SMBCコンシューマーファイナンス株式会社様

※本取材は2009年9月に行ったため、旧社名での記載となっております。ご了承ください。

プロミスは、三井住友銀行グループの一員として、お客様の「パーソナルメインバンク」となることを目指し、日々、顧客満足の向上につとめています。現在の店舗数は、約1500店、提携CD・ATM数は約12万機です（※）。

P-Pointerは、外部媒体にデータを書き出す際の「IT運用部による最終チェックの補助ツール」として使っています。

※数字はいずれも2009年3月のデータ

根本のところからご説明いたします。プロミスでは、お客様の個人情報や取引情報などは、コンピュータセンターのデータベースで一括管理し、漏えいのないよう厳重に管理しています。

社員は、お客様情報を、業務上必要な場合のみ、一定の制限の下で必要な部分のみ「閲覧」することはできますが、端末から「外部媒体に書き出す」 ことは一切できません。この方針を徹底するために、FDドライブやUSB、SDカードなどの外部記録媒体は、セキュリティソフトウエアにより、書き出しや 接続を禁止 しています。これにより、お客様情報に限らず、全てのデータについて外部媒体への書き出しを禁止しています。

しかし、ごく例外的に、データの外部媒体への書き出しを社員に許可しなければならないことがあります。例えばIT部門ではシステムの障害解析用のログなどをベンダーに提出するケースがあります。

この時、IT運用部による「立ち会い監視」が必要になります。その際、当事者が書き出しを行おうとしているデータに個人情報が含まれていないか、P-Pointerによりチェックしています。

以前は、プロミスでも、同じように考えていました。書き出し用機器の物理的利用制限、ＩＴ運用部に対する事前の申請書提出、各部門の上長による最終チェックなどの施策は講じていたものの、IT運用部員による立ち会い監視までは行っていませんでした。
 

しかし、現在は、各部門責任のチェック体制だけでは、情報漏洩を防ぎきれないという結論に達し、運用体制を厳格化しました。 個人情報保護法施行後のここ数年でも世間では個人情報の流出事件が後を絶ちません。この状況を鑑み、プロミスでは、情報漏洩防止体制をあらためて見直すことになりました。

現況を精査した結果、「最後のデータ書出しのところで第三者によるチェックが必要である」という結論に至りました。

P-Pointerの役割は「立ち会いチェックの検査品質の平準化」です。

IT運用部員が最終確認として、目視でデータを検査するとはいえ、人の作業には、どうしても「見落とし」や「（疲れなどからくる）ミス」が発生する可能性があります。

この部分は、P-Pointerのようなソフトウエアを使って、一定の検査水準が確保できるよう図りました。

P-Pointerにより、名前、住所（地名）、電話番号、カード番号、口座番号などの個人情報に類するデータを検出しています。

P-Pointerと、もう一つの製品Aを比較検討しました。プロミスが今回の立ち会いチェック補助のために使う個人情報検出ツールに求めた要件は次の3点です。

要件1：「シンプルであること」
導入した製品は、プロミスの標準仕様のパソコンにインストールして動作させます。パソコン内の他のプログラムとぶつからないよう、常駐無しのシンプルな仕様であることを求めました。

要件2：「パスワードがかかっているファイルへの対処が適切であること」
個人情報検出ツールといえども、読み取り禁止パスワードがかかっているファイルは、中身を検査できません。しかし「パスワードがかかっていたので検査がで きなかったこと」はログファイルなどで報告される仕様が必須です。報告があれば、立ち会い監視しているIT運用部員が目視でチェックできるからです。

要件3：「ユーザーが検査設定を変更できないこと」
ユーザーが検査設定を自由に変更できる仕様では、悪意ある人物が、自分の都合の良いように設定を変える可能性があります。ＩＴ運用部が決めた設定に「固定」できる必要があります。

以上の3要件をもとに、二つの製品を比較したところ、P-Pointerが要件2および3において製品Aに優っていたので、P-Pointerの採用を決めました。

プロミスでは、かつて汎用機を使用していた時代からアクセス管理には留意しており、顧客情報などの本番データにアクセスできるのは都度貸与されたアカウント（ワンタイムパスワード）で作業後にはそのアカウントのログをチェックするという体制を敷いていました。

その後、汎用機の周辺にクライアント・サーバ構成のオープンシステムがたくさん立ち上がってきましたが、それらのシステムでは特定の担当者にア クセス権を 付与していました。2005年4月に個人情報保護法の本格施行が決まり、金融庁のガイドラインへの対応が急務となりました。

まずネットワークアクセスに指紋認証とシングルサインオンを導入しました。さらにオープンシステムへのアクセス権限も、「”人”ではなく、その場その場の”業務”につける」形に統制を統一しました。

しかし、この方式であっても、データのアクセスと書き出しのタイミングがずれると把握する事が困難になります。ここ数年の情報漏洩対策に関しては、特にデータの流出経路の規制・監視を強化してきました。

ここまで述べた施策以外にも、電子メールの監査やURLフィルタリングやインターネットのアクセスログチェックなどの方策を導入し、情報漏洩を防ぐ努力をしています。

IT運用部としては、今後、セキュリティにおけるCIA、すなわち機密性（Confidentiality）, 完全性（Integrity）, 可用性（Availability）をバランス良く確保したいと考えています。

またセキュリティを向上させながら、それによって社員側に過剰なストレスを与えることがないよう工夫したいと考えています。

今回、P-Pointerの導入により、プロミスの情報漏洩防止対策の品質を平準化し、かつ人間の見落としを防止する仕組みを作ることができました。

KLabには今後とも優れた技術とサポートとを継続提供していただき、プロミスのセキュリティへの取り組みを支援していただくことを希望します。今後とも よろしくお願いいたします。

プロミス株式会社様、本日はお忙しい中、貴重なお話をありがとうございました。