ふくおかフィナンシャルグループ様
Assuredへの期待は銀行業界標準の評価サービス。SaaS利用審査を高精度にしながら、業務の約8～9割を削減。

熊懐様：
私達は、IT統括部のデジタル基盤グループに所属しています。デジタル基盤グループには約15名がおりまして、FFGのクラウド統制基盤の高度化や運用、管理を行っているCCoEの他、DX案件の推進やゼロトラストセキュリティPCの導入なども担当しています。
私自身は、福岡銀行に入行して3年ほど営業店を経験し、IT部門に異動後は基幹システムの開発を10年ほど担当しました。その後、IT統括・企画・管理など、IT部門の様々な業務を経験して現在に至っており、25年ほどIT領域に関わっています。現在は、グループ長として全体を管理しています。

有働様：
私は大学卒業後SIerに入社し、インフラエンジニアとして7年間勤務の後、福岡銀行に入行しました。2021年4月よりCloud CoE事務局として、FFGグループのクラウドに関するガバナンス整備、セキュリティ評価、クラウド統制基盤の企画・運用等を担当しています。

松尾様：
私は2019年に福岡銀行に入行し、約2年半店舗で営業業務を担当しました。入行3年目の2021年10月に、IT統括部のCloud CoE事務局に異動しました。

有働様：
クラウドサービスに対するセキュリティ評価は、2019年までは通常のシステムと同様に実施していましたが、2020年1月からは外部のコンサルを入れて作成したチェックシートを利用して対応しています。

FFGのCloud CoEでは、株式会社福岡銀行、株式会社熊本銀行、株式会社十八親和銀行をはじめとしたFFGのグループ会社※が利用するクラウドサービスのセキュリティ評価を行っています。（※「株式会社みんなの銀行」は自社内のCloud CoEで評価）

2021年度からSaaSの利用が急激に増え始め、通常業務に加えてセキュリティ評価業務を行なっていくには、業務負荷が高い状況になりました。松尾さんも異動してきてくれましたが、異動当初はセキュリティ評価に必要な知見は有していなかったため、一人でセキュリティ評価を進めることは難しく、セキュリティ評価のプロセスについて抜本的な見直しが求められていました。

また、クラウドサービスは機能アップデートも頻繁にあるため、年次でセキュリティ評価を見直す規定にしています。そのため、セキュリティ評価対象のクラウドサービス件数は年々増加していきます。例えば新規導入サービスが年間50件ある場合、次年度は前年度に導入した50件に加え、新たに導入予定の50件を加えた計100件のサービスを評価する必要があります。この年次のセキュリティ評価見直しの業務負荷が一番の課題でした。

さらに、チェックシートの作成や評価にもセキュリティやネットワークの知識が必要になりますが、こうしたスキルを持つ人は限られているため、その属人化も危惧していました。こうした背景から、チェック作業における標準化と効率化が必要であるという課題認識を強く持っていました。

松尾様：
現在はまず各部門のIT担当者が利用部門からの依頼を受け、そこから私たちに評価の依頼が来る形となります。そして依頼受領後、対象のサービスに対し我々がセキュリティ評価を実施し、評価結果をもとにIT担当者と利用部門が協議して導入を決める、というのが一連のプロセスになります。なおチェックシート自体は我々が用意の上、クラウド事業者様に送付して回答してもらっています。

プロセスそのものは、スムーズに進めばそれほど時間がかかるものではないのですが、例えば回答形式が自由回答（フリーコメント）にしてある設問に対し、こちらが欲しい形で回答が返ってこないことも多々あり、その再確認の負荷が大きい状態でした。

また、回答頂くサービス提供事業者からの回答が遅延したり、回答内容の再確認のために何往復もやりとりを行うこともあるため、評価対応自体に時間がかかってしまうことがある点も問題でした。利用部門から「まだ評価は終わらないのか」と催促され、利用部門側の導入スピードにも悪影響が出てしまうことになるため、従来の業務もある中でその情報収集と評価対応をいかに効率的に行うかが課題でした。

有働様：
委託先管理の最適化に向け、企業の健全性などを調査できるサービスはないかを調べている中で、御社のサービスを知りました。グループ企業である「株式会社みんなの銀行」からも、SaaSのセキュリティ評価サービスとして良さそうなサービスがあるという話を聞き、相談の上導入を検討しました。

熊懐様：
導入検討に際し、従来のセキュリティ評価から評価基準が下がらない様に、我々側で設計していた従来のセキュリティ評価項目と、Assuredの評価項目を比較検証したのですが、Assured側と事前協議をしっかりと行い、必要な内容・項目を追加・修正していただけた為、評価の基準を下げることなく移行できると感じられたことが大きな選定理由でした。なお、それまで使用していたチェックシートを廃止してAssuredに切り替えるように社内規定を改定し、利用部門とクラウド事業者へ通知を行うことで、特に問題なく運用移行できました。

有働様：
以前の私たちのチェックシートは、前述の通り自由回答形式の設問が多かったこともあり、サービス事業者様の回答内容の判断に苦慮することが多くありました。Assuredはサービス事業者様の回答がぶれない様に工夫がされており、短期間で信頼性の高いセキュリティ評価レポートが出てくることを高く評価しています。

