ＳＭＢＣコンシューマーファイナンスの厳格なセキュリティ基準を満たす
─ 特権ID管理の見直しによる業務効率・利便性向上への道

ＳＭＢＣコンシューマーファイナンス株式会社は、個人向けローン商品「プロミス」を中核に幅広い金融事業を展開する企業です。2023年からの中期経営計画では「コア事業のマーケットシェア拡大」「新たなビジネスへの事業展開」「社会的価値の追求」の3つの目標を掲げ、経営基盤の強化に取り組んでいます。

同社の事業基盤では、ITは重要な役割を担っており、多岐にわたる顧客サービス向上への対応や、社内のBPR推進などで管理システムは増え、現在は約1,000台のサーバーが稼働しています。この運用効率化が重要なテーマとなっていました。また、昨今激化するサイバー攻撃に対処するためにもセキュリティ対策にひときわ力を入れています。

その一環として取り組んでいるのが「特権ID管理」の強化です。厳しいセキュリティ基準への対応が求められる中、「パスワード流出リスク」への対応強化が必要であり、併せて「業務効率」の向上を果たしたいと同社のシステム企画部では考えていました。

真野氏 　従来、特権IDの申請・承認の徹底や、IDの厳格な一元管理を実施していました。しかしながら、管理者が利用可能なIDを特定し払い出しを行う一連の作業は人手で行っていたため、その過程に「パスワード流出のリスク」があると考えました。また、万が一不正アクセスがあった際には管理者に嫌疑を掛けられる可能性があり、そうした精神的な負担を取り除きたいという声も挙がっていました。

渋谷氏 　当社では、特権IDを使ってシステム作業を行うユーザーが多いため、人手を介すのは、権限付与時を考えただけでも効率的とは言えません。特権ID利用終了時には、管理担当者が目検でログを細かくチェックしていたので、ここでも負荷が掛かっていました。また、申請者が増えると承認を行う役職者も増え、度々申請フローが滞ることが起きていたため、これを改善し「業務効率」を上げたいと考えていました。

同社は、既存の申請・承認ワークフローには極力手を加えずに済むことを必須の要件として、特権ID管理製品を比較していきました。そして、最終的に選定したのがアシストの提案した「iDoperation」でした。

渋谷氏 　iDoperationは、パスワード秘匿化や作業自動化といった基本機能を網羅しており、求めるセキュリティ要件に合致しています。Active Directoryと連携したシングルサインオンが可能なため、ユーザーの利便性にもつながると考えました。また、サーバーへエージェント導入をする必要がない点も選定の決め手の1つでした。

実装と実務を行う基盤システム部においては、製品の機能だけではなく、過去取引におけるベンダーへの信頼も高く評価した点だと言います。

小林氏 　選定では、ベンダーへの信用度も大きな要素となりました。製品の開発元であるNTTテクノクロスはグループの別会社時代に付き合いがあり、製品に対する心配は特段ありませんでした。また、アシストに関しては古くから取引があり、当社のJP1やOracle Database Applianceなどでのサポートの対応から、信頼を置ける存在という点で高く評価しました。

同社は、iDoperationのサーバー管理対象を絞り、2023年11月から本番運用を開始しています。

特権ID管理の仕組みをスムーズに構築できたのは、iDoperationの採用前からアシストに様々なアドバイスを貰えたからと語ります。

住吉氏 　アシストの技術者は製品の採用前から何度も当社まで足を運び、デモや基盤部に対して製品説明会を実施してくれました。また、既存の特権ID管理の仕組みを生かせるよう、構築前から様々なアドバイスをいただきました。これにより、事前に既存の申請ワークフローなどを生かすための構成が固まり、トラブルなど特に発生せず本番運用できるに至っています。

運用後は、セキュリティ担当者の業務も改善されています。

三好氏 　承認時間の待ち時間が減ったことで、待ち時間に関する問い合わせ数も削減できました。また、動画ログ機能により、課題だった作業完了後のチェック時間の削減につながり、現場としても非常に助かっています。

また、実際に利用してみての製品評価を小林氏は次のように語ります。

小林氏 　iDoperationは、利用者の痒いところに手が届く製品だと現場から驚きの声が挙がっています。ユーザーの操作した録画データを倍速・スロー再生や、サーバーを選ぶリストボックスで文字列の一部を入力するだけで自動的に候補を絞り込めます。インターフェースもこの手の分野の製品では珍しく見やすいんです。小さい点かもしれませんが、ユーザーからの細かい要望が反映されているなと思い、さすが国内シェアの高い製品だと感心しています。

現在は、パスワード流出のリスクを大幅に減少することに成功し、ユーザーの利便性向上も進めている最中です。

真野氏 　セキュリティレベルの向上とセキュリティ担当者の業務効率化に加え、ID申請時のユーザーの利便性も向上しています。これまでID利用申請時の承認者は1人に限定されていました。しかし、グループ単位での申請を可能にしたことで、承認者が休みであってもグループに所属している他の承認者が対応できるため、承認時の待ち時間も解消されました。

iDoperationで特権IDを管理している対象は限られているため、管理対象の範囲を拡大できるよう今後も活動をしていくと語ります。

小林氏 　ゆくゆくは、ミドルウェアやアプリケーションの特権IDもiDoperationで管理していきたい。そのためにもアシストには今後も引き続き、ご支援をお願いできればと思います。

※お客様情報は取材時の内容に基づくものです。