関西電力、Josysで916件のクラウドサービス利用を把握　対処対象を十数件に絞る

　関西電力は、ジョーシスのアイデンティティセキュリティ基盤「Josys」で、全社のクラウドサービスの利用実態を、IPアドレスではなく人（アカウント）単位で把握した。初回の検知は916件で、承認済みの台帳との突き合わせと分析で、対処すべきサービスを十数件に絞った。10月16日、ジョーシスが発表した。

関する情報まで、極めて重要な情報を大量に扱う。クラウドサービスの事前審査の制度は、早くから整えていた。ただ、承認済みの台帳と、実際の利用実態を突き合わせる手段がなく、社内監査では、「契約はあるが、審査を通っていない」サービスが、複数見つかった。以前に検討したCASB製品では、利用状況の把握がIPアドレス単位にとどまり、利用者の特定に手間がかかるため、是正の行動につなげにくかった。

　Josysを選んだ決め手は、二つある。導入が簡単なことと、人（アカウント）で見たいということだ。ブラウザ拡張機能を入れるだけで、ユーザーがログインしたまま、利用状況を見られる。IT戦略室のサイバーセキュリティグループの出原和英マネジャーは、利用が認められていないサービスを使う社員に、申請や見直しを伝えるうえで、人を軸に管理できることが、決め手になったと説明する。

　3カ月のPoCとして、初回に検知されたクラウドサービスは、916件だった。承認済みの台帳と突き合わせ、単発の利用や、審査が不要なものを除くと、高頻度で使われているサービスが、141件あった。通常業務と並行して、半月ほどかけて分析し、「習慣的に使われているか」「業務情報のアップロードを招きやすいか」を軸に、対処すべきサービスを、十数件まで絞った。ツールが示すリスクの高低は、あまり参考にせず、業務でどう使われているかを重視した。「3分以上の利用」を検知する機能が、業務での利用の見極めに役立った。ニュースサイト、検索系、企業情報を調べるサービスなど、情報をアップロードしないものは、対象から外した。

　分析の結果は、関係役員会議に報告した。シャドークラウドの実態と、確認した範囲では直ちに重大と評価する利用がなかったことを報告した。申請が必要なサービスについては申請を促したが、それ以外の特別な是正措置は行っていない。検知の仕組みを全社に周知したことで、情報セキュリティ部門がクラウドの利用を重視している姿勢が、各部門に伝わり、現場から、クラウドを使う前に、確認の連絡が届くようになった。

　出原氏は「一番大きいのは、分からなかったものが見えるようになったこと」と話す。導入前は、情報流出につながる利用が見つかるかもしれないと考えていたが、実際に確認した範囲では、重大な利用はなく、事実でリスクを正しく評価できるようになった。

　関西電力は、今年度から、Josysを継続して使うことを決めた。クラウドの審査台帳に登録済みのサービスを、検知の対象から除き、新たな利用をアラートで、すぐに把握する運用に移る予定だ。「成長やDXのためのクラウド利用を阻害せず、リスクの大きなもの、リスクの確認が済んでいないものだけを止める」という方針で、セキュリティと利便性のバランスを取る。

ニュースリリース