらのセキュリティ面については課題を感じていました。CSO（Chief Security Officer）の汐田氏はこう語ります。「既にCSPMを導入していましたが、プロジェクトによって活用状況も異なり、全社展開やルール化もできていませんでした。そこで、改めてCSPMを最新の情報で評価し、クラウドセキュリティを再定義しようと考えました」。

　一方、同社ではKubernetesで構成されたプライベートクラウドも運用しています。パブリッククラウドのみならず、プライベートクラウドに適したランタイムセキュリティの検討も必要でした。同社で機械学習プラットフォームを担当するエンジニアの小松氏は、「プライベートとパブリックのクラウドを組み合わせてユーザーへ使いやすい環境を提供する中で、求められるセキュリティ対策は変化し続けます。そのため、常に最新のアタックサーフェスを特定し、それらの状況をモニタリングし続ける必要があります。また、より柔軟で効率の良い計算基盤を提供する上で、より高度なセキュリティ対策を検討していました」と振り返ります。

　Preferred Networksでは、既存のCSPMと比較する形でいくつかの製品を検討したといいます。2023年の年末からWizの評価を始め、PoVを経て2024年3月に契約を締結。現在（2024年4月取材）は本格的な導入作業を進めているそうです。

　Wiz選定の決め手になったのは、CSPMも含めたCNAPPとしての品質と完成度の高さだと汐田氏は語ります。「システム全体の設定を見渡して、リスクが最終的にどのように顕在化するかという観点で、高い精度でリスク評価してくれました。『Wizがクリティカルと評価するものは、本当にクリティカルな問題』という印象です」。

　加えて同社で機械学習プラットフォームを担当するエンジニアの奥井氏もCNAPPとして評価を次のように語ります。「他社製品のダッシュボードで表示される『クラウドの設定上の不備がこれだけあります』というような粒度が小さい指摘はWizのダッシュボードには表示されません。CSPM単独で評価したPCI DSSなどの業界標準のリスクアセスメントも、あえて有効化しないと表示されません。表面的なリスクではなく、システム全体を多面的・複合的にみて本質的な問題をしっかり見せようというWizの製品コンセプトの意思を感じました」。

　また、Wizが多種多様なクラウドに対応している点も汐田氏は高く評価しています。「当社では様々なクラウドを使っているため、それらに広く対応できるかどうかが重要でした。Alibaba Cloudやプライベートクラウド含め対応している製品は少ないです」。

　本格導入を進めている最中ですが、Wizへの期待は高まっています。「PoVでは、複数のチームで長期間利用されてきた環境で行いました。IaC (Infrastructure as Code) による管理などが徹底されていないレガシーな運用で、現在の管理者が認識しきれないような古い設定がありうる管理が難しいアカウントです。セキュリティエンジニアでもリスク把握が難しいそのような環境でも、しっかりと問題点を掘り起こすことができ、感動しました」と語る汐田氏。「インシデントに繋がる可能性のあるリスク要因を、インシデントが発生する前に的確に見つけられたのは幸運です」とも話してくれました。

　一方、プライベートクラウド向けの導入については検討が続いているといいます。小松氏は「比較検討対象が多く、結論が出ていないため本格的な導入はまだです。しかし、WizはUIがかなり見やすく、高いUXだと感じています。また、ランタイムセキュリティではレピュテーションサービスが特徴的でした。マルウェアの検知でも、他社では攻撃者にとって偽装が容易なプロセス名やファイルパスを使った評価が多い中、ちゃんとファイルの実体を評価しているのはすごいと感じています」。

　また汐田氏は、Wizの製品サポートについて「問い合わせるとすぐに回答が返ってきましたし、直接問い合わせづらい込み入った内容のときは東京エレクトロンデバイスに相談し、柔軟に対応頂けました」とWizのレスポンスの早さと東京エレクトロンデバイスの柔軟性も高く評価しています。加えて小松氏は、「新しいソフトウェアの脆弱性情報が公開されたときにも、Wizのポータル上ですぐに記事が更新されていました。Wizの専門家が記事を更新しており、説明の内容も信頼できるものでした」と情報提供に関しても満足していると語ります。

　製品の本格的な導入を進める一方で、よりポジティブなセキュリティを実装していきたいと語る汐田氏。「社内に求めるベースラインやルールを制定することを主とするのではなく、常にセキュリティリスクを把握できている状態を維持できる体制を作っていきたいです。そのためにも、パブリッククラウドとプライベートクラウド双方に向けて、Wizをはじめ様々なツールを組み合わせていく方針です。また、社内の各プロジェクト担当者の裁量を維持するだけなく、プロジェクトが取れるシステム構成の選択肢を増やし、セキュリティの力で事業価値を生み出していきたいです」。と今後の方向を示し締めくくりました。