Fiserv社のシステム管理者は、PCI、SOX-Cobit、CISのセキュリティー・ベンチマークに合わせたサーバーの構成作業に何時間も費やしていました。また、コンプライアンス・データを取得するには、個別にサーバーにログインする必要がありました。

Fiserv社は、IBM Power Systems資産全体にIBM PowerSC Standard Edition（PowerSC）を採用し、サーバー構成作業を能率化し、リアルタイムでコンプライアンス監視やそのレポート作成が行えるようにしています。

Fiserv社の使命は、世界を動かすような方法で、顧客によるお金と情報の移動を支援することです。金融サービステクノロジーを専門とする同社は、決済、処理サービス、顧客・チャネル管理、リスクとコンプライアンス、洞察と最適化に向けて、さまざまなソリューションを提供しています。

金融取引の管理には、必然的に機密データのやり取り、保管、処理が伴います。Fiserv社は、このデータを責任を持って管理していくことを顧客と監査人に証明し続ける必要があります。顧客の信頼の獲得は極めて優先度の高い問題です。

そのため、同社のITチームはセキュリティーを非常に重視しています。同社のITシステムは毎年、いくつもの複雑な内部監査や外部監査を受けており、満たすべき業界基準や規制基準も数多くあります。ただし、コンプライアンスを常に万全にするには定期的な監査だけでは不十分です。システムを24時間365日監視して、各サーバーが常に正しい構成を維持していることを確認する必要もあります。

システム構成の土台として、Fiserv社はCenter for Internet Security（CIS）ベンチマークとして知られるベスト・プラクティスのセキュリティー・フレームワークを使用しています。各サーバーは、必須設定と、ベンチマークで定義された標準による最小総合スコアの両方を満たすことが求められます。

Fiserv社のIBM Power Systems担当エンジニアであるZach Floen氏は、次のように説明しています。「セキュリティーの観点から見ると、サーバーの理想的な構成は、完全にロックダウンして他のシステムとデータのやり取りがまったくできないようにすることです。ですが、サーバーが通信できなければ、役に立つことは何もできません」

Fiserv社はすでに自社サーバーのセキュリティー構成を監視していましたが、サーバー資産全体にわたる、より統合されたエンド・ツー・エンドのコンプライアンス管理を求めていました。例えば、同社のエンジニアが新しいサーバーをインストールする場合、構成を「強化」してコンプライアンスの最低スコアを超えられるようにするために、チェックリストに沿って4～5時間もの手作業を行う必要がありました。

同様に、メンテナンスやアップグレードを実施する場合、サーバー構成に一時的な変更を加えなければならないことも頻繁にありました。エンジニアはこれらの変更を手動で実行し、メンテナンス・タスクが完了したら、サーバーを元の設定に戻さなければならなかったのです。Fiserv社は、正しい設定に復元し忘れるリスクを軽減する対策を講じていましたが、設定変更を一元的かつ自動的に管理し、それによって人為的ミスの可能性を排除する手段を求めていました。

もう1点あります。同社は、コンプライアンス・レポートのプロセスを能率化し、数多くのサーバーからコンプライアンス・レポートを手動で取得するなど、管理者に課されていた時間のかかるタスクを排除したいと考えていました。

Fiserv社のサーバー・アーキテクチャーの大部分はIBM Power Systemsサーバーで構成され、同サーバーがIBM AIXオペレーティング・システムを実行し、中核となる金融システムとデータベースをサポートしています。同社は、新たなコンプライアンス管理プラットフォームの選択肢を探り始めてほどなくして、IBMのオーダーメイドのソリューション、IBM PowerSCを知りました。「IBM PowerSC は、コンプライアンス管理のための非常に強力で有能なツールへと急速に進化しています」と、Zach Floen氏は言います。「当社の既存のツールにはない機能が備わっているうえ、今利用しているAIX Enterpriseライセンスに含まれているため、追加コストを気にする必要もありません」当時、Fiserv社は、異種のサーバー・グループを1つのプライベートクラウド環境にまとめることで、IBM AIX環境を合理化する準備をしていました。この取り組みは、同社の既存のコンプライアンス・ツールからPowerSCに切り替える絶好の機会となりました。

AIXの資産全体にPowerSCソフトウェアを展開するFiserv社は、今度はそのコンプライアンス自動化機能を積極的に活用したいと考えています。

例えば、各サーバー上で実行が許可されているプログラムのリストをPowerSCが監視し、不正なプログラムが実行された場合は管理者に通知します。この機能はメンテナンス・セッション中にはサーバー・グループごとにオフに切り替えることができ、一定時間が経過すると自動的にオンに戻るように設定できます。その結果、メンテナンス時にエンジニアが手動で構成を変更する必要がなくなり、誤ってシステムを無防備な状態のままにしてしまうリスクが大幅に軽減されます。

PowerSCには、PCI-DSS、HIPAA、GDPRなどの業界標準および規制標準に合わせて事前構築されたセキュリティー・プロファイルも備わっています。管理者は、新しいマシンごとにセキュリティー・チェックリストに沿って何時間も作業することなく、ワンクリックでサーバーにプロファイルを適用できます。

「私たちはIBMと協力して、CISベンチマークに完全に準拠し、追加設定の必要がないセキュリティー・プロファイルを構築しています」と、Zach Floen氏は言います。「プロファイルを導入すれば、最新の仮想化AIXプラットフォームでマシンを設定するときも、何時間もかかる手動構成作業をなくすことができるでしょう」

Floen氏が説明するように、構成の問題を迅速に修正したいときも、プロファイルが活躍します。「当社には、サーバーを監視し、その設定に問題がある場合にそれを特定することはできましたが、問題を解決するためには、個々のマシンにログインする必要がありました。PowerSCであれば、管理インターフェイスのボタンをクリックするだけで、プロファイルがすぐに正しい状態にリセットされます」

Fiserv社は、サーバーのコンプライアンス監視プロセスで大幅に作業時間を短縮していますが、将来的にはさらに大きな時間の節約ができると見込んでいます。現在、各サーバーからのコンプライアンス情報の取得は、時間のかかる手作業を経て行われています。しかし、PowerSCを使用すれば、レポートは数秒で自動生成されます。

Floen氏は次のようにまとめています。「当社にとってはコンプライアンスの問題にとどまらず、顧客からの信頼の獲得にかかわる問題です。そのため、安全性の高い環境が必要です」

Fiserv社は、世界有数の金融サービス・テクノロジー企業で、約24,000人の従業員を擁し、2017年の年間売上高は57億米ドルに達しました。同社のソリューションは、世界80カ国以上の12,000を超える顧客を通して、何百万もの消費者や企業が迅速かつ便利に資金を移動し、管理できるようにしています。