このページの本文へ移動
当社ウェブサイトではInternet Explorer6は非推奨環境のため、正しく表示されない場合があります。
詳しくは、「アクセシビリティについて」をご確認ください。
株式会社近畿大阪銀行株式会社近畿大阪銀行 様

取材日:2005年05月

FiBridgeII (ファイブリッジ ツー)
導入事例

業種
銀行
キーワード
  • 電子帳票

個人情報をはじめ情報漏洩対策を強化
FiBridgeIIをセキュリティ プラットフォームとして活用

近畿大阪銀行は、今、FiBridgeIIを単なる電子帳票システムとしてだけでなく情報漏洩防止のためのプラットフォームとしても活用している。何故電子帳票システムがセキュリティ・プラットフォームとして機能できるのか?システム部の森住氏、辻本氏、江原氏、長林氏に聞いた。

森住正司氏と辻本勝氏

株式会社近畿大阪銀行
事業概要: りそなグループの中核銀行の一つ。同時に大阪最大の地方銀行として確たる存在感を有しており、りそなグループのネットワークと、信託機能などを生かし、地域経済の発展と活性化に努める。
本社所在地: 大阪市中央区城見1丁目4番27号
資本金: 389億71百万円
設立日: 昭和25年11月24日
有人店舗数(出張所を含む): 138ヵ店(平成17年3月末現在)

導入背景

FiBridgeIIが情報漏洩防止のプラットフォームとして活用できる、その理由

- 近畿大阪銀行では、FiBridgeIIを、単なる帳票コスト削減の目的だけでなく、一種の文書セキュリティプラットフォームとしても活用していると伺いました。

FiBridgeII導入当初は、単にマイクロフィルム(以下COM)システムの代替品としてしか見なしておらず、セキュリティ用途は特に考えていませんでした。ところが使い進むうちに、「これは情報漏洩防止に使えるな」という事に気づいたのです。

- なぜ電子帳票システムがセキュリティプラットフォームとして機能できるのでしょうか?

銀行の帳票データはすべて汎用機に入っています。そこから情報を引き出すのは個々の社員です。FiBridgeIIは汎用機と社員の間の、いわば『関所』のような役割を果たしています。現在は、汎用機から帳票データを取り出すには必ず『関所』であるFiBridgeIIを通らなければならない仕組みになっています。関所は『通行手形』がないと通れませんが、これはFiBridgeIIではアカウント管理にあたります。現在はアカウント管理機能によって、職責ごと店舗ごとに参照可能な帳票データを管理し、利用できる機能に制限をかけています。また『関所』を通った場合に通行記録が残るのと同様に、FiBridgeIIを扱って帳票データを取り出した場合、閲覧、保存、印刷などのすべての操作にわたって記録が残ります。このようにして、二重三重のセキュリティにより、大切なデータを守ることが可能になります。

漏洩防止のための抑止効果をねらう……電子帳票の操作履歴保存

- 操作履歴を活用されていると伺っておりますが、どうしてでしょうか。

FiBridgeIIを使った場合の操作履歴はすべて記録しています。誰が、いつ、何のデータを閲覧したのか、どういう検索をしたのか、印刷したのかなど、全てのログが標準で出力されます。この操作履歴データを保存し、徹底的に活用しています。

- 保存したログはその後どのように活用なさっているのですか?

ログの中の印刷やデータ検索の履歴は、電子帳票化されFiBridgeIIに保存されます。各店舗の部店長は、随時このデータに目を通しています。

- 操作履歴ログについて、もう少し詳しくお聞かせ下さい。

帳票データを印刷やファイル保存した場合などは、すべて「電子帳票システム検索履歴確認表」に反映・出力され、責任者は、利用者に利用目的・保存方法などについて確認し、結果を記録します。

- 素朴な感想として、正しい事とはいえ、少々、大変そう、手間がかかりそうだという印象があります。各店舗や現場社員からそのような声はあがりませんでしたか?

正直言って若干の抵抗はありましたが、やはり原理原則を優先させました。このような厳しい運用は、不正行為を抑止する効果を狙ってのことでもあります。セキュリティはやはり性悪説に立たなければなりません。データは慎重に扱いましょうと「よびかけ」だけをしていても、なかなか効果は薄い。安易な印刷やファイル保存を未然に慎ませるような「しくみ」を確立するのが重要だと考えました。

印刷・ファイル保存など

導入ポイント

情報漏洩ができない『状態』をつくる…きめ細かいアクセス制限と機能制限

- 『関所』では『通行手形』に応じて通行が制限されます。これに相当するアカウント管理によるアクセス制限について伺いたいと思います。

操作履歴ログは、「電子帳票の活用に厳しい手続きを設けることで濫用を防ぐ」という話でした。一方「アクセス制限」の話というのは、「そもそも最初から、内部利用者の故意による情報漏洩を防げるように機能を制限しておく」ということです。
言い換えると、「故意に情報を漏洩した場合は厳重に処罰する」という抑止効果より前に、「最初から故意に情報漏洩をできないような『状態』を作る」ということです。

- 具体的にはどういう運用ですか?

