Microsoft 365 E5 で日々進化する脅威から顧客情報を保護。Windows AutoPilot を活用することで、1 か月という短期間での展開を実現した三生オンユー

未知の脅威に対する先行的対策として、セキュリティ基盤の抜本的な見直しを検討

三井生命 100% 出資の保険代理店として設立された三生オンユー。三井住友海上から代理店の最高ランクとなる「ハイ・グレード・エージェント」の認定を受ける同社は、企業や団体のリスク マネジメントを、損害保険／生命保険という商品、長年のビジネスで培った豊富なノウハウを武器に支え続けています。

三生オンユーが支える法人/ 団体の数は、実に 800 を数えます。最高ランクの保険代理店として、信頼を維持しながらこれらの顧客に安心を提供する。この命題を果たす上で、セキュリティ インシデントは決して発生してはならないものだと、同社 代表取締役社長の鴻巣 憲寿 氏は語ります。

「世の中には様々な個人情報が存在します。中でも保険に関わる情報は、きわめてセンシティブなものです。外部に漏洩することは決して許されません。お客様の信頼で成り立っているわれわれのようなビジネスにおいて、情報は『守られて当然』なのです。しかし、悪意を持った脅威は日々増加し、しかも巧妙化しています。『守られて当然』の情報ながら、これを厳格に管理することに対しては、もはや一企業の取り組みだけでは限界があると感じていました」( 鴻巣 氏)。

三生オンユーは従来、顧客情報を含む各種システムを社内で構築/ 運用してきました。また、これらを利用するための端末も、原則として社内での利用に制限。くわえてユーザーに対して徹底したポリシー、セキュリティ ルールを課すことにより、強固なセキュリティ体制を維持、継続してきたのです。こうした組織的対策の体制は、親会社である三井生命が定期的に実施するセキュリティ調査、そして第三者評価においても高く評価されています。

しかし三生オンユー 取締役の上杉 信久 氏は、こうした従来型の対策の延長では日々脅威を増す攻撃に対応できなくなる恐れがあったと説明。2017年度より、セキュリティ基盤の見直しに着手したと述べます。

「当社では 2017 年度より、親会社の CSIRT 担当、自社 IT を支援する ＪＢサービスなどセキュリティ有識者を招き、定期的にサイバー セキュリティ対策会議を開催してきました。その一環として 2017 年下旬に外部機関のセキュリティ監査を受ける機会があったのですが、そこで『セキュリティ強化(入口対策) 』『コンピューター フォレンジックの集積』、そしてこれらを実行する『体制整備』という 3 点について、改善推奨を受けたのです。この推奨は決して強制力を有したものではありません。しかし、近い将来に社会が『当たり前のもの』として我々の業界に求める要件と同義だといえます。であれば、早急に対応すべきと考えました。ネットワーク セキュリティは先駆して対策済でしたので、エンドポイントやシステム サイドの対策のみを強化するという選択肢もあります。しかし、改善点には『体制整備』を含むため、従来施策の延長線上ではこれを満たすことができないと考えました。そこで、セキュリティ基盤を見直すことにしたのです」(上杉 氏)。

少ない管理部門で強固なセキュリティ体制を整備すべく、高い技術を有する ＪＢサービスへ業務を委託

近い将来に社会から要請される要件への先行的対策として、三生オンユーは 2017 年 12 月、セキュリティ基盤の抜本的な見直しに乗り出します。この取り組みでは、外部機関のセキュリティ監査にて指摘された以下の 3 点が、主な改善点として検討されました。

しかし、上杉 氏はここに挙がった改善点を解消することは容易ではなかったと語ります。同氏は「当社の従業員は、多くを渉外担当といった営業人員が占めます。従業員数 28 名 (2018 年 4 月現在)という規模ですから、管理部門に割り当てられる人材はどうしても限られます。『セキュリティの強化』や『コンピューター フォレンジックの集積』には、これらを常に運用管理し、そして発展させていくための人員確保が不可欠です。専任者なしに果たせるものではなく、われわれだけで [3] にあるような体制づくりを進めることは、どうしても限界がありました」と説明し、検討の結果、ＪＢサービスへセキュリティ業務をアウトソースすることに決定したと述べます。

「ネットワーク セキュリティ対策の頃から ＪＢサービスとはパートナーシップの関係を築いてきたため、1 から説明をせずとも当社の課題に基づいた提案、管理をいただけます。くわえてセキュリティに関して高い技術力を有していることも、ＪＢサービスへ依頼した理由でした」と、上杉 氏は ＪＢサービスを評価。これに応えるように、ＪＢサービスの小林 憲一 氏は、改善点の解消におけるポイントについて、次のように整理します。

