Case Study

三井住友アセットマネジメント株式会社 様
ESS RECの汎用的な動画記録で異種混在環境の操作証跡を統合的に収集
金融商品取引法・SAS70のIT全般統制に高いレベルで対応
三井住友アセットマネジメント株式会社 ( 以下、三井住友アセットマネジメント ) は 2002 年の発足以来「お客さま第一主義」の経営理念のもと、お客さまにご満足いただける高品質の資産運用サービスの提供、中長期的Profile
三井住友アセットマネジメント株式会社
設立
本社所在地
U R L
事業内容な資産形成をお手伝いしています。
三井住友アセットマネジメントでは、基幹業務システムを対象に ESS REC を導入、内部統制のさらなる強化によって、お客さまへ従来以上にご安心いただけるサービスを提供しています。

課題と選択

2002年(平成14年)12月1日
東京都港区愛宕二丁目 5 番 1 号
愛宕グリーンヒルズ MORI タワー 28 階
http://www.smam-jp.com/
リサーチを重視し、高品質の資産運用サービスを提供し続ける日本トップクラスの運用会社。
アジア・中国地域の投資運用にも精通しており、お客さまの多様なニーズに応じた豊富な商品を取り揃えている。

< 導入製品 >ESS REC®

内部統制の強化にどう取り組むか？

✓金融商品取引法施行に伴う内部統制の強化
三井住友アセットマネジメントは設立初期から投資顧問業務を対象に監査報告制度である SAS70 ( 現在はISAE3402 に移行 ) を取得し、資産運用業務の内部統制確保に取り組んできました。
「お客さまの資産をお預かりして運用を行う立場において、資産運用業務の正当性についての説明責任が求められます。お客さまからすれば、内部統制のしっかりした企業なら、安心して資産運用を委託できると考えていた
事務システム戦略部部長 松島士郎 氏だけます」（松島氏）
その中で IT 関連におけるさらなる内部統制の強化のきっかけとなったのが金融商品取引法の施行でした。同法の施行後は IT に関する統制においてより高度な統制レベルが求められるようになりました。

✓IT全般統制の要：権限分離とアクセス制御
内部統制の強化にあたり、IT 全般統制で最も重点が置かれたのが「本番環境へのアクセス制限」と「開発者と運用者の分離」の 2 点でした。これらの要件に対応するため、三井住友アセットマネジメントでは「承認ベースでの特権 ID の使用」「証跡 ( ログ ) の取得と点検」による本番環境へのアクセス制御とトレースの仕組みについて構築することとしました。そのためには特権 ID による本番環境へのアクセスを記録し、チェックを行うためのログツールの導入は必須でした。

✓汎用性の高い動画記録「弊社のプラットフォームは Windows と UNIX、Linux などが混在しています。またデータベースへのアクセスも記録の対象として考えていました。当初はプラットフォームごとに対応するログツールを導入する予定でした」（岡本氏）
事務システム戦略部
シニアマネージャー

岡本貴氏

しかしプラットフォームごとに個別のログツールを導入すると、膨大な費用がかかるということが判明しました。
「ESS REC は動画で作業内容の記録が可能で、GUI の操作についてもわかりやすく記録ができる、他社にはない新しい製品でした。また GUI の操作だけでなくキーボード打鍵情報などもテキストとして記録し、照合できるという点も魅力的でした。さらに検知ルールを設定し、行ってはいけない操作の判別が可能である機能を有しており、まさに欲していたものと合致していたため、導入を決定しました」（岡本氏）
三井住友アセットマネジメントでは、ESS REC の導入を皮切りに申請ベースでアカウントを貸し出すプロセスとツールの整備、作業申請内容と ESS REC などの操作証跡を照合し、申請時間外の操作や予定外のサーバーへのアクセスの有無を自動検知する仕組みを構築して、システム操作のリスク管理の仕組みを確立しました。

導入と効果

動画による徹底した操作内容の記録と不正操作の予防✓統制活動の効率化
三井住友アセットマネジメントでは開発者が障害対応などといった緊急時用として申請・承認を経て利用可能
事務システム戦略部
マネージャー

熊谷貴夫 氏となる本番環境アクセス端末と運用管理者の端末に ESS REC を導入し、すべての操作内容を詳細に記録するようにしています。
その上で作業時間の超過や申請外サーバーへの接続といった操作がないか ESS REC の記録と作業申請内容とを照合し、その結果に問題がある場合には ESS REC の記録をエビデンスとして申請者に提示して申請外内容の理由記入および管理者による承認を行っています。( 裏面に ESS REC 利用構成の図 )「この照合作業は、年間 1,000 件以上にも及ぶため、人手によるチェックでは相当な工数がかかるため実現不可能でした。今では毎朝自動照合の結果がメール送信されてくるので、その内容を確認するだけです」（熊谷氏）

三井住友アセットマネジメントにおける ESS REC 利用構成
本番サーバー
仮想 PC

リモート操作

仮想 PC

常時ログ収集開発者端末

リモートアクセス
サーバー

ESS REC Server

日次で CSV 転送

ログ管理者

本番DBサーバー

ログの転送

突合処理
共有 PC

✓開発者の大幅な意識改革
三井住友アセットマネジメントにおいてはこのような仕組みにきちんとした申請書を上げるようになりました。現在では照の導入が本番環境へのアクセスに対する開発者の意識を大き合で引っかかることはほとんどありません。照合の結果、問題がく変えることにつながりました。

生じると開発者が自分から原因を報告に来るほどです」「開発者に対して、本番環境へアクセスするリスクを正しく認（熊谷氏）識させ、正当な作業理由と申請・承認手続きがなければアクセ内部統制の根本的な部分は、個々人の意識です。ESS REC のスできないという意識づけを行うことができました」（岡本氏）

導入によって、当初の目的であった金融商品取引法や SAS70「統制の仕組みを導入当初は、照合の結果、非常に多くの申の要件に対応する以外に、個々人の意識という根本的な部分に請外作業が行われている状況でした。
しかし ESS REC の記録をも大幅な改善が起こり、内部統制が真に強化できたと感じていエビデンスとして、開発者に注意を続けるうちに、彼らが自主的ます。

展開基幹業務以外におけるESS RECの有用性✓クラウドサービスなど社外システムへの展開も視野に今、IT 業界ではクラウドサービスが大きく注目されています。
クラウドサービスなど社外システムを利用する場合、アクセス制御やログの仕組みはサービスごとに提供されるため、統合的利用する場合に最も効率が良い証跡管理の方法は ESS REC の動画記録を利用することだと考えています」（熊谷氏）
業界トップレベルの内部統制を維持し、お客さまにご満足いな証跡管理が難しくなる可能性があります。

ただけるサービスを提供する三井住友アセットマネジメント「ESS REC の動画記録を利用すれば、クラウドサービスなど様。エンカレッジ・テクノロジは今後も状況に応じた最適な製の社外システムに対しても、統合的でわかりやすい形の証跡管品・サービスの提供を通して、三井住友アセットマネジメント様理を行うことが可能です。特に SAS70 の範囲で社外システムをのIT全般統制を支えてまいります。

本事例に記述されている内容は2012年8月現在の情報です。
Copyright© 2002-2014 Encourage Technologies Co., Ltd.
記載の会社名・製品名は、一般的に、各社の商標または登録商標です。

エンカレッジ・テクノロジ株式会社〒103-0007
東京都中央区日本橋浜町3-3-2 トルナーレ日本橋浜町 7F
URL ： http://www.et-x.jp
Phone ： 03-5623-2622
Fax： 03-3660-5822<CS17-2014-01-01>