Comments
Description
Transcript
カブドットコム証券株式会社 様 - エンカレッジ・テクノロジ株式会社
Case Study カブドットコム証券株式会社 様 Profile 競争力を維持・向上しつつ、 IT統制強化を実現することで急成長する オンライン証券企業 カブドットコム証券株式会社 第一種金融商品取引業 関東財務局長（金商）第61号 カブドットコム証券株式会社（以下、カブドットコム）は 2001 年に 「日本オンライン証券」 と「イー・ウィング証券」 （共に 1999 年設立）の合併により誕生、株式会社三菱 UFJ フィナ ンシャル・グループの一員として提携を強化しながら、国内屈指のオンライン専業証券会 社というポジショニングを築いてきました。競争の激しいオンライン証券業界において、ス ピーディーにサービスの差別化を図りながらコストを抑えて収益性を高めるため、 フロント システムから勘定系まで IT システムすべてを自社で開発・運用しています。 設 立 1999 年（平成 11 年）11 月 19 日 本社所在地 〒100-0004 東京都千代田区大手町 1-3-2 経団連会館 6F U R L http://www.kabu.com/ 事 業 内 容 インターネットや 携帯といった媒体による 証券取引および付帯業務 < 導入製品 > またカブドットコムは、同業他社に先がけて ISO 9001、ISO/IEC 27001、ISO/IEC 20000-1 といった認証資格を積極的に取得、業務品質の向上や従業員のセキュリティリテラシー向 上にも取り組んでいます。 事務・システム本部 そのようなカブドットコムが IT システムの開発・運用における統制強化の目的で選択 システム部 したのが、エンカレッジ・テク ノロジの ESS REC と ID Inspector によるトレーサビリティ強 ITプロフェッショナル・エバンジェリスト 谷口 有近 氏 課題 化策でした。 セキュリティインシデント対策にどう取り組むか？ ✓求められるシステム開発・運用における統制強化 限分離を極端に進めすぎてしまうと、伝言ゲームのような業務伝達 これまでカブドットコムでは、ISO/IEC 27001 のフレームワークを が発生してしまいます。 これでは組織の硬直化を招き、迅速な対応 もとに、システム運用におけるセキュリティ対策として、全てのデー が困難になり、お客様満足度に影響を及ぼしてしまう懸念がありま タセンターおよび執務室内に監視カメラを設置、運用ルームのガラ した。 ス張り化、特権 ID の利用における承認制といった施策に加え、自社 一方、共有で利用する特権 ID の利用廃止にも課題があります。古 で構築した取引システムやサードベンダーのセキュリティ対策製品 いシステムでは、もともと個別にアカウント管理が出来ないものが のログの取得と保管、異常な振る舞いの通知など、一定の対策は取 存在します。 また、たとえ個別アカウント管理が可能なシステムで られてきました。 しかしセキュリティ施策の重要性が高まるなか、さ あっても権限を細かく設定することは、 アカウント管理業務の負荷を らなる対策が必要と指摘され、その対応策について検討していまし 増加させます。設定ミスや設定忘れといった運用上の支障が生じる た。 懸念もありますし、あるログの取得には、アプリケーションが持って ✓少数精鋭部隊のジレンマ： いる特権 ID を利用するほか手段がないといった制限が存在する製 品もあります。つまり、特権 ID の廃止と個別 ID での運用は理想的 さらなる権限分離と特権 ID の管理 ではあっても、その運用を維持していく上で、現場に過度に負担が 少数精鋭でシステム開発と運用を内製で行うカブドットコムに かかってしまうような無理がある管理方法となり、かえってリスクを とって、最近の各種システム運用向けフレームにおいて強く求めら 増幅させてしまいかねないのです。 れる指摘事項である 「運用と開発の分離」への対応と、特権アカウン ト利用のトレーサビリティの確保は、少人数であるがゆえの難しさ がありました。 ✓莫大なシステムログで トレーサビリティは高まるのか？ 