システム監査・管理部門でももっと近づくべきデータの見える化・ローコーディング2017年からのDXの取り組みと現在地、これから2021/3/18

auカブコム証券 石川 陽一

ディスクレーマ等
意見は私石川陽一の私見です。
機能等の理解が浅い、間違いを含む可能性があります。

アジェンダ
1. 自己紹介・会社概要～DXとは
2. 2017年の取り組み開始前後
3. TMS → KMS, AI, API
4. コロナ禍以降 ローコードアプリ&可視化
5. ゼロトラスト
6. DX Criteria
7. まとめ石川陽一（50）: Citizen Developer, CISA, auカブコム

＠ishiayaya

富山出身。奥中(八村塁)、富山高校、同志社大学

1

1999 日立子会社SEを経て、カブコム立ち上げ
日本初のフルWindows等オープン系金融機関でIT担当（IT部門の他、コールセンター構築・運用、現・経営管理、PTS、事務）2004-2012 執行役

32013 システム監査・内部監査（4代目内部監査室長。5代目は海川）2015 半年で3回致死的不整脈。ICD装着。身障1級

22017/2- サイバー等セキュリティ
2019- Microsoft 365 E5 / Power Platform推進2019/11-2020/3 致死的不整脈多数。ICDと3/13カテーテルアブレーション手術で復活

1

2020/4 システム統括部門

会社概要
•••
•

2019/12/2 商号変更
口座数 約125万口座
従業員数 約182名
拠点数 2→1

DXとはWikiの「段階」を参考に

1. デジタイゼーション アナ→デジ
2. デジタライゼーション
ビジネスプロセス
3. DX
2以上

人、組織…が変わる2017年の取り組み開始前後

出所「日経 xTECH」
https://tech.nikkeibp.co.jp/it/atcl/news/17/062901804/

DDoS事案概要
2017/6/29(木)に発生したDDoS攻撃の概要です。
約36分間、ビジターサイト及び取引サイトにアクセスしづらい状況となりました。
8:54 攻撃者から脅迫メールが届く
SPAMメールとして隔離されていた
9:00 FireWallで異常な通信を検知、調査開始
9:02 ビジターサイト、取引サイトが閲覧しづらくなる

9:13 ネットワーク機器の正常稼働を確認
9:28 DDoS攻撃と断定、攻撃相手の特定調査開始(国内外の多数のIPから攻撃)
SNSなどで状況説明
9:38 プロバイダーにて攻撃を遮断

9:38 ビジターサイト、取引サイトなどの閲覧が正常化
15:33 ビジターサイトに経緯掲載

IT部門以外もかなり忙しいその頃の主な反省• 情報共有が弱い• ダッシュボードがない• 社内ITが弱い• 紙、押印、進展しないGW• ID管理が雑• メールが多い• どこか人力感=コミュニケーションが部分的に×• IT部門以外もITを迅速に使えないと• クラウドPBX+内線iPhone(MDM)• ビジネスチャット• Win10Ent + O365
• POWER EGG（新GW）• IDaaS• 情報の可視化

2017～2018頃• 情報共有が弱い• ダッシュボードがない• 社内ITが弱い• 紙、押印、進展しないGW• ID管理が雑• メールが多い• どこか人力感=コミュニケーションが部分的に×• IT部門以外もITを迅速に使えないとTMS → KMS, AI, API201820162020

2015
5月 当局業務改善命令（システム管理関連）

20171月 JPX-R 処分（売買審査関連）
2月 石川、サイバー等担当
6月 DDoS攻撃 システム30分停止
DX取り組み打ち出し
8月 働き方改革・テレワーク制度(試行)

11月TMS 第1期

2019三井伸行先生（戦略スタッフ・サービス）
主たる実績（直近10年）• ソフトウェア生産技術力向上の為のコンサルテーション• Agile開発の導入指導・プロジェクト支援（プロジェクトレスキューも含む）• 基幹系、生産管理、等• TMS（TPSのホワイトカーラー版）の導入指導（ホワイトカラーの現場改善）• TPS : Toyota Production System：Lean , Agile開発の源流• 働きかた改善の指導（コーチ）• W/Fプロジェクト現場の見える化支援• DevOpsの普及活動と導入支援
資格• 米国ScrumAlliance.org 認定の公認スクラムマスター• TMS&TPS検定協会 認定TMS（TOYOTA Management System)講師• EXIN Agile Scrum Foundation 認定講師
• EXIN Executive Designer for DevOps Certification
日経コンピュータ連載記事「現場を元気にするチーム運営術」：2017年4月13日号～2017年8月17号「現場を元気にするDevOps2.0」：2017年9月14日号～ その他多数執筆
戦略スタッフ・サービス社から掲載許諾済

