従来も報告体制自体はあったのですが、この件を受けて報告の仕方や粒度を大きく変えました。問題が起こってからではなく、起こる前から情報を共有し、何かあってもすぐ動ける状態にしています。
先ほどお話しした「予兆検知Teams」に気軽に情報を上げられる仕組みを作ったのもそのためです。また、組織も本部の下に細かな階層を作らないフラットな体制にし、誰もが意見を言いやすい環境を整えています。
内製化でスピード向上とセキュリティ強化を狙う
――システム開発を内製化し、スピードを重視している狙いは？
インターネットの世界は変化が速く、1年前に何が流行ったかなんて誰も覚えていません。予算に1年、企画に1年、開発に1年とかけていたら、サービスが出る頃にはレガシーになってしまうでしょう。後発の銀行が競争していくには、新しいサービスを素早く出す必要があります。
内製化はセキュリティ面でも効きます。脆弱性への対応やパッチ適用が必要なとき、外部ベンダーの空き状況に左右されず、社内で完結する内製の価値がいま見直されていると思います。
――APIの基本無償公開や開発者向け環境「sunabar」など、システムのオープン化と安全性はどう両立していますか。
17年の銀行法改正により、銀行のAPI開放が努力義務化されましたが、従来の銀行業界では「APIはリスクがある」と慎重になりがちでした。仕様書の入手にも厳格な契約やテストが求められ、時間がかかるケースが多く見られたのです。
ですが、冷静に考えればネットバンキングはずっと外部とつながっていますし、スマホアプリだって、仕組みに詳しい人が解析すればAPIと同じような情報はわかってしまいます。接続のセキュリティは厳格に守りますが、仕様の公開自体に障壁はないというのが私たちの解釈でした。
もちろん誰でも自由にAPI接続できるわけではなく、事前の審査でお見送りとなる企業もあります。私たちがこの分野で先陣を走り続けられているのは、内製であることが大きい。コストもセキュリティ設定も全部自分たちでわかるので、判断しやすいということもありますね。
――GMOあおぞらネット銀行ならではのCISO像はありますか。
特別なことはないと思いますが、守ることだけを考えてはいけないとはよく思います。極端な話、システムを究極まで強固にすれば完璧に守れるんですよ。
でも、それでお客さまにご利用いただけないのであれば意味がありません。法令順守やお客さま保護、銀行としての堅牢性を確保したうえで、“どんなチャレンジができるか”に一生懸命、頭を使う。
当行はAPIの公開やBaaS、AI活用など、チャレンジを続ける銀行で、それを支えるのがセキュリティです。「新しいことをやってもお客さまや会社を守れる」という状態をつくることが重要だと考えています。
※ログイン後、コメント入力が可能です。