DNB のプロアクティブなリスク管理アプローチ

金融サービス保護のニーズ
銀行は重要なサービスを提供しているため、リスクの影響を排除または緩和するためにあらゆる手段を講じなければなりません。銀行システムが停止すれば、個人の顧客、企業、あるいは国全体に壊滅的な影響を与えるおそれがあります。

IT のアップタイムの保証においても、外部の取引相手の調査やサイバー攻撃に対する保護であっても、脆弱性を特定して緩和することは困難な作業です。年間 5 億ユーロを超える IT 支出を行い、約 50 名のサービスオーナーが 1,000 近くの IT 関連アプリケーション、データセンター、クラウドインフラストラクチャを扱っている DNB にとって、これは間違いなく重要な課題です。

規制の厳しい金融サービス業界において、DNB も 11 の銀行と金融商品関連のライセンスを守るために、Schrems II、Basel III、NIST などによる規制への準拠が求められています。

「セキュリティ侵害されデータ進入があれば評判は大打撃を受けるでしょう。銀行免許の取り消しや多額の罰金を科される恐れがあり、お客様も離れてしまいかねません」と DNB の ServiceNow プラットフォーム担当エンタープライズアーキテクト、Anne Kristine Næss 氏は述べています。

リスク管理は DNB にとって上位の優先課題ですが、この複雑な作業を Excel スプレッドシートを使って手作業で行うのは不可能でした。あまりに多くの時間を要し、データが利用可能になっても、古くなっていることが多かったのです。

Basel III 規制のほか、DNB のリスク管理態勢に関連した資本要件を考慮すると、万が一の事態に備えて毎年多額の予算が必要になります。リスク管理を強化し、リスクの影響を軽減して資本要件を縮小し、浮いた予算を顧客の高まる期待に見合った新しいデジタル商品や機能などの収益性の高い業務に投資できるようにすることが求められていました。

現行データを活用してリスクを緩和
「ノードをリンクさせて異なるフレームワークで活かせる成果が得られる階層化が可能なツールが必要でした」と Næss 氏は述べています。「要求されるタスク管理にポリシーが適合していることを証明でき、ライブデータを収集して現状を把握し、対応できることも求められました」

「Excel を完全になくすことはできてはいませんが、スプレッドシートよりも ServiceNow のデータを信頼した方が良いということが分かっています」

すでに他の ServiceNow ソリューションを多く利用している DNB は、内部のサービスと外部からの脅威の両方のリスクを管理するために ServiceNow Integrated Risk Management を導入しました。

Software Asset Management (SAM) モジュールと Vulnerability Response が、耐用期間を終えるソフトウェア資産やパッチ/アップグレードが必要な資産の脆弱性を追跡するために使用されています。このようにして、Configuration Management Database (CMDB) の情報を正確に保ち、サービスオーナーが確実なデータを基に、安全なサービスを提供するためのパッチやその他業務に資金を回せるようになりました。

ServiceNow Security Incident Response は重大なインシデントを簡単に特定でき、迅速に修復が行えるワークフローと自動化ツールを備えています。こうして過去に問題を起こした原因を確認して、リスク管理態勢に追加することができます。

「さらに DevOps モジュールについても、予定された DevOps 構成のコード差分をチェックしてから本番環境に展開できるようになりました」と Næss 氏は述べています。「NIST などのリスクポリシーに適合し、より多くの部署が DevOps のベストプラクティスを遵守して監査証跡を残せます」

脆弱性の認知が向上
現在 DNB では、一元化された枠組みでリスクチームのメンバーがプロセスの調整にあたっています。集中化された IT 部門内のリスクとセキュリティの担当者と、ビジネスサイドのリスク管理者です。

ServiceNow のテクノロジーに支えられ、多くの新しいポリシーとコントロールを備えたリスク軽減プロセスが導入されました。これは、サービスオーナーが現在のリスクを正しく評価し、軽減する必要があるものに優先順位をつけられるようにリアルタイムのデータを適時に取得することに重点を置いています。また、自動化されたリスク評価も特徴で、サービスオーナーは現在抱えているリスク、これから行うリスク軽減、最終結果についての質問に答えることもできます。適切に対処されたリスクは終結が可能です。

「この作業により間違いなく銀行のリスクが軽減されました。悪いことが起こる可能性を減らすために対処した項目の数がその証拠です」と Næss 氏は続けます。「以前より運用状況が大きく改善されたのは、何を本番環境に投入するかを慎重に検討しているからです。リスクを考慮することにより、報告内容だけでなく、マインドセットが変化しました。これが、適切なリスク管理プロセスに基づいて報告ができることに加えて、今年度における資本上の制約の大幅な縮小につながりました」

「重要サービスのダウンタイムはほとんどなく、問題もほぼありません。ServiceNow Integrated Risk Management のおかげでこの状態を維持できます。顧客満足度を高め、ダウンタイム、サービスへの影響やセキュリティ侵害をなくすために、ServiceNow が大きく役立っています」