導入事例

クラウドでセキュリティを確保するため 「i-FILTER@Cloud」を導入

株式会社ライフアシストは、来店型保険ショップ事業、訪販型保険事業、ファイナンシャルコンサルティング事業の３事業を手がける保険代理店です。さまざまな保険商品の中から「お客様に最適な保険を提供し、最高に満足していただきたい」との思いから2006年に設立し、現在では新潟県や北関東エリアを中心に来店型保険ショップ「保険のライフアシスト」を12店舗、訪販型保険事業の拠点として東京都や大阪府などに12支社を展開しています。

保険商品を比較できるシステムの導入のほか、社員のノルマがないこと、契約後の充実したサポートなどによって、地域に根差しながらお客様のライフスタイルに合った最適な保障と高品質なサービスを提供していることから評価を得ています。同社では病歴なども含む個人情報を扱っており、「生命保険業における個人情報保護のための安全管理措置等についての実務指針（生保安全管理実務指針）」に準じた技術的安全管理措置を行っています。2020年にオリックスグループとなったことがきっかけの一つとなり、セキュリティ対策の強化を行いました。

同社管理部でシステム管理などを手がける大久保貴夫氏は「もし、マルウェア感染が発生すると、該当端末の駆除などで仕事が止まり、さらにネットワーク内に感染が広がっていた場合、全社で仕事が止まってしまいます。営業機会の損失だけでなく、情報漏洩が発生すれば、社会的評価の低下による顧客の喪失、取引先・顧客からの損害賠償による金銭の損失なども考えられます」といいます。

同社では、各保険会社のシステムや商品比較システム、顧客情報管理システムなどをパブリッククラウドで管理しています。業務用端末のうち、店舗の端末は持ち帰りすることはありませんが、訪販型の端末は自宅に持ち帰ったり、出先からアクセスしたりとさまざまなネットワークからアクセスしています。こうした利用状況でセキュリティを確保するため業務でインターネットを利用する端末全てに「i-FILTER@Cloud」を導入しました。

大久保氏は採用の理由について、「関連会社での採用実績があることや、細かい制御が実現できること、国産製品であり日本人によるサポート体制がしっかりしていること、『i-FILTER@Cloud』を必ず経由してインターネット接続できることなどが決め手となりました」と話します。

気付かないうちにマルウェア感染を防いでいる

「i-FILTER@Cloud」は、国内で検索可能なURLをカテゴライズしてDB（データベース）に登録し、DBに登録されていない未知のURLへのアクセスをブロックする「ホワイト運用」を実現しているWebセキュリティ製品です。

同社はこの「ホワイト運用」を活用し、さらに業務上閲覧の必要性がないアダルトマテリアルや犯罪・暴力、不正IT技術、ギャンブルといったカテゴリと、情報漏洩につながるSNSやアップローダーなどのカテゴリをブロックしています。セキュリティ対策として当然、脅威情報サイトや改ざんサイトもブロックしています。業務に必要なWebサイトはホワイトリストに登録して利用しています。

大久保氏は「ログを見てみると、毎日1000件ほどブロックされています。意図せず危険なサイトなどにアクセスしようとしていることがかなりあるのだと思いました。気付かないうちにマルウェア感染を防いでもらっていると感じています」と振り返ります。

運用管理について「URLカテゴリも基本的に分けてほしい部分はしっかりと分かれており、運用しやすいと感じています。カテゴリごとの有効・無効、ブロックなどアクションの種類、POSTフィルターが一覧で確認でき、把握しやすいです。日本語インターフェースでわかりやすいのも国産ならではですね」（大久保氏）といいます。

海外のURLも100％に近い網羅率のDBを利用することができる「Global Database」（有償オプション）も活用しています。「特段、海外URLへのアクセスが多い状況ではないですが、業務用端末でいつどのようなサイトへアクセスするかわかりません。セキュリティ対策を強化する意味でも利用は必須と考えており、より高いセキュリティを確保するために導入しました」（大久保氏）。

オンラインストレージは 「Webサービス制御」を活用してダウンロードのみ許可

同社では、さまざまなオンラインストレージを通して社外とファイルのやり取りをしています。個人情報の漏洩を恐れてオンラインストレージを一律ブロックすることは業務上、難しい状況です。

そのため、Webサービスごとに「ログイン、書き込み、アップロード、ダウンロード」などの操作を制御する「Webサービス制御」機能を活用して情報漏洩リスクを軽減しています。

具体的には、オンラインストレージを利用する際は、ダウンロードのみ許可する形で運用しています。大久保氏は「コンシューマー向けとビジネス向けでオンラインストレージのカテゴリが分かれているなど細かい部分に国産の強みを感じています」といいます。

運用面では、これまで利用実績のないオンラインストレージはブロックしています。ブロックの都度、そのオンラインストレージが制御できるかを確認して、ダウンロードのみ許可しています。

Microsoft 365のアクセス制御に加え、「端末隔離」で通信の断絶も実現

同社では、Microsoft 365を活用しており、「i-FILTER@Cloud」を活用してMicrosoft 365のアクセス制御も実現しました。当初は個人の端末から業務アカウントへのアクセスや業務用端末から個人アカウントにアクセスできる状況だったことから「業務用端末でのみ業務アカウントにアクセスできるという基本的な制御を実現したかったのです」（大久保氏）。

また、アクセスログやPOSTログといった標準的なログを1年間保存しています。「ログ保存は必要最低限と考えていましたが、オンプレミス導入の場合は保存容量をあらかじめ決められた分しか保管できないと考えていました。クラウドの場合、社内でデータ保存を考える必要がなく、必要に応じてログ保存期間を増やせる事も利点です」（大久保氏）と語ります。

基本的にログはインシデント検知時のみチェックしているといい、「インシデントとして判定されたものは過去2回あり、デフォルトで通信が止まる『端末隔離』となっていました」（大久保氏）。「端末隔離」とは、マルウェア感染の疑いがある端末をインターネットから隔離する機能です。過去にはエンドポイントでマルウェアを発見し、端末を隔離したこともあることから「この動作にはとても満足しています」（大久保氏）といいます。

同社は現在、会社の規模・人数ともに拡大路線にあります。大久保氏は「人数が増えても耐えられるセキュリティ環境を維持する必要があります」と強調します。現在、メールのセキュリティ強化を考えており、「i-FILTER@Cloud」と連携した「m-FILTER@Cloud」の運用も検討しているといいます。今後もセキュリティ対策をより一層強固にしていく考えです。