阪急阪神百貨店やイズミヤなどを傘下に持つエイチ・ツー・オー リテイリングは、年1回、外部に委託していた脆弱性の診断を内製化し、Tenableのサイバーエクスポージャー管理ツール「Tenable One」で、IT資産とセキュリティリスクを一元的に可視化している。グループ全体への可視化対象の拡大も進めている。評価の開始から本格稼働まで、約6カ月かかった。2026年10月19日、Tenableが発表した。

　エイチ・ツー・オー リテイリングは、阪急阪神百貨店を中核に、イズミヤ、阪急オアシス、関西スーパーなどの食品小売ブランドから、商業施設の運営までを手掛ける、関西を代表する小売グループだ。DXを進め、顧客体験の向上と、ITインフラの近代化に注力する。情報セキュリティ推進部長の熊坂祐二氏は、「お客さまの信頼を保護し、最も重要なデータを守りながら、DXによるサービスの変革を、安全に支えるインフラの構築」を使命に掲げる。

　課題は、オンプレミスからマルチクラウドまで、グループ全体でIT資産が多様化し、インフラ全体のリアルタイムな把握が難しくなったことだった。従来は、主に外部向けのシステムを対象に、脆弱性の評価を毎年外部に委託していた。脅威が高まり、内部のシステムを含む、全ての資産で脆弱性を管理する必要性が生じた。内部システムには膨大な数のIPアドレスがあり、従来のやり方では費用がかかる。包括的な可視化と費用の最適化を両立するため、脆弱性管理を内製化して、プロセスを自動化することにした。

　要件は攻撃対象領域の管理、Webアプリケーションのセキュリティテスト、インフラの評価、IaaS（Infrastructure as a Service）のセキュリティ構成の評価を、別々のツールではなく、単一の統合ツールで管理することだった。Tenable Oneを選んだ決め手は、ハイブリッドなマルチクラウド全体で、統一された可視性を提供できる点だ。エイチ・ツー・オー リテイリングのインフラには、Amazon Web Services（AWS）、Google Cloud、Oracle Cloud Ingrastructure（OCI）の他、オンプレミスのシステムもあり、それらを1つのツールで可視化できる。管理のサイロ化を防げることは大きな利点で、緊急対応チームの意思決定を速め、ガバナンス全体を強められる。Tenableが、外部アナリストから高い評価を得ていた点も、品質への確信につながった。

　初期は、検出された大量の情報の整理が課題だったが、スコアリング機能を使って、優先順位の高い問題から対処する運用ルールを定め、運用チームの負担を抑えながら展開を進めた。以前は、検出された脆弱性全てに、画一的に対処していた。Tenable One導入後は、脆弱性優先度の格付け（VPR）などのAI機能で、システムで悪用される可能性が高い脆弱性を客観的に評価し、本当に注意が必要な分野に人手を集中できるようになった。時点ごとの評価に頼らず、経年の変化を追跡できる継続的なモニタリングも整えた。

　熊坂氏によると、脆弱性の特定と修正の速度は、大きく向上した。脆弱性管理の内製化で、外部委託に使っていた費用を最適化でき、手作業のデータ収集に使っていた時間を、実際の修正に充てられる。経営層には、セキュリティのリスクを客観的なスコアで報告でき、リスクの報告の透明性が高まった。各事業部門が、スコアで自らリスクを把握して、監視できる仕組みづくりも進めて、課されるものとしてのセキュリティから、自律的に管理するセキュリティへの転換を目指す。

　今後は、開発の早い段階でセキュリティを確保する「シフトレフト」の戦略を進め、導入したツールを十分に生かせるよう、チームの専門性を高めることにも投資する。日本のユーザーコミュニティーの成長と、日本語のレポート機能の強化にも期待する。