「山梨から豊かな未来をきりひらく」をパーパスに掲げ、県内唯一の地方銀行として地域を支える株式会社山梨中央銀行。勘定系システムのクラウド移行などDXへの取り組みを続ける同行は、情報系基盤のMicrosoft 365移行を機に、メールセキュリティの維持・強化を目的にHENNGE Oneを導入しました。今回は、システム統括部 システム企画課の西川 哲氏、システム運用課の山田 翔一氏、山田 俊和氏に、その成果を伺います。
情報系基盤のMicrosoft 365移行にあわせ、
拡張性を評価してHENNGE Oneを選定
— はじめに貴行の事業概要、DXの取り組みについてお聞かせください。
西川 哲氏：当行は「山梨から豊かな未来をきりひらく」をパーパスとして、中期経営計画「Value Creation Company～1st Stage」の変革ドライバーの一つにDXを掲げ、地域社会・お客さま・当行グループのDXの進化に取り組んでいます。システム面では2023年に勘定系システムをクラウドへ移行したほか、10年以上にわたって内製開発の体制を築いてきました。同年にリリースした「山梨中銀アプリ」も、内製で培った開発力が支えています。
— HENNGE One導入のきっかけをお聞かせください。
山田 翔一氏：情報系基盤の更改に伴うMicrosoft 365の導入に併せ、メール基盤もExchange Onlineへ移行しました。旧メール基盤の保存容量の不足、SSO（シングルサインオン）未対応、社用スマートフォンから閲覧できないといった課題を解消するためです。ただし、旧メール基盤では以前から対外メールの上長承認や脱PPAPなどを実施しており、これらの維持が大前提。Exchange Onlineの標準機能では設定の柔軟性に限りがあることが分かり、補完するソリューションが必要でした。
— HENNGE One採用の決め手は？
山田 翔一氏： HENNGE Oneは以前から展示会などで目にしており、Microsoft 365との連携性で構築ベンダーからも推奨を受けました。他のサービスとの比較で決め手となったのは、標的型攻撃メール訓練のTadrillや、脅威対策のCloud Protectionなどを同じ基盤上で活用できる拡張性。将来にわたり、必要な機能が継続して提供される期待がありました。
— HENNGE Oneの導入は、どのように進められましたか。
山田 翔一氏：Microsoft 365の導入と同時に、別の新しいシステムも並行して展開するとなると、どうしても社内の負担が大きくなってしまいます。そのため、まずはMicrosoft 365を先行させ、1年ほど間を置いてから、メールの移行と併せてHENNGE Oneの利用を開始しました。構築は認証まわりも含め、大きなトラブルもなく順調に進みました。
— 行員の皆さまへの展開は、いかがでしたか。
山田 翔一氏： 特に説明会などは実施せず、メールシステムの変更および切り替え手順を図解で案内したのみです。利用開始直後は問い合わせも相応にありましたが、操作自体は難しくないので、概ね円滑に移行できた印象です。
Tadrillで標的型攻撃メール訓練の内製化を実現
— ではここから、機能別の導入効果についてお聞かせください。標的型攻撃メール訓練のTadrillは、いかがでしょうか。
山田 俊和氏： 従来は運用を外部ベンダーに委託し、年に2回、対外的なメールのやり取りが多い行員を中心に実施していました。不審なメールを受信したら電話で報告してもらうフローのため、当部の担当者が受信日時や件名、内容などをヒアリングしなければならず、訓練期間中は相応の業務負荷がかかっていました。
Tadrillは、なんといっても操作が簡単。これまで自分たちだけで訓練を実施した経験がなく当初は不安もありましたが、手順書に沿って進めれば問題なく実施できます。メール本文のテンプレートも豊富で、当行に合わせたカスタマイズもしやすい。外部委託に比べ、実施日程調整のわずらわしさも、実施ごとのコストを気にすることもなくなりました。
誰がいつ、何回不審なメールを開いたなどきめ細かなレポートが得られ、経営層への報告資料や行員への注意喚起通達の作成工数も大きく削減できました。特に、営業店と本部など傾向が把握できる部署別集計は有用です。委託先からの報告をもとに集計する手間がなくなり、分析や対策に注力できます。
