アイデンティティセキュリティ基盤を提供するジョーシス株式会社（東京都港区）は、関西電力株式会社（大阪府大阪市）における「Josys」の導入事例インタビューを公開した。関西電力は全社のクラウドサービス利用実態の把握に取り組み、IPアドレスではなく人（アカウント）単位でのリスク管理の土台構築を実現した。初回検知の916件から対処すべきサービスを十数件まで絞り込み、事実に基づくリスク評価につなげている。

導入の背景とシャドーITの課題

社会インフラ企業として極めて重要な情報を大量に取り扱う関西電力は、クラウドサービスの事前審査制度を早くから整備していた。しかし、承認済み台帳と実際の利用実態を突き合わせる手段がなく、社内監査では契約はあるものの審査を通っていないサービスが複数確認されていた。

また、過去に検討したネットワーク側の検知製品ではIPアドレス単位でしか利用を把握できず、利用者の特定に手間がかかるため是正アクションにつながらないという課題を抱えていた。

916件の検知から十数件へ絞り込み

「Josys」による初回検知では916件のクラウドサービスが確認された。承認済み台帳と突合したうえで、単発利用や審査不要なものを除いた高頻度利用サービス141件を精査。「習慣的に利用されているか」「業務情報のアップロードを招きやすいか」を軸に、最終的に対処すべきサービスを十数件まで絞り込んだ。特に「3分以上の利用」を検知する機能が、業務利用の見極めに有効だったという。

分析結果は関係役員会議に報告され、シャドークラウドの実態を把握し、直ちに重大と評価する利用は確認されなかったという事実に基づくリスク評価が可能となった。関西電力株式会社 IT戦略室 サイバーセキュリティグループ マネジャー 出原 和英 氏は、「一番大きいのは、分からなかったものが見えるようになったこと」と述べ、事実をもって正しくリスクを評価できる土台が整ったとしている。

現場の意識変化と継続的な管理への移行

検知の仕組みを全社に周知したことで、情報セキュリティ部門がクラウド利用を重視している姿勢が各部門に伝わり、現場からクラウド利用前に事前確認の連絡が届くようになるという副次的な効果も生まれている。

関西電力は今年度から継続的な「Josys」の利用を決定した。クラウド審査台帳に登録済みのサービスを検知対象から除外したうえで、新たな利用をアラートで即時に把握する運用へ移行する予定だ。「成長やDXのためのクラウド利用を阻害せず、リスクの大きなもの・リスク確認が済んでいないものだけを止める」という方針のもと、セキュリティと利便性のバランスを取った継続的な管理を目指すとしている。

導入事例の詳細は、同社ウェブサイト（https://www.josys.com/jp/case-studies/kepco）で公開されている。

人・AI・システムを横断して増加する認証情報を一元的に可視化し、組織全体のアイデンティティ防御を支援する「Josys」を展開するジョーシス株式会社は、代表取締役社長を松本恭攝が務め、東京都港区麻布台一丁目3番1号 麻布台ヒルズ 森JPタワー 23階に本社を置く。

• 名称：ジョーシス株式会社
• 所在地：東京都港区麻布台一丁目3番1号 麻布台ヒルズ 森JPタワー 23階
• 代表取締役社長：松本恭攝（発表冒頭の表記は代表取締役CEO：松本 恭攝）
• 設立：2022年02月
• URL：https://josys.com

本記事はジョーシス株式会社の発表をもとに作成されています。

Dellows News編集部

ビジネスパーソンの課題解決と納得感にこだわるDellows News編集部。キャリア論からAI、健康法まで幅広い分野に対応し、複雑なテーマでも平易な言葉で丁寧に解説。読者が「明日から使える」知識やヒントを得られるよう、具体的な事例・データ・専門家の見解を交えて執筆。情報を整理し、納得感ある記事づくりを心がけています。