「セキュリティの強化やフォレンジックとなるログを収集するためには、一般的に新たなシステムが必要です。しかし、システムは脆弱性を内包するものです。セキュリティ強化として実施したシステムの増強がかえってセキュリティリスクを増やすことにもなりかねるため、留意して作業を進める必要がありました。また、三生オンユー様は、ご相談を頂いた 2017 年 12 月からわずか 4 か月後の翌年 3 月までで、改善点を解消することを希望されていました。システムを無駄に増やすのではなく簡素化したしくみのもと、有効な対策を、早期に実現する。これを果たすべく、当社は Microsoft 365を活用した対策を考案しました」(小林 氏)。

Microsoft 365 の最上位エディションの Microsoft 365 E5 を採用し、セキュリティ強化を図る

Microsoft 365 は、Office 365、Windows 10 Enterprise、Enterprise Mobility + Security (EMS) を統合的に提供するソリューションです。ＪＢサービスが考案したのは、まず従来物理サーバーで稼働していた社内システムを Office 365 に統合。Office 365 と Windows 10 が標準で備えるセキュリティ機能をもってシステムとエンドポイント双方のセキュリティ水準を向上し、これらを EMS によって、常に最新でセキュアな環境として維持運用するという案でした。

同案では Office 365、Windows 10 Enterprise が備える標準機能を多く活用します。ハードウェアの調達やサード パーティのシステムが不要なため、簡素なしくみで、なおかつ迅速に作業を進めることが可能でした。小林 氏はまず Windows 10 Enterprise の利点について、こう説明します。

「Windows 10 Enterprise は Windows Defender や Device Guard など様々な標準機能を備えるため、エンドポイント セキュリティの水準を、多角的かつ飛躍的に高めることができます。最上位エディションとなる E5ではWindows Defender Advanced Threat Protection によってコンピューターフォレンジックも収集可能なため、トレーサビリティの担保にもつながります。システムの増加は、脆弱性の問題だけでなく、システム間の整合性を注意深く管理する必要性も生じさせます。OS と密結合する標準機能を使用すれば、セキュリティ ホールやシステムの一貫性に対して考慮をせずに多層防御を実現することが可能です」(小林 氏)。

また、Microsoft 365 はシステム側のセキュリティ強化においても有効だったといいます。マイクロソフトのクラウド サービスは、Threat Intelligenceと呼ばれる技術を実装しています。これはグローバルでサービスを提供するマイクロソフトが日々集積する脅威情報を、絶えずサービスに還元するというものです。「脅威の主な侵入口に電子メールがありますが、たとえばOffice 365 が備える Office 365 Advanced Threat Protection を有効化すれば、Threat Intelligence 技術によって最新の脅威を検知することが可能となります。三生オンユー様や当社だけでは把握できない未知の脅威であっても、クラウド ベンダー側が対策を講じてくれるわけです」と、小林 氏はそのメリットを説明。これに続けて上杉 氏は、ＪＢサービスの提案時に受けた所感について、当時をこう振り返ります。

「Microsoft 365 を利用した案は成果が明瞭でしたので、提案後すぐ導入を決定しました。エディションの間で価格差がそれなりにあったため、E3 と E5 のどちらのエディションを採用するかという点は悩みましたが、『トレーサビリティを担保した強固なセキュリティ基盤』は、近い将来、社会がわれわれに求めることとなる『あたり前のもの』です。ここへいち早く対応することは企業としての責務だと判断し、最上位エディションの E5 で契約することにしました」(上杉 氏)。

Windows AutoPilot によって、わずか 1 か月で展開を完了。発展性を持ったセキュリティ基盤を獲得

三生オンユーが Microsoft 365 の導入を正式に決定したのは、2018 年 2月のことです。契約手続きなどを背景に、Windows 10 へのリプレースやOffice 365 の設定作業をスタートしたのは、3 月に入ってからでした。

既述のとおり、三生オンユーでは 2018 年 3 月までに新たなセキュリティ基盤を整備することを構想していました。しかし、PC リプレースだけみても、その作業には通常数か月の期間を要します。わずか 1 か月で各種作業を完了して強固なセキュリティ基盤を整備することは、きわめて困難だといえました。そうした中、ＪＢサービスは目標にかかげた 3 月中で、PC リプレースや Office 365 などの設定作業を完了。新たなセキュリティ基盤を整備することに成功しています。

小林 氏とともに顧客提案から実作業に携わった ＪＢサービスの守本 俊輔氏と篠原 菜都子 氏は、PC 展開においてあらたな手法を採用したことが、成功の 1 つの要因だと語ります。