開発と運用の権限分離は、体制面では人員を増強することで可能 システム開発・運用における統制活動として、その正当性・健全 ですが、それでは単純にコストが増加してしまいます。毎週のように 性をモニタリングするためには、ログの蓄積などトレーサビリティ お客様向けシステムの改善を図るカブドットコムにとって、システム を高めることが必須です。 カブドットコムでは、オンライン専業証券 変更に伴う運用ノウハウの変更への追従や、システム障害時の円滑 という事業の性格上、業務のほとんどが IT システムに依存するた な復旧態勢の確保のための教育という観点でも課題が残ります。 以 め、内部統制の観点でのトレーサビリティ確保は、データ量との戦 前であれば、非常時や稼働系システムでのみ発生するようなバグの いになります。 テラバイト級のシステムログや電子メールログ、社内 可能性の調査などにおいて、開発チームが直接本番環境にアクセス 外からのアクセスログを統合し分析するためには、莫大な費用と構 することで、よりスピーディーな問題解決ができていたのに対し、権 築の手間が必要になってしまうのです。 『カブドットコムにおける ESS REC / ID Inspector 利用構成』 ① 共有利用の特権 ID でログオン ② IDI が本人確認を要求、 画面をロック ドメイン A RDP 管理ツール ドメインＢ ② 運用端末 操作対象サーバ 社内システム ユーザアカウント ID ③ ドメインコントローラに 問い合わせ、利用者を確認 ④ ロック解除し、REC 側に 利用者情報を通知、 REC による記録開始 ① 取引システム システム運用端末他 ③ ④ 社員 ドメインコントローラ 選択 アカウントを誰がどう利用するかに着目。 確実で克明な記録によるトレーサビリティの強化を行う ✓OS レベルの特権 ID の利用者を特定し、 操作内容を動画で記録 全てメモリ上に展開してメモリを占領してしまい、人の操作やソフ 最適な解決策はなかなか見つからないなか、エンカレッジ・テ トの動作を妨げるといった、業務効率の低下を引き起こしてしまう クノロジから送付された製品資料にて ESS REC と ID Inspector を ことがありました。 それに比べ、ESS REC と ID Inspector は動作が 知った谷口氏は「上長から使える製品か調べておくように言われ資 軽く、 システム負荷はほとんどありませんでした」 料をみたところ 『これだ』 と思い、トライアルを申込みました」 と語り ます。 ✓導入時の手厚いサポート体制 カブドットコムが導き出した解決策は、ESS REC と ID Inspector 「また、サポートについても重要な選定基準でした。実は、ID を連携させることで、共有アカウントを前提としたシステム運用とそ Inspector の仕様は当初、弊社環境ではうまく動作しませんでした。 の管理方針を大きく変更せずに、トレーサビリティの確保が可能な 弊社のお客様向け取引システムと社内環境は異なるドメインとし 運用システムの構築です。 これにより、共有 ID を利用せざるをえな て構成され、ID Inspector を利用する場合に、取引システムのドメ いシステムにおいても、そのアカウントをどの社員がいつ利用した インに参加している端末からは社内環境用ドメインのアカウントに のかを、申請なく無断で行われたとしても、特定することができま 対して本人確認ができない仕様だったのです。 この問題をなんとか す。 解決したい、というラブコールに対して、短期間で製品の仕様を拡 トライアルを通して、ESS REC と ID Inspector は、機能上の要件 張していただけました。購入の目処はありましたが、 トライアル中に を満たすことが確認されました。ID Inspector は、既存のアプリ ですよ」 （谷口氏） ケーションに一切変更をしなくても、共有利用される特権 ID の利 このようなやり取りを経て、2009 年 9 月、システム開発・運用端 用者の特定が簡単に実現できること、また ESS REC については、他 末、経理部門が利用する決済処理関連端末、 そして委託先が外部か 製品にはない操作内容を動画で記録するという高いトレーサビリ らアクセスする運用システムに対し、正式導入を決定しました。