静岡銀行が、セキュリティ評価プラットフォーム「Assured」を導入
FISCにも対応した網羅的・高精度なセキュリティ評価を実現
金融業界におけるDX推進の動きが拡大するなか、地方銀行においても、地域経済を発展させる重要な役割を担う存在として、顧客体験向上や業務プロセスの効率化、新たな価値創造に向けたデジタル化やDXの必要性が叫ばれています。こうした動きに先駆けて、静岡銀行では、かねてより積極的なIT投資を推進されてきました。
そんななか、金融機関に求められる高いセキュリティ基準を維持しながら、DXを更に加速していくため、行内で利用が拡大するクラウドサービス（SaaS）のセキュリティ評価を高精度、かつ効率的に対応するべく、Assuredの導入を決定いただきました。
この度、Assured導入の背景や期待について、リスク統括部 オペレーショナルリスクグループ 松井 俊樹様に伺いました。
この度はAssuredをご導入いただき誠にありがとうございます。貴行におけるクラウドサービスのご活用状況や、セキュリティ対策における課題感についてお聞かせください。
静岡銀行では、地域の持続的な成長に向けて拠点や人財等の経営資源の最適化を掲げるなかで、デジタル技術やデータの活用に取り組んでいます。日常的な取引のデジタル完結、ツールやデータ活用による営業活動の質・量の向上、業務のデジタル化に向けた人財の最適配置や育成等を強化し、トップラインの拡大に繋げる狙いです。
デジタル基盤の整備に取り組む
出所：第1次中期経営計画（https://www.shizuoka-fg.co.jp/pdf/ir/2023/plan_01_slide.pdf）
こうした戦略を推進するために、クラウドサービスの利用は欠かせません。実際に静岡銀行ではデジタルサービスやマーケティングなどにクラウドサービスを活用しています。また、DX推進に伴い、サービスの導入は増加傾向にあります。これらを安全に活用するため、静岡銀行でアセスメント（セキュリティ評価）を実施したうえで、導入や継続可否を決定しています。
これまで実施されていたセキュリティ評価対応に対する課題感について教えてください。
クラウドサービスは日々変化するものであるため、新規導入時だけでなく、導入後の定期的なセキュリティ評価も重要です。行内のクラウドサービス利用数が拡大していくなか、限られた人員でこれらの対応の精度を高く実施し続けるためには、既存の体制では限界があると感じていました。そのため、セキュリティアセスメントの精度向上、及び利用部門、審査部門における負荷軽減を実現できる方法を模索していたところ、Assuredを知り、導入を決定しました。
Assured導入に至った経緯、決め手となったポイントを教えてください。
1つ目に、FISC安全対策基準を参照した評価項目でアセスメントが可能である点です。
Assuredによるセキュリティ評価では、「FISC安全対策基準（金融機関等コンピュータシステムの安全対策基準・解説書）」をはじめ、様々なガイドラインやフレームワークを取り入れた独自の調査フォーマットが用いられています。また、最新のセキュリティトレンドに応じて定期的に項目が更新されるため、新たなリスクにも対応した網羅性の高い評価情報を取得できる点に期待しています。
Assured独自の網羅性の高い調査フォーマット
これまで、クラウドサービス事業者からセキュリティ情報を取得する際は、どうしても情報収集の精度にばらつきが発生していました。追加の確認で何度もやり取りが必要になる等、正確な情報を取得するために多大な労力をかけていました。
Assuredを利用することで、セキュリティ専門家による統一化された基準による、高精度な評価が可能となり、属人的な対応では実現出来なかった水準でのアセスメント精度の向上が期待できると感じました。
セキュリティ専門家による第三者評価情報が取得可能
これまでは、静岡銀行のセキュリティチェックシートを用いて、クラウドサービス事業者に回答を求めるかたちでセキュリティ情報を取得していましたが、サービス毎にやり取りが必要となり、利用部門、審査部門共に大きな負荷がかかっていました。Assuredを利用することで、これらの対応はすべてAssuredのシステム上で完結でき、大幅な工数削減が期待できます。また、情報取得や審査に要していた日数も短縮できるため、迅速なクラウド導入が実現でき、利用部門の円滑な業務遂行にも寄与できると考えています。
プラットフォームという新たな仕組みで、高精度なセキュリティ評価情報を効率的・迅速に取得可能
Assuredは、クラウドサービスのセキュリティ評価情報をデータベースに集約し、クラウドサービスを利用する企業、提供する事業者を繋ぐ役割を担うプラットフォームであることから、双方で利用者が増えれば増えるほど、利便性が高まっていくものだと思います。今後はAssuredが、セキュリティアセスメントにおけるデファクトスタンダードになっていくことを期待しています。