「今回、PC 展開に際してはマスタ コンピューターを構築してイメージ情報をベアメタル展開するという一般的な手法ではなく、Windows 10 の備える Windows AutoPilot を活用する手法を採用しました。Windows AutoPilot は、管理者側で指定したコンピューター設定を、EMSのMicrosoft Intune を通じて各 PC に自動適用する機能です。当社のキッティング センターで全標準 PC の設定を Windows AutoPilot で均一化し、それから各ユーザーへ配布しましたが、展開に必要な工数、期間が 3 分の 2 ほど圧縮されたと感じています」( 守本 氏)。

• 従来の展開手法と、Windows AutoPilot による展開手法

「Windows AutoPilot はこうした初期展開でも有効ですが、真価を発揮するのは更新ファイルの適用だと感じています。Windows 10 の魅力は、年に 2 回配信される更新ファイルによって、常に最新のセキュリティ水準を実装できる点にあります。ただ、これを標準 PC に適用するには、マスタイメージの作成など初期展開と同等の作業労力が必要です。Windows AutoPilot によってクラウド ベースの管理下に置かれたコンピューターの場合、最新の環境、設定に更新してしまえば、あとは Microsoft Intune が自動でユーザー環境に適用してくれます。更新ファイルを適用するまでのリードタイムが短縮されるほか、標準 PC の設定が統一化できる、またそれが容易に管理できるという面でも有効だと考えています」(篠原 氏)。

Windows AutoPilot による最新 OS の適用、Threat Intelligence 技術による未知の脅威への継続的対策により、三生オンユーのセキュリティ基盤は、強靭さだけでなく発展性も備わったといえます。さらに、三生オンユーとJＢサービスでは現在、Windows Defender ATP で収集したコンピューターフォレンジックなどセキュリティに関する様々な情報をレポート化し、その内容に関して議論する定期会議を開催。PDCA サイクルによって、エンドポイント、システム、体制のすべてを継続的に発展していくことがめざされています。

鴻巣 氏は、サイバーセキュリティ対策会議を開始した 2017 年と同じ年度内で、こうした強靭で、なおかつ発展性をもったセキュリティ基盤が獲得できたことを、高く評価します。

「ＪＢサービスの強固な支援のもとで Microsoft 365 を導入したことにより、無事、年度内に強固なセキュリティ基盤が整備できました。この取り組みの成果は、単にインシデント リスクを低減させただけに留まりません。従来のセキュリティ体制では、外出先や商談時などで IT の持つ可能性を活かすことができませんでした。こうした『IT を活用したサービス価値の向上』に向けて取り組みが、現在のセキュリティ基盤であれば着手することができます。当社にとってのリスク軽減、そして当社自身の企業価値の向上、この双方において、大きな意義を持つ取り組みになったと感じています」(鴻巣 氏)。

セキュリティ水準の向上とともに、IT を活用したサービス価値の向上にも取り組む

鴻巣 氏の触れた「IT を活用したサービス価値の向上」は、遠い未来の構想ではありません。三生オンユーは 2018 年 4 月より開始した 3 か年計画の中で、IT を活用したサービス価値の向上を提唱。渉外現場での IT 活用、社内のペーパーレス化など、さまざまな取り組みが、今まさに取り組まれているのです。

「現在、営業人員には当社が管理する標準 PC のほか、親会社である三井生命のネットワーク配下で管理されている渉外用モバイル 端末を貸与しています。しかし、標準 PC と渉外用端末との間には連続性、互換性がなく、有効に活用されているとはいえない状況です。Microsoft Intune を利用すれば、出先で利用する端末を、当社でもセキュアに管理できます。先の連続性、互換性を備えた渉外用端末を営業人員に貸与することが可能であり、SharePoint Online と合わせて活用すれば、大量の紙資料を持ち歩かずともスピーディかつセキュアにお客様へサービスを提供できるようになるでしょう」と、上杉 氏は意気込みをみせます。

三生オンユーでは 3 か年計画の過程で「社内に一切の紙がない」「情報はすべてクラウド上にある」環境とすることをめざし、現在取り組みを進めています。顧客に関するあらゆる情報がセキュアに運用され、物理的損失といったリスクもなく、どこからでも有効に活用される。こうした世界の実現が、三生オンユーにおいて間近に迫っているのです。同社の取り組みは、日々高まる脅威への対策に限界を感じている企業、そして IT を活用してサービス価値の向上をめざす企業の指針として、有益なモデル ケースとなりそうです。

[PR]提供：日本マイクロソフト