ニトリホールディングスが、
クラウドリスク評価「Assured」を導入
グループ全体の利用サービス管理とリスク評価を実現

高田氏：
私たちは、ニトリが掲げる「住まいの豊かさを、世界の人々に提供する。」というロマンと「2032年に3000店・売上高3兆円」というビジョンの実現を目的に、DXを積極的に推進しています。国内外で店舗数を増やすと同時に事業領域を拡大します。そこでは、サプライチェーンの拡張と最適化、強靭化にも取り組みます。また、物流や商流からなるメインのビジネスモデルに、最近は新たな取り組みとして、ワントゥワンマーケティングといった顧客サービス基盤の強化、一層のデータ活用によるデータドリブン（データ駆動）経営への進化も推進しています。そうした事業、利益構造の改革を、スピード感をもって進める上で、DXは必要不可欠だと考えています。

高田氏：
ニトリは商品企画から製造・物流・販売までを一貫して自社でプロデュースするなか、これらを支えるITシステムの内製化に力を入れてきました。しかし、今後の事業拡大を踏まえると内製化システムだけではなく、外部のSaaS/ASPなどクラウドサービスの優れたシステムを組み合わせて利用していく必要があると考えます。これらを安全に推進するためには、全ての部門が利用している全てのシステムを正確に把握し、セキュリティリスクを徹底的に排除した上で、利用状況の適否を常に確認し得る体制が必要です。

従来の体制では、グループが利用している全ての外部クラウドサービスのセキュリティリスク評価を運用する際、様々なツールを横断してコミュニケーションフローが構築されているため、情報の集約・管理がしづらい状態でした。利用する外部サービスが増加するにつれ、網羅的な評価の実施が困難になってきており、ワークフローの見直し、及び評価方法の見直しの一環でAssuredの導入を検討することにしました。

高田氏：
まず1つ目に、常にクラウドサービスの最新状況を把握できる点です。
クラウドサービスは日々アップデートがされていくため、その都度セキュリティリスクを確認する必要がありますが、数多くあるクラウドサービス一つ一つの最新情報を自分達で取得していくのは非常に工数がかかります。
Assuredでは、リスク評価を実施したクラウドサービスにおいて、セキュリティ情報が更新された場合は自動通知を受けとることができ、自分達で取得せずとも、常に最新状況を把握できる点に魅力を感じました。

2つ目に、セキュリティガイドライン・フレームワークに基づく第三者による専門家評価を得られる点です。
Assuredで用いられるセキュリティチェックシートは、NISTやISO27001、経済産業省や総務省のガイドラインに基づいた網羅的な項目であったこと、さらに、その回答内容はセキュリティの専門家によって評価されていて、そのレポートを取得できる点にメリットを感じました。これまでは担当者個人の判断に頼らざるを得なかったところ、第三者による視点を得られるため、客観性が高く、統一化された基準での評価が可能となり、より安心してクラウド導入を進めていけることに期待しています。

3つ目に、属人的な体制から脱却できる点です。
これまで、Excelやメールなどに点在化していた一部の情報をAssuredで一元管理することによって、特定の担当者の知識や情報に依存しない形で、複数の社員で分担できる体制を整えることができます。

また、今回のAssured導入プロジェクトを機に外部サービスの管理台帳を自社システムとして新設しました。この台帳を用いて、各サービスの利用状況の管理や、操作ログ情報の集積、加えてAssuredによるリスク評価情報も管理していく予定です。この運用において、Assuredの評価レポートを自動取込できるようアシュアード社にも協力いただき、自動連携の仕組みを構築しました。これにより、網羅的かつ効果的な管理体制を実現し、DX推進を加速していけることに期待しています。