本システムでは、JavaScriptを利用しています。JavaScriptを有効に設定してからご利用ください。三菱総研DCS株式会社(以下、三菱総研DCS)は、1970年に三菱銀行(現:三菱東京UFJ銀行)システム部の一部門が独立して設立され、金融機関、クレジットカード会社等を始めとした、幅広い業種のお客様に対し、システム高度化を力強くサポートしています。同社では、お客さま視点に立ったソリューション・サービスの提供を徹底すると共に、それを実現する高い専門性を持った、プロフェッショナル人材の育成にも力を注いでいます。金融系ユーザーが求める高度なセキュリティ要求に応えたいセキュリティ体制の万全な整備に向けて三菱総研DCSは三菱総研グループの一員として、高品質なトータルITソリューション・サービスを提供しています。同社は2016年10月、新たなクラウドサービスとして、金融機関系ユーザーの高度な要求にも応えられる先進的なクラウドサービス「FINEQloud」の提供をスタートしました。FINEQloudは、開発から運用までのサービスを一貫して提供する企業向けの「マネージドクラウド」であり、同社がこれまで培ってきたITトータルソリューションのノウハウが豊富に盛り込まれていることが特徴です。「金融機関系ユーザーは近年、制度対応の高まりもあり、システムの内と外、さらに運用についても高度なセキュリティ対策を重視し、また、常時証跡を確認できることを必須条件としています。それを受け、FINEQloudはセキュアなクラウドサービスとして、金融情報システムセンター(FISC)の安全対策基準に対応することを前提としました。その対応に向けたセキュリティ強化施策として、運用管理者が使用する特権IDの管理プロセスと特権IDを使用した操作の内容を効率的かつ確実に把握できるシステムの導入を検討することとしました」(水上氏)操作証跡の取得と特権IDの管理プロセスの自動化を包括して実現できるメリット三菱総研DCSがFINEQloudの運用における対策の要件を満たす製品の比較・検討を開始したのは2015年10月頃です。RECを提案し、導入も行っていました。RECは選定の有力候補でした。「以前は手作業で操作ログなどの取得を行ない、不正な操作のチェックを行っていましたが、全ての操作ログを完全に網羅するには量と質の点で限界があり、金融機関系のニーズを考えると、大幅な改善の余地がありました。RECなら自動的に操作ログを取得し、不正な操作か否かはルール設定すれば速やかに検知できることが分かっていたので、有力な候補としました」(永井氏)また、三菱総研DCSは操作ログの証跡に限らず特権IDの管理についても強化を図りました。これまで人の手で行っていた管理プロセスを自動化することで、負荷を削減するとともに、更なるセキュリティレベルの向上が見込めると考えたためです。「当社では、本番環境にアクセスする際は、事前に操作内容の手順書を用意し、上長に承認をもらってから本番環境へアクセスする手続きとなっています。面から言ってセキュリティ強化の一環として改善すべき点だと考えました。AdminControlは、こうした課題を解決する過程でも、製品選定の候補に挙がりました。「管理対象としているシステムの特権IDのパスワード変更を定期的に自動で実施する機能は優位性を感じました。AdminControlは管理対象となるサーバーに専用のプログラムをインストールする必要がないエージェントレスで使用できる点も費用対効果の点で効果が見込める為、高く評価しました。AdminControlで連携される点検・監査用のレポート生成機能は大きなメリットだと考え、エンカレッジ・テクノロジの製品を採用しました。AdminControlの採用を決定しました。そこから3ヶ月をかけ、7月に設計・構築、入念な内部テストを行ったのち、本格的な稼働を開始しました。AdminControlについては、運用・保守の担当者がFINEQloudの基盤にアクセスする際、ワークフローで申請し、承認を受けてからでないとアクセスが許可されない仕組みにしています。この際、管理者には自動的に特権IDが貸し出され、パスワードも秘匿されます。AdminControlのワークフローによる承認を使用してアクセスするようにしました。RECについては、同社がクラウドサービスとして顧客の大事なデータを預かることから、常時、ルールに従って監視し、問題があれば常にかつ速やかに検知するようにしています。RECの検知ルールとして採用しているものの一つが、USBメモリの使用検知です。USBメモリが許可なく使用されることによる情報漏えいのリスクにいち早く対応するためです。運用担当者が管理対象サーバーにアクセスして管理ツールを起動した際、それを検知して操作内容の記録を開始するよう設定しています。AdminControlの連携したレポートで確実かつ効率的に作業を把握システム運用において、必要なときに必要な操作ログを速やかに確認できる点は大きなメリットです。三菱総研DCSでは月1回のペースで操作ログをレポートで確認していますが、誰がいつ何をしたかを格段に早く、容易に把握できるようになりました。「大切なのは各作業の承認の有無と不正の有無が明確に分かることです。AdminControlで作成した監査レポートがそのまま顧客宛提示資料として使用できます。ツールを使用したシステム運用管理を行うことで、クラウドサービスにハイレベルなセキュリティ体制を求めるお客様に対しても、手作業にはない安心感を提供できます」(水上氏)加えて、監査レポートを自動で生成できるようになったため、監査対応に向けた準備の省力化も大きく進みました。「当社ではISMS認証を取得しており、定期的な監査を受けています。監査レポートが自動的に生成されることで、監査対応に関する負担は圧倒的に削減されました。顧客と契約を結んでいます。AdminControlの導入によってFINEQloudに高いセキュリティを実現することができました。ようなツールの活用は重要なテーマであるとのことです。「弊社はエンカレッジ・テクノロジの販売パートナーでもあります。AdminControlを他のシステムやお客様システムに横展開していけるのではないかと思います」(岩澤氏)※本内容は、2017年4月時点のものです。4-12-2URLhttp://www.dcs.co.jp/事業内容2004年より三菱総研グループの一員として一体型サービスを展開。各種システムの企画・開発・運用に加え、データセンターサービス、給与人事サービス、BPO(ビジネス・プロセス・アウトソーシング)サービスなど幅広いラインアップの商品・サービスの提供を通じ、顧客の事業の成長に貢献しています。AdminControl)本事例のPDFはこちら製品ご採用事例集はこちら採用事例集とは、企業名は非公開となりますが、業種や企業規模、お客様が当初抱えていた課題や弊社製品をご選定いただいた理由などの概略を掲載した資料です。