「このクラウド、なんで使っちゃ駄目なの？」に、H2Oの情シスが迷わず答えられるようになった理由：「Excelでクラウドサービスを管理」からも脱却へ

クラウドサービスの安全な利用に欠かせないセキュリティ評価。ただし評価の根拠が不十分だと、利用制限の理由を説明しづらい。こうした課題を、H2Oリテイリングは評価方法を見直すことで解消した。その方法とは。

[＠IT]

　阪急阪神百貨店を傘下に持つエイチ・ツー・オー リテイリング（以下、H2Oリテイリング）は、百貨店やスーパーマーケットの運営、ビルのメンテナンスなどの事業を展開する企業グループを形成している。グループ全体のセキュリティ施策を統括する同社のITマネジメント室は、各社が利用するクラウドサービスの導入前評価を担う。

　H2Oリテイリンググループ各社は従来、クラウドサービスの利用を希望する部門が申請書を提出し、所定のチェックシートにクラウドベンダーが回答する形で、クラウドサービスのセキュリティを評価していた。ただしチェックシートは「はい」「いいえ」の二択形式だったことから、セキュリティ対策を実施しているかどうかは分かっても、その具体的な程度までは判断しにくかった。

　十分な情報が得られないことから、ITマネジメント室がセキュリティの懸念からクラウドサービスに利用条件を設けたり、導入を認めなかったりする際、従業員に対してリスクの根拠を十分に説明するのが難しかった。従業員からは「クラウドサービスを利用するだけなのに、なぜチェックシートのやりとりに時間をかける必要があるのか」といった不満も出ていたという。

「使っちゃ駄目な理由」を迷わず答えるために何をした？

　こうした課題を抱えていたH2Oリテイリングは、クラウドサービスのセキュリティ評価方法を見直すことで、利用制限といった判断の根拠を説明しやすくした。どのように見直したのか。

　H2Oリテイリングが取り組んだのは、クラウドベンダーとのやりとりを外部に任せるとともに、クラウドサービスのセキュリティ情報を一元管理することだ。クラウドサービスのセキュリティを評価・可視化するアシュアードのサービス「Assuredクラウド評価」を利用し、これらを実現した。セキュリティ評価項目の策定を支援する「プレミアムサポート」も利用し、自社のセキュリティガイドラインと専門家の提案を踏まえて評価項目を検討した。

　Assuredクラウド評価を選定した主な理由は、セキュリティ評価におけるクラウドベンダーとのやりとりをアシュアードに任せられることだ。最新のセキュリティ動向を踏まえた客観的な評価を、セキュリティの専門家から受けられることも評価した。

評価業務の負荷を削減、リスクに応じたサービス分類も可能に

　H2OリテイリングはAssuredクラウド評価を利用することで、クラウドサービスのセキュリティ評価に伴う工数を大幅に削減したという。専門家による客観的な評価によって、ITマネジメント室は現業部門の担当者に、クラウドサービスの利用条件や代替策の根拠をデータに基づいて説明できるようになった。

　社内利用にとどめるか、顧客向けに公開するかなど、用途やリスクに応じたクラウドサービスの利用範囲の判断にも、セキュリティ評価結果を活用できるようになった。自社だけで進めた場合には2〜3カ月を要すると見込んでいた評価項目の選定作業は、プレミアムサポートの利用によって1カ月で済んだという。

　H2Oリテイリングは、クラウドサービスの管理に「Microsoft Excel」などの表計算ソフトウェアを利用している。導入するクラウドサービスが増えると、表計算ソフトウェアでの管理は難しくなることから、Assuredクラウド評価の台帳機能を活用する考えだ。アシュアードが2026年7月30日に本事例を発表した。