TMS(Toyota Management System)
ＴＭＳの歴史は浅い（2009年～）のですが、元々はＴＰＳ（Toyota Production System:トヨタ生産方式）のマネジメントを源流にしています。ＴＰＳは海外ではLean（リーン）として広がっており、この考え方は、ＩＴの世界にもアジャイル開発という形で徐々に浸透してきています。近年、大規模システムにおいてもScrum（スクラム）などの開発手法が取り込まれていますが、ＴＭＳでは、アジャイルのようにプラクティスに重点を置いた考え方より人間力（社会人基礎力）を重視し、グローバルに通用するモノの見方や考え方とプラクティスの２つに軸に置きバランスの取れた新たなマネジメント体系となっています。
マネジメント領域（人間系、役割、責任）方法論（ツール、メソッド）

TMS(Total Management System)

TMSの６つの要素

マネジメント力・活動の見える化
・職場づくり・価値の創造（Innovation)
・仕事の効率化
・改善マインド
・仕事の品質・利益の創造

アジャイル宣言
ｱｼﾞｬｲﾙｿﾌﾄｳｪｱの原則

目で見る管理全業務（営業、開発、間接部門）

・Visual Board（目的、目標、顧客価値など）
・Task Board
・Multi Skill 、平準化
・売上、利益・管理会計、原価管理

・KPT
・Burn Down Chart

ソフトウェア開発現場
Agile/リーン開発

海外実績：ボーイング社、ハーレーダビッドソン（米国）、InfoDeliver社（中国：大連）、ロシア、韓国企業
Copyrights 2021 SSS Corporation

戦略スタッフ・サービス社から掲載許諾済

職場活性化活動
ＴＭＳコア（６つの要素）
この６つの要素を実践することで職場を活性化できる
６つの要素には、それぞれ「考え方」と「方法論」から成り立っている
ＴＭＳは「考え方」と「方法論」の両輪で実践する事で職場の活性化が早く進む活動の見える化
利益の創造

職場づくり

職場活性化活動（ＴＭＳコア）

仕事の品質

価値の創造
改善マインド活動の見える化：
職場づくり：
価値の創造：
改善マインド：仕事の品質：
利益の創造：

方針管理、 日常管理、 仕事の見える化
コミュニケーション、 リーダーシップ
お客様第一、成果へのこだわり
ムダを見つける目、整理・整頓（２Ｓ）、問題解決力
統計的なモノの見方・考え方、 自工程完結
利益を生み出す仕組み、生産性の向上『人間性尊重』という考え方が中心①自分にとってのお客様は誰か②あるべき姿と現状とのギャップは何か③あるべき姿に向けての行動を妨げている真因は何か④真因に対して直ぐに対策を打てているか
これらの考え方を実践することが人間性尊重に繋がる行動『失敗から学ぶ』
成功した時と同じ環境、同じ人、同じ行動が再現できるとは限らない
失敗にこだわる事が大事です（失敗は記憶に残る）「なぜうまく行かないのだろうか？」を考え、仮説・検証しながら試行錯誤を始める
Copyrights 2021 SSS Corporation

戦略スタッフ・サービス社から掲載許諾済

7つのむだて手待ち

っ
作り過ぎ「待ち」の状態

ものを余分に作る

動作 とざ 在庫

動き

備品・書類・データ、保持

か 加工

工程・作業

「不要な○○」

ふ不良
手直し・手戻りが必要

運搬 う移動https://twitter.com/MSOfficeJP/status/1207153705885274113

2018

2016

2020

TMS 第2期
TMS 第3期

TMS 第5期（リモート）

2015
5月 当局業務改善命令（システム管理関連）

20171月 JPX-R 処分（売買審査関連）
2月 石川、サイバー等担当
6月 DDoS攻撃 システム30分停止
DX取り組み打ち出し
8月 働き方改革・テレワーク制度(試行)201911月TMS 第1期

