バンキング・セキュリティー担当者は銀行および顧客の情報に対する多くの脅威に重点を置いています。従業員、顧客、顧客投資を保護することは複雑な作業です。チャレンジをいとわない人にとっては、銀行でセキュリティーを担当するのは魅力的なことでしょう。
幸いなことに、エジプトを代表する民間銀行である Commercial International Bank S.A.E.（CIB）のセキュリティー担当者は、このチャレンジをバネにしています。
CIBの最高セキュリティー責任者（CSO）であるShatsy Hassan氏は「常にセキュリティーを確保することは、私が自分の仕事で尽力している重要な課題の1つです」と述べています。「私たちは、お客様にこの安心感を与え、お客様の投資と情報を大切に扱う銀行との取引を勧めることができています。」
CIBは、個人および法人の顧客にバンキング・サービスを提供しています。同行はエジプト最大の民間銀行です。国内に1,000台を超えるATMと、全エジプト行政区域に210店舗を超える支店を擁しています。Hassan氏は2014年からCSOを務めています。
CIBは2016年に、IDとアクセスの管理（IAM）とIDガバナンスを改善するための5年戦略を開始しました。「これは進行中の戦略であり、今後成熟していきます。私たちは、組織内でゼロトラストを確立するという目標を最終的に達成します。」とHassan氏は述べています。
私たちが導入した綿密な戦略により、現在ではより安全なソリューションをお客様に提供しています。
CIBはまず、3つの主な目標に焦点を当てました。1つ目は、スタッフのオンボード、異動、オフボードをシームレスかつ簡便な方法で行い、このプロセスを強化して、より効率的で低コストのプロセスにし、所要時間を短縮することでした。それまでは、新規採用者に必要なアクセス権限を付与するまで1週間以上かかり、そのプロセスには多くの紙ベースの要求が含まれていました。スタッフが部門間で異動したり、別の支店に異動したりする場合にも多くの手作業が必要であり、多くの紙ベースの要求が含まれていました。不必要なアクセス権限を迅速かつ確実に無効にするために、長期にわたる休職や退職も管理する必要がありました。
2つ目の目標は、サーバーとシステムにおけるIT管理者の特権IDをより適切に管理することでした。旧来の手作業と紙ベースによるプロセスでは、このようなIDを完全には把握できていなかったため、セキュリティー・リスクが増大していました。完全な把握、ガバナンス、管理は、業務を遂行するために必要となる最小限の権限をIT管理者に確実に付与するために不可欠でした。さらに、CIBのセキュリティー・オペレーション・センター（SOC）での監視とインシデント対応には、実行された管理アクションを把握して追跡できることが極めて重要でした。
最後の目標は、CIBのデジタル・チャネルに対してIAM制御を拡張し、顧客の認証セキュリティー・プロセスを強化することでした。顧客は、セキュリティーと制御が強化されたシームレスなログイン・エクスペリエンスを必要としていました。
Hassan氏がチャレンジをいとわない人でよかったです。なぜなら、この戦略を遂行すると、いくつもの課題が待っていますから。
私たちは IBM の専門知識とサポートを信頼していました。その後、IBMはその知識を現場のIDアクセス管理チームとCIBに引き継ぎ、ジャーニーを再開してより多くのアプリケーションの統合を始められるようにしました。
私たちは IBM の専門知識とサポートを信頼していました。その後、IBMはその知識を現場のIDアクセス管理チームとCIBに引き継ぎ、ジャーニーを再開してより多くのアプリケーションの統合を始められるようにしました。
最初のチャレンジは、計画に協力してくれるパートナーを見つけることでした。CIBは利用可能なソリューションについて市場を調査しました。「多くのカスタマイズを行うと環境が非常に複雑で管理しにくくなることは分かっていました」とHassan氏は言います。「私たちは、最小限のカスタマイズで要件を満たし、すぐに使用可能な機能を維持できるだけの十分な柔軟性がプラットフォームにあることを確かめたかったのです。」