部署ごと職務ごとに、電子帳票の機能をどこまで使ってもよいか、データをどこまで見ても良いかという定義が決まっています。例えば、データの閲覧範囲にしても、A店からはB店のデータは見えないというように、店舗ごとの区分けもしています。とにかく「必要最小限のデータしか見せない。使わせない」ということを基本原則にしています。

- とはいえ、それだけアカウント管理を細かく定義するのも、情報システム部としては手間がかかるのではありませんか?

今やセキュリティというのは本来業務の一部なので、そのようなことはありません。例えばシステム開発においても、従来の感覚では技術的な仕様定義や要件定義を終えてから、アカウント管理やアクセス制限を『後づけ』するような順番になることもありましたが、現在では、アカウント管理は最初から設計の構成要素の一部です。『後づけ』であれば手間と感じることもありうるかもしれませんが、最初から設計の構成要素であれば、そうした感覚にはなりません。

情報は必ず『足跡』が追えるようにする……FiBridgeIIによる一元管理

- FiBridgeIIが情報の『関所』として機能しているという部分について、詳しく教えていただけますでしょうか。

これは危機管理の話なので、少々極端な仮定をさせていただきます。要するに「もし万が一、情報の漏洩が発生したときにどうするべきか」ということです。

- もしそういうことが起きたとしたら……漏洩事実の公表云々という話もありますが、それと並行して、情報がどういう経路で漏れたのか、そして何が原因で漏れたのかを調査することも大事だと思います。

おっしゃる通り、事実調査は非常に重要になります。ですから、FiBridgeIIはそういう局面で活用することも想定しています。

- FiBridgeIIは、情報漏洩の経路調査においてどのように利用できるのでしょうか?

汎用機の帳票データを社員が閲覧するには、必ずFiBridgeIIを経由することになります。つまり、もし万が一情報漏洩が起きるとすれば、FiBridgeIIを経由して出力された帳票データが、何らかの形で外部に出てしまっているということに他なりません。ところが、FiBridgeIIを経由しているということは、いつ、誰がどの帳票データを印刷、検索したのかを記録した履歴が残っているため、情報の漏れどころを追跡することが出来るのです。この理論を現実化するためにも、汎用機の帳票データが各社員に届くまでにFiBridgeIIを一度経由するという体制を徹底する必要があります。

- なるほど。それなら情報の漏れどころを必ず追うことができますね。

さらに別の視点から考えてみます。汎用機の帳票データというのは結局、紙の形か、電子データの形かのいずれかで外に出ていきます。この視点から、「紙が外に出て行くことの防止」と「電子データが外に出て行くことの防止」の二つに分けて考えることもできます。

- まず「紙が外に出て行くことを防ぐ方策」について教えていただけますでしょうか。

単純な話ですが、FiBridgeIIを導入して電子帳票化を進めた結果、紙帳票自体が減ったので、漏洩リスクは相当減りました。またFiBridgeIIから印刷された紙についても、先に述べた操作履歴ログや印刷機能の制限などにより、少なくとも経路が追える状態にはなっています。また、個人情報保護法対策として、印刷された紙に対しても特定の情報を埋め込むという対応を進めていきます。

- 「電子データが外に出て行くことの防止」についてはどうなりますでしょうか。

電子データは紙と違って物理的実体がないので、漏洩防止もいっそう難しくなりますが、ともかく最善を尽くさなければなりません。まず行内のPCからはFDドライブなどを取り去るといった対策を講じています。やむをえない事情で媒体に記録が必要な場合は“限られたマシンでのみ可能で、ただし暗号化は必須”というようになっています。その他にも様々な方策を施行していますが、とにかく最も重要な事は、『汎用機からデータを出力するときは必ずFiBridgeIIを経由する』という体制を確立することです。

- なぜそれが最も重要なのでしょうか?