TMS 第4期

（参考）日経コンピュータ・日経xTECHより
2019/01/16〜全10回 私の取り組み例は2回目、10回目に

TMS塾
↓KMSへ

2012
主要ネット証券初kabu.com API（初版）提供開始

2018

2016
10月 売買審査室新設

6月 国内初 売買審査にAI（TIMS）
8月kabu.com API（AWS版）

2020

TMS 第2期
TMS 第3期

8月 kabuステーション API
TMS 第5期（リモート）

2015
5月 当局業務改善命令（システム管理関連）

20171月 JPX-R 処分（売買審査関連）
2月 石川、サイバー等担当
6月 DDoS攻撃 システム30分停止
DX取り組み打ち出し
8月 働き方改革・テレワーク制度(試行)
11月TMS 第1期

2019
4月 TIMS高度化 AML/CFT対応（CRISP）
TMS 第4期

ネット証券会社を悩ます人材不足、カブドットコム証券が後継者に選んだのはAI：社会イノベーション：日立
https://social-innovation.hitachi/ja-jp/case_studies/kabu_com/

ネット証券会社を悩ます人材不足、カブドットコム証券が後継者に選んだのはAI：社会イノベーション：日立
https://social-innovation.hitachi/ja-jp/case_studies/kabu_com/

2019～• 情報共有が弱い• ダッシュボードがない• 社内ITが弱い• 紙、押印、進展しないGW• ID管理が雑• メールが多い• どこか人力感=コミュニケーションが部分的に×• IT部門以外もITを迅速に使えないと

2012
主要ネット証券初kabu.com API（初版）提供開始

2018

2016
10月 売買審査室新設

6月 国内初 売買審査にAI（TIMS）
8月kabu.com API（AWS版）

2020

TMS 第2期
TMS 第3期

2月 コロナ禍でM365活躍
8月 kabuステーション API
TMS 第5期（リモート）

2015
5月 当局業務改善命令（システム管理関連）

20171月 JPX-R 処分（売買審査関連）
2月 石川、サイバー等担当
6月 DDoS攻撃 システム30分停止
DX取り組み打ち出し
8月 働き方改革・テレワーク制度(試行)
11月TMS 第1期

2019
4月 TIMS高度化 AML/CFT対応（CRISP）
TMS 第4期
5月 M365本格利用開始
11月 BCP訓練でTeams活用

コロナ禍以降
ローコードアプリ&可視化2020年2月後半…
コロナがやばい…
入室制限だ、リモートだ…、、、、、

2020/2/27 危機管理対策本部

既存の危機管理チーム上に設置

ここまではよかったのですが…

予定をExcelに入力するんだ
200人共有でバーン!

ローコードアプリ展開

なんでもPowe BI

社内勉強会資料「ITガバナンスの論点」「金融機関のITガバナンス等に関する調査結果レポート」の概要
令和２年６月https://bit.ly/fsa-sys202006

患者

主治医

コンプライアンス治療

フィードバック
対話

アドヒアランス#TryCivicEngr

COVID-19
コロナ禍
リモート
テレワーク

ウォーター
フォール
アジャイル

デジタル・トランスフォーメーション(DX)
ゼロトラストサイバー
API
Tech Intensity

2025年の崖
セキュリティ
DevOps

オンプレ
クラウド
人材不足
RPA

ひとり情シス
TryCivicEngr#非IT部門（ビジネス,営業,管理…）

ITの部門（開発,IT Pro）
ITサービス
提供

DX相談
要望#TryCivicEngr

非IT部門（ビジネス,営業,管理…）

自ら「シチズン・ディベロッパー」になる#TryCivicEngr

de:code 2020 セッション K01 – YouTube
https://youtu.be/mjm77J8qLX0

ランチタイムに社内IT勉強会

書式なし
会議チャットゼロトラスト（2019年春）貸与iPhoneの場合「iPhoneで予定も見られないの?…」一定のセキュリティがあれば、便利なことを使える「現状よりも、よりよくしたい」