ESS ティが有効であると確認できました。 REC と ID Inspector の導入はほとんどトラブルもなく、 トライアルか 「製品の選定基準としては機能面だけでなく、他にもありました」 ら約 2 ヵ月で完了し、従来からの ID 管理の仕組みや各アプリケー と谷口氏は語ります。 「以前に利用した操作ログ・制御製品は動作 ションの認証など、大きな変更は一切行う必要がありませんでし が重く、例えば大きなファイルを開くと、その内容を開き終わるまで た。 効果 コストをかけずに統制強化を実現 ✓簡便な仕組みで高いトレーサビリティを実現 ✓自分や会社を守るセキュリティ 担当者は操作を行う際、OS 側が提供する Windows ログオン処 インタビューの最後に谷口氏は以下のようなコメントを述べら 理をおこないます。 しかしながらこの直後、ID Inspector が起動し、 れました。 「セキュリティ対策というと、一般的には社員を疑ってい 自身のドメインアカウント情報を入力しなければなりません。 ここ るような後ろ向きな印象がありますが、私はそうは思っていません。 で普段利用する ID とパスワードを入力することで、システム操作に セキュリティ対策を行うことは、社員、つまり自分や仲間が不正を働 おいて Windows が認識するアカウントとして共有 ID が利用され いていないことを証明することだと考えています。 それは企業がス る場合であっても、誰がそのアカウントを利用したのかを特定し記 テークホルダーに対してアカウンタビリティを果たすことでもあり、 録されます。 また一連の操作内容は、ESS REC によって操作画面ご お客様情報を守っている態勢を隠さずに正しく伝えることで、結果 と記録されます。 このような仕組みにより「誰がいつ、どのシステム として企業価値を高めることにつながります。監視のためというより に対して、どのような操作を行ったのか」を確実に把握できる高い は『守るため、そして高めるため』の仕組みだと考えれば、前向きに トレーサビリティを確保することができ、問題発生時の原因究明な 上層部へ提案ができますし、自分達の仕事にもプラスになるので どが効果的かつ効率良く行えるようになりました。 はないでしょうか」 ✓システム利用者への意識付け効果 シー向上や業務品質の向上に努めながらも、理想追求型のセキュ カブドットコムが統制強化に成功した要因は、従来からリテラ 導入後、副次的な効果もみられました。操作者や操作内容がすべ て記録されていることによる社員の意識の向上です。 「ISMS では『クリアデスク』という考え方がありますが、導入後シス テム操作で共用する端末のデスクトップに対する「クリアデスク」の 意識が芽生え、これまで何度も言っても直らなかったショートカット やファイルの放置がなくなりました。 『クリアデスクトップ』という言 い方ができますね。 これはデスクトップそのものを動画で記録する ことによる抑止効果とも言えます。動画のログならではこその効果 だと思います」 （谷口氏） リティポリシーに偏重せず、自社の人員規模や体制を踏まえ、実効 的な対策を選択したことにあるのではないでしょうか。 カブドットコムでは、今後同ソリューションの適用システムの拡 充や、多要素認証との連携など活用を広げ、お客様に安全なオンラ インシステムの提供を行えるよう、徹底した統制強化を目指してい くとのことでした。 お問い合わせは 本事例に記述されている内容は2010年2月現在の情報です。 Copyright© 2002-2013 Encourage Technologies Co., Ltd. 記載の会社名・製品名は、一般的に、各社の商標または登録商標です。 開発元 エンカレッジ・テクノロジ株式会社 〒103-0007 東京都中央区日本橋浜町3-3-2 トルナーレ日本橋浜町 7F URL ： http://www.et-x.jp Phone ： 03-5623-2622 Fax ： 03-3660-5822 <CS12-2013-04-01>