そうすればセキュリティが一元管理できるからです。平成17年6月から実施予定ですが、かつては各所管部から汎用機のデータをCSV形式で欲しいという要望があった場合は、申請書ベースで汎用機から抜き出して送り届けていました。しかし今はCSV形式のファイルもFiBridgeIIで保存できるので、汎用機⇒FiBridgeII⇒申請元社員というように間にFiBridgeIIを経由するようにシステムを変更しました。こうすると、FiBridgeIIの操作履歴ログ機能やアクセス管理機能などがそのまま活用できる事になります。
つまりCSVファイルの閲覧などもFiBridgeIIの操作ログ履歴に記録が残ります。また、それ以前に、FiBridgeIIのアカウント管理によりCSVデータの閲覧が許可されていないことには、そもそもCSVを見るという試行すらできないのです。
このように、とにかくあらゆるデータ取得の局面でFiBridgeIIを経由するようにすれば、既存の操作履歴ログ機能やアクセス制限機能がそっくり活用できるのです。

FiBridgeII導入のメリット……帳票データ検索力の向上

- セキュリティ以外の導入効果はいかがですか。

COM時代の問題点として、1)保管費用がかかる。2)検索が困難。取り出し・収納など運用コストが大きい。3)不慮の紛失が起きうる(情報漏洩の原因になる)ということがありました。この3つの問題はFiBridgeIIの導入できれいに解決されたといえます。また導入当初のCOM作成期の代替として1億円程度の経費削減効果が達成されました。さらに現状の電子帳票化の推進により、今後は年5,000万円程度のコストダウンが見込まれます。

- コスト以外の導入効果はありますか?

行内での帳票データアクセスの利便性とスピードが向上しました。先にも述べたとおり、FiBridgeIIは老朽化したCOMシステムの代替システムとして導入したので、最初はCOM保存帳票だけを電子化しました。ところが、使ってみるとなかなか便利だということが分かったので、現在は、月次の取引情報、財務情報をはじめ600種類の帳票を電子化しています。

- 電子帳票になって、特に便利になったと思えるのはどんな点でしょうか。

やはり検索の負荷軽減が大きいですね。例えば、「大阪市内のA株式会社の取引履歴を調べる」といった作業が発生したとします。これを紙の帳票で実施するとなると、一枚一枚、紙の資料をめくらなければならないので大変ですが、電子化されていればすぐに検索できます。また『金額の多いものを上から10個』といった絞込み検索や複合検索ができるのも便利です。本部が実施するような本格的なデータ分析ということになると高度なデータベースシステムを別途構築していますが、正直言って営業店での日常業務の7~8割程度はFiBridgeIIが提供する検索で間に合っています。

- その他、改善されたと思える点はございますか?

表計算ソフトへのデータ渡しが簡単に出来るのも非常に便利な点です。もっとも、便利だからといってどのようなデータでも表計算ソフトへのデータ渡しができてしまうとそれは情報漏洩につながるリスクがありますが、FiBridgeIIの場合は前述したようなアクセス制限機能やアカウント管理機能があるので、大切なデータを守った上で便利さのみを享受することができます。

今後の展開

- 今後FiBridgeIIをどのように使いこなしていく予定ですか?

今後は、行内のデータを可能な限りすべて電子帳票化したいと考えています。それはコスト削減の意味もありますし、これまで述べたようなセキュリティの一元管理という意味合いもあります。現在は月次でチェックする帳票を電子化していますが、近々、日次の帳票も全面電子化していきたいと考えています。

ハードウェアを二重化し安定向上を図る(バックアップ機はLinux)

- JFEシステムズへの要望などあればお知らせください。

最初はCOMの代替としか考えていなかったFiBridgeIIですが、使ってみれば、セキュリティ強化や帳票データ検索の改善など多目的に活用できており、大変拡張性のあるシステムだという印象を持っています。またトラブルも少なく安定性が高いことも評価できます。この安定性の高さは今後も磨きをかけていただきたい点です。

- 具体的に教えていただけますでしょうか。

先ほど述べたとおり、今後、FiBridgeIIには日次帳票も取り込んで業務に活用していく予定です。月次ならともかく日次となった場合、もしFiBridgeIIが停止したら日次の業務に支障が出ます。現在、ハードウエア・レベルで二重化するなど様々な方策を採っていただいていますが、今後も安定性の確保には十分に注意を払っていただきたいと考えています。

- 承りました。

FiBridgeIIは、セキュリティ管理面においても情報共有面でも、近畿大阪銀行の情報系システムの中で中核的な位置を担いつつあります。今後も優れた技術とサービスを継続提供していただき、当行の情報化をご支援いただけるよう宜しくお願いいたします。

- お忙しい中、貴重なお話をありがとうございました。

※ 実績紹介に記載された情報は取材時点のものであり、お客様の社名などが閲覧される時点で変更されている可能性がございますがご了承ください。

お問い合わせ

資料請求・デモンストレーション等、お気軽にご相談下さい。

お電話でのお問い合わせ

  • 東日本 : 03-5418-2377
  • 西日本 : 078-232-5365

受付時間 9時~17時30分
※土曜・日曜・祝日、当社指定の休業日を除く