M M

M M

https://docs.microsoft.com/ja-jp/intune/fundamentals/byod-technology-decisions

ビフォーコロナ

コロナ禍

VPN
会議室ガラガラ
ソーシャルディスタンス
会社でもネット会議

Withコロナ

ゼロトラストでリアルでいろんなチェックがあるけどダイレクトにE5系の新環境

貸与PCの場合

iPhoneより考慮事項が多くなる

でももし一定のセキュリティがあれば、便利なことを…

貸与iPhoneの場合の主な考慮事項
02

デバイス管理MDM/Intune

04

アプリケーション管理

MAM/Intune

03

アクセスコンロール

条件付きアクセス貸与PCの場合
01

テナント構成02

デバイス管理03

アクセスコンロール

04

アプリケーション管理

05

外部ユーザー協業

06

セキュリティ強化08

コンプライアンス

09

07

ガバナンス

Azure AD Webinar( https://aka.ms/AzureAdWebiner )の8つ観点にコンプライアンスを追加し独自に整理

監査

9つのAzure AD関連観点をふまえたゼロトラストの取り組みの概要

Before01
テナント構成02
デバイス管理03
アクセス

AD（組織内、パスワード/指紋認証）

AD同期したAzure AD（組織内外、貸与iPhoneと2要素,リスクベース認証、パスワードレス、顔認証/Windows Hello）

デスクトップPC + リモート用ノートの2台,
端末証明書, シンクラ的利用, マスター複製

MDM/Intune, Azure AD Join, Win10 Enterprise E5,
デバイス保護/WD Device Guard, 暗号化/BitLocker,
リモートワイプ → ノート一本化へ

VPN接続, Akamai EAA

条件付きアクセス
ユーザ, 場所, デバイス, アプリ, リアルタイムリスク

RDP, OneLogin(SSO,AD連携)

エンタープライズアプリケーション(SSO), Apps on Azure AD

メール等で限定的

Azure AD B2B, 外部も2要素化,Teamsゲストユーザー運用確立

ファイルサーバ部暗号化, USB禁止, SS1社内端末管理,個別端末対策の組み合わせ, Web分離環境,
M365 E5 Exchange Online ATP(標的型攻撃保護)

WD Application Guard(コンテナベースのWeb分離環境),
WD ATP(EDR), 端末がWD Security Center連携
Endpoint DLP,セキュリティベースライン, Secure Score,
Security Posture, ハイジーン, 脅威インテリジェンス

コントロール04
アプリケーション

After（一部は既存環境併用し漸減させる）

管理05
外部ユーザー
協業

06
セキュリティ強化

07
ガバナンス

08
コンプライアンス

09
監査

権限ワークフロー,アカウント棚卸し/アカンサス
内部脅威検知/エルテスIRI,SS1等
ログ定期分析, SIEM(Splunk ES)等

権限の付与・はく奪の効率化/自動化
情報保護/ラベル Information Protection & GovernanceCommunication Compliance, Insider Risk Management,
CASB/MCAS, DLP(データ損出防止), 自動暗号化/検出,Zscaler等
SIEM( 既存 + Azure Sentinel試行), ゼロトラストベース等

Azure AD Webinar( https://aka.ms/AzureAdWebiner )の8つ観点にコンプライアンスを追加し独自に整理

WD : Windows Defenderその他各社の商標,略称等

グランドデザイン

その他クラウドサービス
Desktop as a Service
SEIM・ログ解析

Akamai EAA

Eltes
クラウドセキュリティ

ログ転送

Internet
Proxy

シナリオ毎の厳密なアクセスコントロール

Cloud Access Security Broker

専用線

Azure Active Directory
Microsoft Intune

Azure AD Join

Azure AD Connect

統合ID・Device管理基盤
ID同期
エンドポイントセキュリティ

業務端末

大阪データセンター

東京データセンター

Microsoft Defender for Endpoint(EDR)
Active Directory

生体認証と多要素認証の導入

Connecter

イントラなどFlowmonによるネットワーク可視化BCP基盤

DX Criteriaチェックリストは目がいたくなる等…
•••••••

公開されたGitHubから質問項目を抜きGoogle SSからデータを抜きPower AutomateでPlannerに流し込み評価分けをドラッグ＆ドロップ
石川他の5人で1日で簡易アセスしPower BIで可視化しましたまとめ2017～2018頃• 情報共有が弱い• ダッシュボードがない• 社内ITが弱い• 紙、押印、進展しないGW• ID管理が雑• メールが多い• どこか人力感=コミュニケーションが部分的に×• IT部門以外もITを迅速に使えないとNow

MicrosoftAzure ADまとめ
1. 大失敗は見直しの機会になる
2. 現場から変えていこうと動いてきた
3. AI、ローコード、可視化は身近に
4. 進化や成長に終わりはない
5. 人、組織のトランスフォームの強い意識をありがとうございました。

beagile