有働様：
実感として8～9割は担当者の作業負荷が削減されていると思います。基本的にサービス事業者様の担当者の連絡先を入力すれば、あとはレポートが納品されるのを待つだけです。特にAssuredのレポートは冒頭にセキュリティ専門家の総合評価が記載されているため、そこを確認するだけでもリスクのポイントが把握できるため助かっています。

それから、事前に設定した任意の項目だけに絞る「組織ポリシー」というフィルター機能も役立っています。FFGでは特に情報漏洩に対する対策について詳しく確認を行っているため、認証、認可に関する項目をフィルターに設定しています。総評とフィルターで絞った項目のみを確認することで、簡単なものだと2～3分で評価が可能です。確認すべきポイントが絞られ、かつ属人的になることもないため、精度を担保しながら非常に早く評価ができています。

また、利用しているクラウドサービスの再評価を行うと、過去調査した評価と比べて変化している項目を簡単に比較確認できるため、気づきにもなります。定期的な確認の重要性を感じるとともに、変化に合わせた対策を講じる必要性を感じます。

松尾様：
以前は平均すると3週間ほどかかっていたのが、Assuredの導入後は業務の効率化を実現しながら2週間ほどに短くなっていると思います。

また、追加実装されたSaaSのサービス台帳機能のおかげで、評価とリンクしながら網羅的に管理ができる様になり、非常に便利で分かりやすくなりました。監査などで現在どのくらいのSaaSサービスを利用しているのかの確認が入った時でも、すぐに一覧を確認することができます。以前は情報をかき集めることに苦労していたので、簡単でいいですね。

有働様：
松尾さんも、Assuredを利用することで評価業務のかなりの部分を一人で対応できるようになりました。専門性は必要なく、属人化する心配もありません。それどころか、クラウドサービスのセキュリティ評価にも自然と詳しくなっていきます。これは意外な効果でした。

松尾様：
セキュリティの観点を含めたクラウドサービスの評価という業務は初めてでしたが、Assuredを利用することで自然にセキュリティの知識が身に付いています。例えば、先ほど触れられていた通り、Assuredには総評コメントがあり、そのSaaSが100点満点で何点かが記載され、主要なリスクや留意点が箇条書きで書かれています。

利用部門に対してこの総評コメントをベースに、「このサービスはデータが海外に保管されるため、利用可否を確認してください」「このサービスは利用端末が限定されるので銀行からつなぐのはリスクがあります」といったことを伝えられます。利用部門へは具体的かつ的確なアドバイスになりますし、自分の理解も進みます。

また、先ほどあった組織ポリシーという、任意の項目をフィルターする機能のおかげで、
どういった項目を選んでいるのかを知ることで、その重要性を理解できます。

さらに、Assuredには各設問の背景も記載されています。これは、その設問で問題があるとどのようなリスクにつながるのかが詳しく説明されているものです。背景を知ることで、様々なリスクを知ることができますし、関連性も理解できるようになっていきます。こうしたAssuredの機能は非常に勉強になると感じています。

そして、細かい要望は、運用支援頂いているカスタマーサクセス担当の方に伝えていて、すぐに機能追加や運用改善を図ってくれています。また、導入済みサービスの再調査については、100に近い対象数があり進捗管理も煩雑でしたが、こちらも週次で丁寧な管理・報告を頂き大変助かりました。

有働様：
Assuredは既に調査したサービスの再評価もできるので、定期調査のタイミングでリスクベースのチェックを行い、健全性を効率的にモニタリングしていきたいですね。また、台帳機能をより活用し、以前に評価したサービスの登録を進めていきたいですね。サービス事業者様の担当者情報や、具体的にどのような業務で利用するサービスであるのか、といった情報を充実させていきたいです。

熊懐様：
Assuredが銀行業界標準の評価サービスになるといいですね。FFG独自の評価項目がAssuredの評価項目に取り込まれたように、そこに他行独自のものも追加されれば、銀行の標準としてみんなで安心して使える評価サービスになると思います。

有働様：
私たちもそうですが、独自のチェックシートの運用に苦労されている企業様には、うってつけのサービスだと思います。調査・評価自体の負荷削減もそうですが、関連法案や規定も定期的に改訂や新設があるため、そういった情報をキャッチアップしてのチェックシート自体の内容の更新をしなくてよくなることは、品質担保・負荷削減という観点で非常に大きいです。完全に評価を委託できるという面で、あらゆる企業様に有効だと思います。

有働様：
Assuredを利用することにより、クラウドサービスのセキュリティ評価にかかる負荷は大幅に削減されました。しかし、クラウドサービスの利用は右肩上がりに増加しつつけており、Assuredを利用しても定期的なセキュリティ評価にかかる負荷は少なくありません。

また、現在はAssured独自の評価のみのため、一部評価できないクラウドサービスがあります。そういったサービスはSOC等の外部評価を利用してこちらでセキュリティ評価を行っているため、いずれは外部評価を利用した評価ができるようになることを期待しています。

加えて、Assuredは利用企業が増えるほど、利用企業もサービス事業者様もメリットが出るサービスのため、ますますAssuredの利用企業が増え、クラウドサービス評価のデファクトスタンダードになることを願っています。