IBM Security™ には、CIB戦略をサポートできるガバナンス・プラットフォームが備わっていることが判明しました。IBMによるコンサルティングがあることもチームにとって重要なことでした。コンサルティング部門は、CIBがアプリケーションを中心に適切なガバナンス・モデルを構築するのを支援してくれました。
IBM Securityは、IBM Security Guardium®、IBM® Identity and Access Management（IAM）、IBM Security Identity Governance and Intelligence（IGI）、IBM Privileged Access Management（PAM）、IBM Security Verify Privilege Managerというソリューションを導入しました。これらのソリューションでは、銀行のデータベースのモニター、機密性の高いサーバーの保護、コンプライアンスの管理、職務の分離（SoD）違反の防止、IT監査の自動化、特定された脅威に対する境界の構築が行われます。これらの機能により、さらにセキュリティーが強化された環境が組織にもたらされます。
2つ目の課題は、これらのソリューションをレガシー・システムに統合することでした。CIBは、アプリケーションの数が120を超える複雑なIT環境を稼働させています。2017年7月にこの戦略を実行し始めたとき、チームはアジャイル・アプローチを採用しました。
「私たちは、部門にビジネス価値をもたらす即効性のある効果に焦点を当てることにしました」とHassan氏は説明しています。「そして、スタッフがアクセス権限を持つ機密性の高い資格を可視化するアプリケーションを選択しました。」
基盤は、CIB の人事（HR）システムとそのドメイン・コントローラー・システムを統合して確立されました。次に、中核であるバンキング・アプリケーションが2018年1月に統合されました。
「これが稼働するようになる頃には、IBMと協力してさらに多くのアプリケーションを統合し始めていました。そのようなアプリケーションは複雑性を帯びていました」とHassan氏は言います。
3つ目の課題は知識の引き継ぎでした。このときも、IBMのコンサルタントはソリューションに不可欠でした。エジプトのIBMチームはCIBをサポートしながら、社内チームのスキル・セットを構築しました。従業員は、日常業務を維持するためにトラブルシューティングの実行、ワークフローの作成、およびアプリケーションの統合について学びました。
「私たちはIBMの専門知識とサポートを信頼していました。その後、IBMはその知識を現場のIDアクセス管理チームとCIBに引き継ぎ、ジャーニーを再開してより多くのアプリケーションの統合を始められるようにしました」とHassan氏は言います。
このように戦略ソリューションをCIBの既存システムに統合するには、多くのチャレンジがありました。しかし、それらのチャレンジは努力するだけの価値がありました。
新しいソリューションが導入されると、CIBのセキュリティー・プロセスはより合理化され、セキュリティーが強化されました。新規採用者は、顧客サポートを開始できるようになるまで何週間も待たなくてよくなりました。それどころか、この新しいソリューションにより、アクセス権限は数分で処理されるようになりました。
同様に、支店間のスタッフ異動についても数分で処理されています。現在、CIBでは、突然の欠勤で人手が不足している支店を、より迅速にサポートできるようになっています。アプリケーションの統合も簡単になりました。チームは、120個中80個のアプリケーションをシステムにインストールしています。新しいアプリケーションを導入する場合、SOCはすぐに適用可能な定義済みの一連の統合要件に従います。
また、CIBはPAMを使用してセキュリティー・リスクを低減しました。SOCは、すべてのオペレーティング・システムとデータベースにわたってIT管理者が行ったアクティビティーをすべて把握できます。これにより、ユーザー・アクティビティーがユーザーの権限と一致するかを確認できます。必要に応じて、SOCは調査のためにアクティビティーを記録することもできます。
これらはすべて、顧客体験を向上させる場合を除いては、顧客体験に影響を及ぼすことなく行われました。IBMと連携することで、CIBはユーザー・エクスペリエンスをシームレスでわかりやすいものにしました。
