【導入事例・株式会社バリューＨＲ】何が起きてもおかしくない時代に、「脅威を封じ込める」というセキュリティをHP Sure Click Enterprise導入で実現

株式会社バリューＨＲ

• 「健康情報のデジタル化と健康管理のインフラ企業」をビジョンに掲げ、自社開発の健康管理プラットフォーム「バリューカフェテリアR」を活用し、企業・健康保険組合・個人の健康管理・増進を支援する株式会社バリューＨＲ（以下、バリューＨＲ）。健診予約から結果管理、特定保健指導、ストレスチェックなど、従業員の健康データを一元管理するワンストップサービスを提供している。また、自社サービスを活用して健康経営を実践し、健康経営銘柄に複数回選定されるなど、健康管理のプロフェッショナルとして高い評価を得ている。

企業を狙うサイバー攻撃は悪質化・巧妙化する一方だ。従来の「検知」を前提としたアンチウイルスソフトでは、未知の脆弱性を突く攻撃や、ランサムウェアによる攻撃を100%防ぐことは不可能に近い。5万社以上、延べ300万人の健康データを預かるバリューＨＲが選択したのは、HP Sure Click Enterpriseの導入により「侵入も感染もさせずに、被害を無効化する」というこれまでにないアプローチだった。

目的

• 従来のアンチウイルスソフトでは防ぎきれない脅威への対策

アプローチ

• HP Sure Click Enterpriseの導入

システムの効果

• マイクロ仮想マシンによるHP独自の仮想化機能を活用した脅威の隔離を実現
• ユーザーの「うっかりクリック」のリスクに対処

ビジネスの効果

• 個人情報を含む機密データの厳格な保護
• 従業員の生産性と心理的安全性の向上
• 社会的信頼とグローバルなセキュリティ基準への対応

個人情報を大量に扱う企業の実効性あるセキュリティ対策

バリューＨＲは、法人向けに健康管理・健康経営を支援するサービスを提供している企業だ。法人の健康診断業務の代行サービスを中心に、これまで5万社以上・延べ300万人に向けて健康管理サービスを提供している。企業や健康保険組合の健康診断の運用は、健康診断の案内準備・予約・受診状況管理・結果回収／データ化・事後フォローなど、業務が多岐にわたり、法人の実務負荷は大きくなりがちだが、バリューＨＲはその運用を仕組み化し、企業の人事・総務・健康管理部門の負荷軽減と、従業員の健康管理の推進を両立する支援を実施している。また、バリューＨＲ自身が自社のサービスを活用して健康経営を実践し、健康経営銘柄の選定を受けている。その実績から得られたノウハウを活用し、健康管理の運用支援に加え、健康経営支援コンサルティングも行うなど、健康管理のワンストップサービスを提供している。

「直近では、これまでに蓄積してきた健康診断結果データの活用をさらに進め、AIによる健康予測アルゴリズムの研究開発を行いました。AIが最新の健康診断結果から12の主要な検査項目（血圧、血糖値、脂質など）の3年後の数値を予測します。現在の生活習慣（食生活、運動、飲酒など）から確認された課題のうち、何を改善するかを選択するだけで改善シミュレーションができます。サービスを採用されている法人の方々からもご好評いただいています」と、独自のAIへの取り組みを語るのは情報システム本部 本部長の関氏だ。

バリューＨＲではその業務内容の特性上、ユーザー企業従業員の個人情報を大量に保有している。

「そうした情報を外部に決して漏らさないということを大前提に、国のガイドライン遵守を含めたセキュリティポリシーを策定し、毎年のようにセキュリティ強化施策を実行しています。エンドポイント対策には特に注力しており、セキュリティ製品やソリューションの導入を積極的に進めてきました」と取り組みを紹介するのは、情報システム本部SAグループでマネージャーを務める神田氏。

近年、官公庁からセキュリティ強化を要請するガイドラインや指針は、脅威の巧妙化・悪質化に合わせて追加・改定され、具体的かつ実践的な内容へと変貌している。特に、2022年から2023年にかけては厚生労働省、総務省、経済産業省が各個に定めていた医療情報システムに関するガイドラインが、3省2ガイドラインへと大幅に改定・統合された。医療機関と事業者側で分かれていたセキュリティ要件が包括的にまとめられたことは、バリューＨＲのビジネスにも大きな影響があったという。そうした激しい環境変化に対応すべく、セキュリティレベル向上は恒常的な課題となっていた。

「ネットワーク全体のゲートウェイには多様なフィルターを設けているのに加え、エンドポイントに関しては全社的にアンチウイルスソフトを導入して対応していました。ですが、昨今の脅威はそれをすり抜けて侵入してくるものが増えています。そこへの対策は急務であると捉えていました」（神田氏）。

「主に外資系企業のお客様から、セキュリティレベル強化へのリクエストも顕著になっていました。やはりそうした企業様の場合、グローバルのセキュリティ基準がベースになりますので」（関氏）。

