福岡ひびき信用金庫が、セキュリティ評価プラットフォーム「Assured」を導入
九州最大規模の信用金庫において、安心・安全なクラウド活用に向けたセキュリティ評価体制を実現

当庫では、世の中でDXが叫ばれるようになる以前から、積極的に業務のデジタル化を進めてきました。同時に、セキュリティに対しても金融業界の高い水準で徹底した対策に取り組んできました。一方、私が所属するシステム部ではプログラム開発やインフラ構築など情報システム全般を担っていますが、セキュリティ専任の担当者が在籍していません。セキュリティにおいては高度な専門知識が必要であるという考えのもと、セキュリティベンダー様にご協力いただいてききました。例えば、従来の境界型ネットワークではクラウド等の先進的なサービスを利用することが困難なことから、ゼロトラスト化推進を図るなど、様々な取り組みを行ってきました。

そんななか、この数年で庫内のクラウドサービス利用が急増しています。Micorosoft365を始め、オンプレミスのアプリケーションと比べて様々な業務効率化が図れるクラウドサービスを利用するようになってきており、セキュリティ対策については、独自のセキュリティチェックシートも用いて評価し、利用可否の判断を行ってきました。

セキュリティチェックシートを用いて収集するセキュリティ情報や、それに対する評価の正確性に課題を感じていました。特に、新規の利用申請時だけでなく、利用しているクラウドサービスにおいても定期的な評価を実施し、最新の状況を把握する必要があると感じていましたが、これまでのセキュリティチェックシートでは対応が追いつかない状況でした。
また先述の通り、当庫にはセキュリティの専門人材がいないため、利用可否の判断に悩むことも多く、判断基準が曖昧で属人化していました。

1つ目は、最新のクラウドサービスのセキュリティ情報を取得できる点です。
Assuredでは、独自のチェックシートによる調査を実施されていますが、このチェック項目は直近の社会情勢や政府等が発行するガイドラインの改定に応じて定期的に見直しがされており、常に最新のセキュリティトレンドに応じた調査結果を得ることができます。また、クラウドサービス事業者側で回答内容の更新があった場合は、都度通知を受け取ることができます。これにより、常に最新のセキュリティ情報を把握できる点に魅力を感じました。

2つ目は、セキュリティの専門知識を持つ第三者による評価をスコア形式で知ることができる点です。
属人化した評価対応から脱却すべく、評価・判断基準の物差しになるようなものはないかと考えていました。Assuredは、セキュリティの専門家が調査・評価した結果がスコア化されるため、一定の基準をもって判断できることに価値を感じました。

3つ目は、セキュリティ評価対応における工数削減に繋がる点です。
これまで、自社のセキュリティチェックシートを用いたセキュリティ評価を実施してきたなかで、私たちシステム部門だけでなく、実際にクラウドサービスを利用する部門の担当者にも多大な工数がかかっていました。Assuredを利用することで、社内外のコミュニケーションコストを一気に削減することができるため、クラウド導入までの工数を削減すると共に、よりスピーディーなクラウド活用を実現できると期待しています。

これらの理由からAssuredは、少ない人数で効率的、かつ確実なリスク評価を行わないといけない環境において、大変良いサービスであると思います。