上場に伴い、監査対応やガバナンスの強化が必要に

韓国の大手旅行会社HANATOURの日本法人で、訪日旅客向けの旅行代理業を展開するHANATOUR JAPAN。東証マザーズに上場する同社では、ITインフラ最適化のためAWSへのクラウドシフトをいち早くおこなっています。そのためAWSでのデータベース・ファイルサーバーの利用に際し、外部監査対応やガバナンス強化の必要性を感じ、AWSとの親和性が高いアクセス管理・データベース監査ツール『Aegis Wall』を導入。課題となっていた海外の関連会社からのアクセスや、社内のファイルサーバーへのアクセス・作業記録のシステムを構築し、適正コストで監査対応やガバナンスの強化を実現しました。

導入前の課題

HANATOUR JAPANでは、東証マザーズ上場に伴い、監査法人からIT全般の統制に関するチェックリストへの対応を求められていました。これまでオンプレミス環境にあったITリソースをAWS環境に移設・運用していくにあたり、各種アクセスや作業の記録管理をしていく必要に迫られていたのです。

「監視・記録対象は主に2種類あります。1つは自社サイト用のデータベースで、ここには開発を担当する海外の関連会社からのアクセスがあります。開発メンバーは複数いるので、データベースに対して、いつ誰がどのような操作をしているかを監視する必要がありました。もう一つは社内のメンバーが利用するファイルサーバーです。文書ファイルには機密情報も含まれるため、ガバナンス強化の観点から、どの社員がどのファイルにいつアクセスし、どのような変更を加えたのかの履歴を残す必要がありました」（HANATOUR JAPAN担当）

HANATOUR JAPANは、それまで自社でAWSと直接契約し、さまざまな環境を構築していたものの、サードパーティ製品を含む数多くのAWSサービスの中から限られた社内メンバーで最適な監査対応やガバナンス強化のための監視システムを構築することに苦戦していました。そこで、AWSの知識や導入実績が豊富な外部のシステムインテグレーターに依頼することになりました。

NHNテコラス社を選んだ理由

HANATOUR JAPANは当初、SOC（Security Operation Center）サービスなど、サイバー攻撃の検出や対策も含めたセキュリティサービスの導入も検討していましたが、監査法人が求める要件に対してコスト負担が大きいため、費用対効果が適正なサービスを探していました。そこでNHNテコラスに相談をし、アクセス管理・データベース監査ツール「Aegis Wall」の提案を受けます。

Aegis Wallは、アクセス時の多要素認証やパスワードを隠蔽した運用をはじめ、各種AWSリソースに対して個人を識別した形で証跡を管理し、アクセスの制御が可能となるため、監査業務の効率化を図れます。また、特権アクセス時の管理に加え、一般ユーザーのアクセス管理機能を用いることで、2種類の監視対象に対応できます。限られたメンバーでの運用が可能で、なおかつ監査法人が求める要件を適正価格で満たせるとして、Aegis Wallの導入を決断します。

「Aegis Wallの導入について韓国の本社側で承認を得る際、機能や価格に加えて、韓国企業での導入・運用実績や、NHNグループに対する信頼性も考慮しました。また、AWSパートナーとして実績が豊富なことはもちろん、質問に対するレスポンスも迅速かつ柔軟で、広範囲なIT知識や技術を持つという点もNHNテコラスを採用した理由になりました」（HANATOUR JAPAN担当）

求める要件に柔軟に対応し、統制強化と管理工数の削減を両立

導入プロセス

AegisWallは導入を決めてからわずか３か月で稼働を開始。自社サイト用のデータベースへのアクセス管理については、特に問題なく設計・構築できました。また、Amazon EC2上に展開された踏み台サーバーとしてのWindowsサーバーにログインして、データベースを操作する仕組みにすることで、開発会社のクライアント端末へのエージェントのインストールを最小限に抑えることができました。
さらにNHNテコラスでは、ファイルサーバーへ膨大なログが出力されていた際に最適な解決案を提案し、Aegis Wall範囲外の構築である一般ユーザーのファイルアクセス管理にもアドバイスをおこうなど、柔軟な対応と確かな技術力でHANATOUR JAPANを支援しました。

導入効果

Aegis Wallの導入によって、最適なコストで外部監査の求める基準に準拠するITインフラへのアクセス管理を実現しました。
「監査法人に対して定期的に提出するレポート作成が自動化・簡略化し、これまでレポートを作成していた担当者の手間が大幅に削減されました。RDP、自社サイト用のデータベース、社内のメンバーが利用するファイルサーバーのログを一元的に取得できるようになったため、当初の目的である、上場企業としての統制強化に大いに役立っています。
社内のメンバーや外部の関連企業など、さまざまな経路・アクセス先へのユーザーに対応できたのも大きな導入効果です。また、NHNテコラスには、親身になって相談にのっていただいたため、大変助かりました」（HANATOUR JAPAN担当）

今後の展望

現状、RDP、自社サイト用のデータベース、社内メンバーが利用するファイルサーバーのログ取得に留まっていますが、今後はログ取得の範囲を拡大させていく予定です。また、今回のAegis Wall導入の成功体験を活かし、NHNテコラスにIT全般の支援も期待しています。

「Aegis Wall の導入によって始まった関係でしたが、導入を進めていくなかでの迅速かつ柔軟な対応や、要件の対象外となるIT関連の相談に対しても助言を得たことで、信頼を寄せるようになりました。もともと当社で行っていたAWSリソースの管理・保守を負担に感じていたため、会社で利用中のAWSの契約を、NHNテコラスが提供するAWSリセールサービスのプランへ切り替えることにしました。そのほかのAWSリソースの管理・保守などIT全般においてNHNテコラスと相談していきたいと考えています」（HANATOUR JAPAN担当）