「私たちが導入した綿密な戦略は、現在、より安全なソリューションをお客様に提供しています」とHassan氏は言います。「私たちのデジタル・トランスフォーメーション戦略に対する強固なアプローチは、私たちのセキュリティー体制と密接に関連しています。」
CIBの戦略は、8,000個を超える従業員IDの管理を引き継いでビジネス要件の履行を合理化しながら、手作業によるIDガバナンスの労力を削減しました。
CIBは今後もIBMと連携してゼロトラストに向けた戦略を進めていく予定です。「ローカル・チームとグローバル・チームから受けるサポートのレベルは非常に優れています。私たちは、今後もさまざまな分野でIBM Securityと連携し、CIBのセキュリティー戦略の目標を確実に達成できるようにしていきます。」
セキュリティーの課題が今後も続くことは間違いありませんが、IBM Securityとのパートナーシップと戦略が確立したことで、Hassan氏とCIBは対応する準備が整っています。
CIBExternal Link はエジプトを代表する民間銀行です。この銀行はカイロに拠点を置き、あらゆる規模の企業、機関、一般世帯、個人富裕層など、140万件を超える顧客に金融商品と金融サービスを提供しています。この銀行の使命は「人、データ、デジタル化に投資することで、従来の金融サービスをシンプルでアクセスしやすいソリューションに変え、明日のニーズに今日応える」ことです。
CIBExternal Link はエジプトを代表する民間銀行です。この銀行はカイロに拠点を置き、あらゆる規模の企業、機関、一般世帯、個人富裕層など、140万件を超える顧客に金融商品と金融サービスを提供しています。この銀行の使命は「人、データ、デジタル化に投資することで、従来の金融サービスをシンプルでアクセスしやすいソリューションに変え、明日のニーズに今日応える」ことです。
© Copyright IBM Corporation 2021. 日本アイ・ビー・エム株式会社 〒103-8510 東京都中央区日本橋箱崎町19-21
2022年3月
IBM、IBM ロゴ、IBM.com、IBM Security および Guardium は、米国やその他の国における International Business Machines Corporation の商標または登録商標です。他の製品名およびサービス名等は、それぞれ IBM または各社の商標である場合があります。現時点での IBM の商標リストについては、https://www.ibm.com/legal/copytrade をご覧ください。
本資料は最初の発行日時点における最新情報を記載しており、予告なしに変更される場合があります。すべての製品が、IBM が営業を行っているすべての国において利用可能なのではありません。
記載されている性能データとお客様事例は、例として示す目的でのみ提供されています。実際の結果は特定の構成や稼働条件によって異なります。本資料の内容は、現存するままの状態で提供され、商品性の保証、特定目的適合性の保証および法律上の瑕疵担保責任を含む、すべての明示もしくは黙示の保証責任または保証条件を負わないものとします。IBM 製品は、IBM 所定の契約書の条項に基づき保証されます。
ITシステム・セキュリティーには、企業内外からの不正アクセスの防止、検出、および対応によって、システムや情報を保護することが求められます。不正アクセスにより、情報の改ざん、破壊もしくは悪用を招くおそれがあり、またはシステムの損傷や、他のシステムへの攻撃を含む悪用につながるおそれがあります。完全に安全と見なすことができる IT システムまたは IT 製品は存在せず、また単一の製品またはセキュリティー対策が、不正アクセスを防止する上で、完全に有効となることもありません。IBM のシステムおよび製品は、包括的なセキュリティーの取り組みの一部となるように設計されており、これらには必ず追加の運用手順が伴います。また、最高の効果を得るために、他のシステム、製品、またはサービスを必要とする場合があります。IBMは、何者かの悪意のある行為または違法行為によって、いかなるシステム、製品、またはサービスも影響を受けないこと、またはお客様の企業がそれらの行為によって影響を受けないことを保証するものではありません。