ホテル&リゾート関連の事業を幅広く手がける企業である。課題はITリスク管理きめ細やかなサービスを提供し、常にお客様の満足度向上を目指す同社にとって、お客様のご要望やご意見,お客様に関する情報は、最も重要な資産。いった情報が管理される情報システムのリスク管理、いわゆるITリスク管理は、IT統制を進める同社にとって避けては通れない課題だ。「お客様の情報や不動産資産に関する情報等の重要情報が、システム障害等で喪失してしまった場合、途端に業務が継続できなくなってしまいます。万が一外部に流出した場合は、顧客からの信用やブランドイメージが失墜してしまい、企業にとって大きなダメージとなります。いった情報システムに対するリスクをきちんと把握・コントロールするITリスク管理は、内部統制の一貫として確実に実施する必要があります。中でも、二田氏が所属する企画本部は、全社の経営企画や資産管理等を行う組織であるため、特に重要な情報が集まっている。ところが、「これまで使用していたファイルサーバーは、セキュリティや物理的な衝撃に弱い部分があり、バックアップも十分に取れてない等、リスク対策が必ずしも万全とは言えなかった。いったリスクに対応するため、企画本部では、ファイルサーバーをより信頼性の高いものにリプレースし、万が一の障害に備えて、データのバックアップシステムも完備することとした。それと同時に、情報漏えい事故や人的ミスによるファイルの喪失など、物理的な障害以外の障害が発生した場合にも備えるため、ファイルサーバーのアクセスログ管理システムを導入し、ハード,ソフト両面でのITリスク管理を実現した。このページの先頭へ↑エンドユーザーに迷惑をかけない「ログ管理システムの導入にあたり、まず考慮したのは、既存の基幹システムに対してどのような影響があるのか、ということでした。クライアントPCにソフトをインストールするタイプの製品では、細かな情報が取得できる反面、初期導入に手間がかかる。PCのスペックが低い場合は、処理速度が遅くなるなど、エンドユーザーの業務に支障が出る。業務が滞りなく継続することを目的として導入するシステムが、エンドユーザーの業務に支障を与えるのでは、本末転倒と言わざるを得ない。「セキュリティソフトなど、負荷のかかるソフトを入れている上、全てのクライアントPCがよいスペックというわけではありません。Audit』は、パケットキャプチャ方式。通信パケットをキャプチャしてアクセスログを収集する方式だ。ファイルサーバーやクライアントPCにソフトをインストールするのではなく、ネットワークを流れるデータを直接採取するため、エンドユーザーの業務に一切影響を与えずに導入できるのが特徴である。ファイルサーバーやクライアントPCにインストールしたソフトでログを収集する場合、悪意のあるハッカーが情報を盗み出した後にログ自体を改ざんや消去し、証拠を隠滅されてしまう恐れがあるが、パケットキャプチャ方式の場合は、監視対象のPCやサーバーと、ログ収集を行うシステムが完全に分離しているため、証拠隠滅されてしまう可能性がない。ITリスク対策としても、より万全な対策であると言える。今後は内部統制の一貫として従業員に対する情報セキュリティ教育体制も充実していく考えで、「今回導入したログ管理システムで収集したログを利用し、未然にミスや犯罪を予防する『抑止効果』にも活用する(二田氏)」予定だ。