「何から手をつけるべきか」という悩みに対し、植木はAssuredが独自で定義する「クラウドサービス管理の成熟度モデル（全28項目）」を提示。 体制・プロセス・評価手法など、自社の現状を客観的にスコアリングし、リソースに合わせて段階的にレベルアップしていくロードマップの重要性を説きました。

以前はExcelのアンケートによるクラウドサービス評価を行っていたものの、「評価が属人的になる」「担当者の作業負担が膨大」「ユーザー部門とのやり取りが煩雑」といった根深い課題があったと新谷様は語ります。

PoC（概念実証）を経て本格導入を決定されましたが、その狙いは明確でした。

• 評価の標準化: 専門家による評価コメントと点数化により、評価の属人化を解消。
• 工数削減: 事業者との煩雑なアンケートのやり取りをAssuredが代行することで、行内の工数を大幅に削減。特にユーザー部門の負担がほぼゼロになった効果は大きかったと強調されました。
• 定期評価の実現: 導入時だけでなく、これまで手が回らなかった「定期評価」の効率化にも期待を寄せられました。

現在、システム部門のサイバーセキュリティチーム（システム子会社からの出向者3名を含む）が、少人数体制で月平均9件にも上る新規クラウドサービスの利用申請を対応されています。

「社会人2年目のメンバーもいる中で、Assuredの専門家コメントが評価の勘所を押さえるのに大いに役立っている」と、具体的な体制についても言及されました。

参加者の関心が最も高かったのが、具体的な「利用判定基準」の整備です。北陸銀行様では現在、Assuredの評価スコアを元に、原則利用可とするラインと、原則利用不可とするラインを明確化する基準案を検討されているとのことです。

あわせて、IPアドレス制限や多要素認証の必須化といった「条件付き利用」のルールや、「どうしても使いたい」という例外申請のための「担当役員決裁」フローも検討されており、そのリアルな運用案に、多くの参加者が頷きながらメモを取られていました。

講演の最後には、「利用拒否先への対応」や「定期評価の効率化」「サードパーティリスク全般への評価対象の拡大」といった、ユーザーだからこその率直な期待や要望も語られました。これもまた、アシュアードとユーザーが一体となって課題解決に取り組む本会ならではの光景でした。

• ガイドライン対応: 「金融分野におけるサイバーセキュリティに関するガイドライン」を踏まえた見直しに苦慮している。
• リソース不足: 「人員不足」「レビューできる人員が限られる」「マンパワー不足が不安」といった声が多数。
• 評価の形骸化: 「チェックすることが目的になることを危惧している」という本質的な悩み。
• 特有の論点: 委託先が利用するSaaS（N+1、自社が直接契約していないもの）の確認方法が分からない。

• ガイドライン対応（特にサードパーティ管理強化）として、具体的にどのような見直し（対象拡大、評価深度化）を行っていますか？
• 深刻な「リソース不足」に対し、評価業務を効率化・省力化するために工夫している点（ツールの活用、評価の自動化など）はありますか？
• 評価がやっておしまいではなく、本来の「リスク低減」につなげるために、どのような点に注意していますか？