H2Oリテイリンググループのクラウドセキュリティ評価を集約。第三者機関による客観的な評価と評価基準のアップデートでより安全なクラウド運用が可能に

樺島様：
我々の部門では、H2Oリテイリンググループ全体のセキュリティ施策の統括を担当しており、そのひとつとして、各グループ会社が利用するクラウドサービスの導入前の評価も行っています。
以前までは、クラウドサービスの導入を希望する部門から申請書を出してもらい、クラウド事業者には我々が用意したチェックシートに回答してもらう形でセキュリティ評価を行っていました。ただ、チェックシートが「はい」「いいえ」の二択の回答形式で、セキュリティ対策ができているように見えても、具体的にどの程度まで対策できているのかが判断しづらい状況でした。

また、チェックシート上では「いいえ」を選択されているけれども、「代替手段としてこうした対策を行っている」といったコメントがあったときに、その対策が妥当であるかどうかも都度精査しないといけません。
特に当グループは百貨店からスーパー、またビルのメンテナンス会社など、グループ会社の数が非常に多く、また大手クラウドサービスだけでなく、たとえば商業施設のテナントを管理するためのクラウドサービスなど、業種特有のニッチなクラウドサービスを利用するケースもあります。

そのため、たとえチェックシートでセキュリティ対策ができているという回答であったとしても、大手とニッチなクラウドサービスでは、セキュリティ対策の度合いに雲泥の差があるわけです。
そうした様々なグループ会社からのクラウドサービスの導入申請に対して、既存のチェックシートでのセキュリティ評価には限界を感じており、さらに評価業務自体にも大きな負荷がかかっていたことが課題としてありました。

エイチ・ツー・オー リテイリング IT・デジタル推進グループ 
ITマネジメント室 樺島 正嗣 様

樺島様：
当グループは小売業の会社が多く、ITに明るい従業員ばかりというわけではありません。そのため、クラウド事業者へのチェックシートのやり取りを現場担当者に依頼すること自体にもハードルがあり、「クラウドサービスを利用するだけなのに、なぜチェックシートのやり取りに時間をかける必要があるのか」といった現場からの不満もある状況でした。

そこで、適切なクラウドサービスのセキュリティ評価の体制を実現することはもちろん、現場担当者の負荷を減らせる方法を模索していた中で出会ったのがAssuredクラウド評価でした。
Assuredクラウド評価であれば、クラウド事業者とのやり取りを代行してもらうことができ、また専門家による網羅性の高いリスク評価で、信頼のあるセキュリティ評価が実施できることに魅力を感じました。

もちろん、その他のサービスも比較検討はしましたが、他サービスはAssuredのようにセキュリティ評価を一任できるようなものではなく、最新のセキュリティ動向に対応した第三者機関による客観的な評価を得られるのはAssuredクラウド評価のみであったことが、導入の決め手でした。

吉村様：
一番価値を感じたのは、評価項目の策定です。Assuredクラウド評価から提示されるレポートには非常に膨大な数の項目があったため、我々だけのリソースでそうした項目から当グループに必要な評価基準を選定することは現実的ではありませんでした。

プレミアムサポートではセキュリティの専門家に入っていただき、我々の要望に対してどういった評価項目にすべきかをご提案いただけたため、もしも我々自ら行っていたら2〜3か月はかかっていたであろうところを、わずか1か月で進めていただけました。

また、当社のセキュリティガイドラインを遵守することはもちろん、第三者に客観的に見ていただくことで、ガイドライン以外にどういった項目を追加すべきかもご提案いただき、より信頼性を担保できる評価基準の策定が実現できたと感じています。

エイチ・ツー・オー リテイリング IT・デジタル推進グループ 
ITマネジメント室 ガバナンス推進部 担当部長 吉村 泰輔 様

北川様：
運用当初は、既存のエクセルでの申請案件も残っていたため、同時並行で進めていきつつ、順次Assuredクラウド評価へと切り替えていく形で進めていきました。

また、社内周知に関してはグループのポータルサイトで告知したのみで、特に説明会などは開催していません。現場担当者としてはクラウドサービスの利用申請書を出すというプロセスは同じであり、それ以降のフローはAssuredに一任できるからです。
そうした社内への説明負担が少ないというのもAssuredクラウド評価の良さのひとつだと感じています。