報告の運用も変わりました。当行では不審なメールの精査を外部SOC（セキュリティオペレーションセンター）に委託しています。以前はシステム部門で聞き取った内容をもとにSOCへ調査を依頼する必要がありましたが、Tadrillでは通報が直接SOCに届くフローに変更し、効率的かつ対応も迅速化します。
従来のセキュリティ水準を維持しつつ、利便性を強化
— メール誤送信対策のHENNGE Email DLPは、いかがでしょうか。
山田 翔一氏： 金融機関として、移行によるセキュリティ水準の低下は許容できません。対外メールは例外なく上長の承認を経て送信するルールを、HENNGE Email DLPでそのまま再現できました。
加えて、Exchange Onlineへの移行でスマートフォンからメールを確認できるようになったため、メールの承認申請からHENNGE Email DLPでの上長承認までがスマホから可能に。従来はPCでブラウザを開いてログインし、承認画面まで進むといった手順が必要でしたが、いまはPCからでもスマホからでもSSOにより簡単にログインでき、承認もスマホからできます。セキュリティを維持しながら利便性が向上したことで、現場でも好評です。
— 脱PPAPについては、いかがでしょうか。
西川氏： 2020年の内閣府の表明を受けて、当行では早くから脱PPAPに取り組んできました。今回、HENNGE Secure Downloadの添付ファイルURL変換機能で、その運用を継続しています。依然として自治体など一部の取引先ではURLリンクが開けないケースもありますが、その場合は個別対応としています。
— 外部宛メールアドレス強制変換機能（メールの宛先が一定の件数を超えた際に宛先を自動でBCCに切り替える機能）が有用とのご評価ですが、どういうシーンで活用されていますか。
西川氏： メールアドレスも個人情報となる場合があり、一斉送信時の誤操作での情報漏えいリスクは看過できません。外部宛メールアドレス強制変換機能は宛先が一定数を超えると自動的にBCCへ切り替わるので、そのリスクを低減できます。
— 大容量ファイル転送のHENNGE Secure Transferは、いかがでしょうか。
山田 翔一氏： これまで、大容量ファイルの送受信はCDでお送りするか、取引先のオンラインストレージをお借りする必要がありました。OneDriveも利用していますが外部とのやり取りは許可していないため、HENNGE Secure Transferによって安全な送受信の手段が確保できたことは大きな成果です。
— メール脅威対策 for Microsoft 365であるHENNGE Cloud Protectionは、いかがでしょうか。
山田 翔一氏： Microsoft 365だけでは検知しきれない脅威への多層防御として導入しました。不審なURLや添付ファイルのチェックに加え、サンドボックス機能で不審なファイルを動的に解析できる点も評価しています。
— HENNGE Email Archive（メールアーカイブ）は、いかがでしょうか。
山田 翔一氏： Microsoft 365のアーカイブはライセンスにより利用範囲が限られるため、全行員分を確保できるHENNGE Email Archiveで補完しています。日常的に使う機能ではありませんが、長期にわたって過去のやり取りの履歴を確実に保存できることは、金融機関として欠かせない備えだと考えています。
利便性と脅威対応の両立へ
進化を続けるパートナーとして期待
— 今後の展望をお聞かせください。
山田 翔一氏： SaaSの利用が広がるなか、基盤を担当する立場としては、利用者の利便性を高めながら、日々変化するサイバー脅威にも対応していかなければなりません。中でもメールは攻撃の主要な侵入経路であり、対策の手を緩めるわけにはいかない。利便性とセキュリティ強化の両立を、これからも追求していきます。
— 最後に、HENNGEおよびHENNGE Oneへの期待をお聞かせください。
山田 翔一氏： 検討から導入に至るまでのやり取りのなかで、HENNGEは世の中の変化に合わせてサービスを改善してくれる期待を感じました。セキュリティ領域は脅威や対策の変化のスピードも早い。これからも、それに応じた進化を続けてくれることを期待しています。