このセキュリティレベル強化の課題に対して、バリューＨＲが出した答えはHP Sure Click Enterpriseの導入だった。

米国国防総省にも採用されたエンドポイント防御

HP Sure Click Enterpriseは、従来の「検知」頼みだったクライアントセキュリティの限界を突破する革新的なソリューションだ。これはブラウザのタブやメールの添付ファイルを開くたびに、CPUのハードウェア機能を活用したファイルのアプリケーションやブラウザのタブ単位のマイクロ仮想マシンを生成するというもの。物理PC内に、完全に隔離された仮想マシンが作られると考えればいいだろう。万が一、展開したファイルにマルウェアが含まれ、それが起動したとしても、マイクロ仮想マシン内に封じ込まれている状態となる。ユーザーがファイルを閉じると、脅威のプロセスはマイクロ仮想マシンごと消滅するため、PC本体のOSやネットワークには一切影響を与えず、ファイルを開く前の状態に戻ることとなる。

今や、このソリューションは米国国防総省をはじめとする官公庁や金融機関など、極めて高い堅牢性が求められる環境で、ランサムウェアや未知の脆弱性を突く攻撃（ゼロデイ攻撃）に対するセキュリティの「最後の砦」として高い評価を得ている。

バリューＨＲへの導入に際して尽力したのが株式会社ブロード（以下、ブロード）だ。

「バリューＨＲ様とは数年前にパスワード管理製品をご導入いただいて以来のお付き合いになります。HP Sure Click Enterpriseはその前身ソリューションの頃から扱っており、自信を持ってご紹介したところ、ご興味を持っていただけました」とブロードの島岡氏は話す。

HP Sure Click Enterpriseの説明を受けた関氏は以下のような感想を持ったという。

「ペンタゴン（米国国防総省の通称）で10年にわたって採用されていると聞いて、それならば相当信頼できるだろうと確信しました」（関氏）。

2023年9月頃から導入に向けての検討がスタートし、2024年から具体的にプロジェクトは動き出した。

「はじめに情報システム本部の一部でPoCをスタートさせました。その後、社内各部門の代表者50名ほどを対象にさらにPoCを重ね、各種の社内業務に合わせた調整を進めていきました」と説明するのは、導入実務を担当したSAグループの高原氏。

PoCを進めていくうえで明らかになったのは、マクロが含まれているファイルが正常に動作しない事象が発生したり、特殊なフォントが埋め込まれているPDFのプリントがエラーになってしまうといった問題だったという。

「そうした事態を回避するために、デフォルトでは許可されない仕様である保護の解除を、ユーザー側で実行できるようにしました。当初は解除理由の入力も求めていましたが、現在はよりスムーズに業務が進むよう、理由なしでも解除できるように変更しています。ただし、保護解除のプロセスにもHP Sure Click Enterpriseのチェックが入っているため、大いに安心できます」と関氏は話す。

『侵入を前提としない』という別次元のセキュリティへ

現在、バリューＨＲでは700台以上のPCが稼働しており、そのほぼすべてがHP Sure Click Enterpriseの保護下にある。その安心感は絶大だと神田氏は評価する。

「アンチウイルスソフトが侵入してきた脅威を検知するだけだったのに対して、HP Sure Click Enterpriseによって侵入されても安全という環境が構築できました。ユーザーがうっかりクリックしてしまうというリスクにも対処できている安心感は大きいです。運用サイドから見ても、誤検知への対応やログの精査といった運用負荷が軽減され、万が一の際もネットワークには影響がないとの確信を持って管理できる状態が維持できています」（神田氏）。

さらに、今後の課題として仮想PCへのHP Sure Click Enterpriseの展開に言及する。

「弊社には業務上の必要性から、閉域ネットワーク内で稼働する仮想PCが200台ほどあるのですが、そこからインターネットを経由して医療機関の情報を検索するなどのニーズもあるのです」（高原氏）。

「その部分のセキュリティが担保されれば、当該業務の効率化も図れるのですが、そこがセキュリティ上の穴になってしまっていました。ところが、弊社が導入したタイミングと前後して、Hyper-Vのサポートも開始されたとHPから聞きました。仮想PCを含めたすべてのエンドポイントでHP Sure Click Enterpriseが適用できそうなので、とても期待しており、PoCの準備を進める考えです」（神田氏）。

この点について、日本HPの川上は次のように補足する。

「Hyper-V仮想マシン内やVDI環境でも、HP Sure Click Enterpriseをご利用いただけるようになっています。さらに適用範囲を拡大できるよう、現在も研究開発を進めています」。

大量の個人情報を扱う企業に限らず、セキュリティを堅固に維持することは必須条件となっている。進化し続ける脅威は、もはや防御側が完璧を期することは不可能という現実を突きつける。だが、攻撃されることを前提に被害をゼロにするという『ゼロトラスト』アプローチを具現化するのに、HP Sure Click Enterprise以上のソリューションは、有力な選択肢であるといえるだろう。

「従来のセキュリティソリューションとは別次元だと思います」と関氏は締めくくった。