エイチ・ツー・オー リテイリング IT・デジタル推進グループ 
ITマネジメント室 ガバナンス推進部 北川 哲平 様

北川様：
一番価値を感じているのは、申請があったクラウドサービスのセキュリティを定量的に評価できることです。以前であれば、セキュリティリスクが懸念されるサービスの申請を却下する際、なぜ却下したのかを根拠を持って説明しづらい状況でした。
しかし、Assuredクラウド評価によって、各クラウドサービスのセキュリティ評価を点数で示せるため、現場担当者に対して定量的な根拠を示せるようになったことが大きな変化です。

現場担当者にとっても、低い点数の場合は「グループ全体に被害を及ぼしかねない」といった危機感が生まれるため、却下の理由に対して納得感を得やすく、セキュリティ意識の向上にも繋がっていると感じています。

そして、以前までの運用だと「現場担当者からの強い利用要望があるから使えるようにしないと」といった恣意的な判断が入ってしまう可能性がありました。そうした恣意的な判断で動いてしまうと、本来守るべきセキュリティ基準が崩れてしまいかねません。
しかし、Assuredクラウド評価によって、恣意性のない、第三者機関による中立性が担保された状態で評価できるようになったことも変化のひとつです。

また、Assuredクラウド評価のレポートによって、点数はよくても部分的に改善すべき点、懸念される点も見える化できるようになりました。たとえば、海外のクラウドサービスの場合は、特定の国の個人情報保護法に対応していないケースもあり、そうしたクリティカルな問題を発見して、適切に対応できるようになったことも大きな変化だと考えています。

詳細な評価が実現したことで、各クラウドサービスのセキュリティレベルが見える化できるようになり、このサービスは社内のみで利用可能、このサービスはお客様向けにも利用可能といった利用リスクにあわせたクラウドサービスの分類が可能になりました。

熊坂様：
もしもAssuredクラウド評価と同等のセキュリティ評価を自社のリソースのみで行おうとすると、評価業務だけでひとり人材を採用する必要があるほどの負荷がかかります。当然ながらクラウドサービスのセキュリティ評価以外にもやるべき業務はありますから、そのためだけに採用するのは非効率でしょう。
さらに、昨今はセキュリティ人材もなかなか集まりづらい中、Assuredクラウド評価であれば我々がクラウド事業者とやり取りする必要もなく、さらにセキュリティのエキスパートによる評価が得られることは、非常にありがたく思っています。

また、サイバー攻撃が巧妙化していく昨今において、評価項目も常に見直しが必要です。そうした項目の見直しも自社で行おうとすると相当な負荷がかかりますが、Assuredクラウド評価は世の中のセキュリティ動向やNISTなどグローバルなガイドラインを踏まえて、項目をアップデートいただけるため、常に万全なセキュリティ評価体制を構築できていることに価値を感じています。

エイチ・ツー・オー リテイリング IT・デジタル推進グループ 
ITマネジメント室 ガバナンス推進部長 熊坂 祐二 様

北川様：
セキュリティ評価自体はAssuredクラウド評価を活用していますが、申請のあったクラウドサービスの管理自体は現在もエクセルで行っています。
ただ、エクセルの一覧だけですと、数百ものサービスがあったときに、どのサービスがどういった内容なのかがわかりづらいですし、名前は一緒でもサービス内容が変わっていたり、新規サービスを展開しているというケースも珍しくありません。また、最新のセキュリティ動向に応じてクラウドサービスの見直しも必要になってくるでしょう。

今後利用するクラウドサービスが増えれば増えるほどエクセルでの管理には限界があるため、Assuredクラウド評価の台帳機能を活用していきたいと考えています。
台帳機能を活用することで、Assured側でアップデートされる各サービスの評価も自動で反映されていきますし、一度導入して終わりではなく、そうした最新情報をもとに定期的な見直しを行う上で、閲覧性の高い台帳が必須です。

H2Oリテイリンググループは小売業の会社だからこそ、お客様情報を最も大切にしなければなりません。いまの運用に満足することなく、評価基準のアップデートや導入済みのクラウドサービスの棚卸し評価など常に改善を進めていき、クラウドサービス管理の高度化を図っていきたいと考えています。