山梨中央銀行、メールセキュリティをHENNGE Oneへ　訓練を内製化

　山梨県内唯一の地方銀行、山梨中央銀行は、情報系基盤のMicrosoft 365への移行にあわせ、HENNGEのクラウドセキュリティサービス「HENNGE One」を使い始めた。対外メールの上長承認や脱PPAPなど、従来のセキュリティの水準を保ちながら、スマートフォンからの承認などの利便性を高めた。標的型攻撃メール訓練は、外部委託から内製に切り替えた。10月14日、HENNGEが事例を公開した。

　山梨中央銀行は、「山梨から豊かな未来をきりひらく」をパーパスに、中期経営計画でDXを変革ドライバーの1つに掲げる。2023年に勘定系システムをクラウドに移し、10年以上にわたって、内製開発の体制を築いてきた。

　情報系基盤の更改に伴うMicrosoft 365の採用にあわせ、メール基盤を、Exchange Onlineへ移した。旧メール基盤の保存容量の不足、シングルサインオン（SSO）への未対応、社用スマートフォンから閲覧できない点を、解消するためだ。旧メール基盤では、対外メールの上長承認や脱PPAPを実施しており、その維持が大前提だった。Exchange Onlineの標準機能では、設定の柔軟性に限りがあり、補完するソリューションが必要だった。

　選定では、Microsoft 365との連携性を評価した。構築ベンダーからも推奨を受けた。決め手は、標的型攻撃メール訓練の「Tadrill」や、脅威対策の「Cloud Protection」などを、同じ基盤で活用できる拡張性だ。将来にわたり、必要な機能が提供され続ける期待もあった。Microsoft 365と別のシステムを並行して展開すると、社内の負担が大きくなるため、まずMicrosoft 365を先行させ、1年ほど間を置いてから、メールの移行にあわせてHENNGE Oneを使い始めた。行員向けの説明会は開かず、切り替えの手順を図解で案内しただけで、概ね円滑に移れた。

　標的型攻撃メール訓練は、従来、年2回、外部ベンダーに委託していた。不審なメールを受信した行員が電話で報告し、担当者がヒアリングするため、訓練期間中の負荷が大きかった。Tadrillは、手順書に沿えば自分たちだけで実施でき、テンプレートも豊富だ。日程調整の手間と、実施ごとの費用の心配もなくなった。誰がいつ何回メールを開いたかのレポートと、営業店と本部といった部署別の集計が得られ、報告資料や注意喚起の作成工数が減った。通報は外部のSOC（セキュリティオペレーションセンター）に直接届く流れに変え、対応が速くなる。

　メール誤送信対策の「HENNGE Email DLP」では、対外メールを例外なく上長の承認を経て送るルールを、そのまま再現できた。スマートフォンでも、SSOで簡単にログインでき、承認の申請から上長の承認まで行え、現場で好評だ。脱PPAPは、「HENNGE Secure Download」の添付ファイルURL変換機能で継続している。また、宛先が一定数を超えると自動でBCCに切り替わる機能で、一斉送信時のメールアドレスの漏えいリスクを低減している。大容量ファイルは、CDの送付や取引先のストレージの借用が必要だったが、「HENNGE Secure Transfer」で、安全に送受信できる。このほか、「HENNGE Cloud Protection」でMicrosoft 365の脅威対策を、「HENNGE Email Archive」で全行員分のメール保存を補っている。

　システム運用課の山田翔一氏は「利便性とセキュリティ強化の両立を、これからも追求していく」と話す。SaaSの利用が広がるなか、メールは攻撃の主要な侵入経路で、対策の手を緩められないという。HENNGEには、脅威や対策の変化に応じて、進化を続けることを期待する。

ニュースリリース