旅行と宿泊 / 総合旅行サービス
TUI：デジタルサービス構成図からの脅威モデル作成と社内セキュリティ基準との照合
- 企業
- TUI
- 国
- 複数国
- 導入状況
- 運用中
- 資料公開
- 日付の基準
- 資料が公開された時点。導入を開始した日とは異なる場合がある。
- 根拠の確認方法
- 原文の本文を閲覧
業務課題
TUIでは4人のセキュリティエンジニアが100を超えるデジタル製品チームを支援していた。構成図を読み、脅威を見つけ、社内基準と対応付けて文書化する評価には4〜6時間かかった。月3〜4回しか実施できず、審査が滞り、すべての新規サービスに同じ基準を適用することが難しかった。
使った技術とデータ
エンジニアが構成図と説明を登録すると、Amazon BedrockのClaude Sonnet 4.5とAgentCore上のLangGraph処理が構成要素とデータフローを読み取る。全基準を一括入力する代わりに文書のメタデータから関連基準を選び、STRIDEの脅威を生成し、不足を確認して補う。社内承認ツールによる緩和策と対応する管理策を結果に付ける。専門家の評価を追加すると、AIとの危険度の違いを表示して人が検討する。
成果
TUIは運用前後の内部測定で、評価当たりの作業時間が最大70%減り、月間処理数は3〜4回から10〜12回になったと報告する。2026年10月時点の登録利用者は255人、作成済み脅威モデルは86件、活動中の作成者は43人だった。待ち行列に入っていた評価をチーム自身が依頼し、根拠と推奨対策を確認する形に広げた。
限界と残る課題
時間短縮と利用数はTUIが公表した運用指標である。実際の侵害事故の減少や脅威検出の誤検知率は示されていない。Jira作業の自動作成と配備前検査の連携は今後の計画である。
出典
公開資料をまとめた事例です。ATF Works導入企業の成果ではありません。