JTBコミュニケーションデザイン様
クラウドサービスのリスク管理を経営課題と認識。
Assuredを導入し業務改善とセキュリティ意識の向上を実現。

┃導入目的
・社内のDX推進をセキュアかつ効率的に安全に行う

┃課題
・全社システムの約8割がクラウド化する中リスク管理を経営課題として認識
・従来のプロセスではセキュリティ評価の質を高める事や負荷を軽減する事に限界があった
・お客様へのサービス提供価値を高める上でもセキュアな環境構築が必須だった

┃Assuredの導入結果
・専門家による中立的な評価により、セキュリティ評価の精度が向上
・利用部門、審査部門ともに業務効率化を実現。別業務へのスライドが可能に
・業務利用する従業員のセキュリティ意識が向上。社内でのコミュニケーションが変化

武富様：
JTBコミュニケーションデザインは、ミーティング・イベントの企画運営、国際会議・学会運営、展示会主催などのMICE事業、各種プロモーションの企画、組織活性・人材育成支援、エリア活性支援、コンテンツ創出等の事業を展開しています。

私自身の経歴ですが、当社に入社してから約10年間は法人営業に従事し、国内外でアライアンス・新規事業開発なども行っていました。

その後は約8年間ほど、IT部門に携わり、現在は総合企画部 DX推進PJTデジタル戦略課に従事し、社内のDXを安全に淀みなく推進するために支援する役割を担っています。

具体的なミッションとして、自社で提供しているサービス・ソシューションのIT化、バックオフィスのIT化支援がメインになります。

武富様：
クラウドサービスを利用するという事自体は、昔から当たり前にある状況ではありました。大前提として、当社が提供するサービスは無形資産のものがほとんどです。例えば、イベントの企画や開催を例に取っても、企画内容・規模・期間もそれぞれ異なります。すると、それぞれのイベントに合ったツールやシステムを期間限定で利用するニーズが高まります。そのため、導入障壁が低いクラウドサービスの利用が自然と選択肢にあがりやすいという当社ならではの事情もありました。

また、コロナ禍以降で更にクラウド利用が増えたのも確かです。お客様へ提供するイベントサービスにも影響がありますし、テレワークでの業務も広がり、社内の全システムの内、クラウド利用が約８割に達するまでになりました。

結果的にクラウドサービスのリスク管理を、経営課題として明確に認識し始めたキッカケにもなりました。

武富様：
クラウド事業者様からセキュリティ情報を収集する事の難易度が高く、正しくリスクを抽出した上で、利用判断を行うことが難しい状況でした。

当社の利用審査プロセスをご紹介すると、プロフィット部門が利用したいサービスの申請を上げる、当社フォーマットのセキュリティチェックシートを利用しクラウド事業者様から回答を頂き、最終的に我々セキュリティ部門がその情報を見て利用判断を行う、という形を取っていました。

そうすると、意図しない回答結果が返ってくる、或いはクラウド事業者様から回答を得られない、など様々な問題が発生し、専門知識を有していない利用部門への負荷は大きく、また評価プロセス自体が形骸化している側面もあったので、頭を悩ませていました。

当社の事業はあらゆるステークホルダーに対して、クラウド利用を前提とするサービス提供を行っているため、セキュリティ情報の正確性・客観性をもたせられないかとは、常々考えていました。

このような事から、セキュリティチェックシートを利用した審査プロセスには、大きな問題を感じていましたし、「客観性・中立的な評価情報の取得」「利用部門を含めた運用負荷」は常々解決したいと考えていましたね。

武富様：
Facebookの広告でたまたま見かけて「これだ！」と思い問い合わせをしました（笑）。

実際にお話を伺ってみると、課題に感じていた「運用負荷軽減」・セキュリティ専門家による調査で「客観性・中立的な評価情報の取得」も実現できそうだと感じましたので、すぐに導入しようとなりましたね。

Assuredは明確なコンペティターが存在していないので、比較することには苦労しましたが（笑）、過去ご提案を受けていたコンサルティング会社様と比較しても、コストメリットがあったのも導入時のポイントではありました。

武富様：
当社の事業は様々なパートナー企業様のご支援があって成り立っています。お客様へ高品質、かつ安全なサービス提供を行うためには、パートナー企業様も同じセキュリテイ基準で取り組んでいただく必要があるのです。例えば、イベント開催時の進行マニュアルにクラウドサービス利用時の注意点や有事のトラブル対応を盛り込むなど、関わる利害関係者の皆様へしっかりと説明責任を果たす。当たり前かもしれませんが、お客様へサービス提供する際には極めて重要な業務になります。

従って、利用するサービスの情報を正しく収集し、リスクを抽出すること、それらが専門家の見解を踏まえた客観性・中立性を担保できるということで、Assuredは当社にマッチしたサービスでした。

武富様：
Assuredには100項目を超える調査設計とセキュリティ専門家による評価情報・サービス利用時の留意点・サービス自体のスコアリングが付いたレポートがあり、「客観性・中立的」な評価情報を提供頂けることは期待通りでした。この評価情報を用いて、社内はもちろん、ステークホルダーに対してリスクの説明、安心・安全なサービス提供に活かしています。

「運用負荷軽減」はまだ定量的に算出できていないのですが、感覚的に言えば改善し、これまでセキュリティチェック業務に費やしていた時間を、別の時間をあてる事が出来そうだと、感じています。
利用部門でいえばクラウド事業者様と弊部の間に入ったやり取りを最低限に抑える事ができ、プロフィット部門として本来割くべきところに時間をあてられるように。また、弊部で言えば、収集した情報の差し戻しもなくなる事で、社内リテラシー向上などより一歩進んだ施策を打つことができる。このように全社的なDX推進とお客様へのサービス提供価値向上のための業務に、より時間を割いていこうと考えてます。

また、想定外の効果としては、営業部門や利用部門のメンバーが、利用するクラウドサービスへのセキュリティ意識が高まってきたという事です。自身が利用しようとしていたクラウドサービスにおけるAssuredのリスク評価レポートを参照することで、事前評価の必要性を理解し、リスクに対するコミュニケーションが取れ始めているのは大きな変化です。

IT・セキュリティ部門だけでなく、利用部門を始めとする全社のリスク管理意識を高めていければ、より一層お客様へ高品質なサービスを提供できると考えているので、思わぬ効用を感じています。

武富様：
まず、我々と同じように、クラウドサービスを積極的に利用されている企業様、またチェックシート利用して審査業務を行っている方々ですね。
日常で対応している業務がどれほど大変なのか、またその業務が自社で提供しているサービスに大きなインパクトがある事を会社は理解し、正当に評価されるようになって欲しいと思います。セキュリティ・IT人材は不足していることが多いと思うので、限られた人員の中で、高品質な評価を行いたい会社とは相性が良いので、おすすめしたいですね。