「IT コンプライアンス戦略から学んだこと」
グレーゾーンの多いコンプライアンスへの対処術
作業負荷の軽減と整理統合

ING 社は、1991 年にオランダの保険会社ナショナーレ ネーデルランデン社と大手銀行 NMB ポストバンクグループ社が合併して誕生した大手金融サービス会社の正式名称であり、「Internationale Nederlanden Groep ( インターナショナーレ ネーデルランデン グループ )」の頭字語だ。ING 社は 1743 年にオランダで設立されたネーデルランド保険会社を起源とし、1990 年代初頭に欧州で進められた経済自由化と民営化の流れに乗り、同社は現在、成長と合併、買収の 250 年以上に及ぶ歴史の頂点に立っている。

ING インベストメントマネジメントグループ社
IT 担当副社長 インフラサービス部門長
マーク コロジェジ氏

SOX 法施行とともに複雑化する業務

ING インベストメントマネジメントグループ社のマーク コロジェジ氏 ( IT 担当副社長 インフラサービス部門長 ) は、同社の事業が日々拡大していくなか、コストの抑制に努めながら、複雑なコンプライアンス対応に取り組むという、多忙な毎日を送っている。

コロジェジ氏のミッションは、「膨大な量のリソースに対する徹底的な管理」にあると自ら語っている。同氏のインフラサービス部門 ( ISD ) では、ING インベストメントマネジメントグループ社が北米で運用している 4,000 億ドル以上の資産を管理している。

コロジェジ氏は、コンプライアンス対応に関して、次の信念を持っている。

「コンプライアンスへの対応方法は、任意に選択できるものではない。コンプライアンス要件は、スタッフの人数や勤務時間配分によっても変わってくるからだ」

コロジェジ氏は ING インベストメントマネジメントグループ社に勤務して 10 年になるが、その半分は、2002 年にサーベインスオクスレー ( SOX ) 法の施行とともに始まったコンプライアンス関連の業務にかかわってきた。ほかの企業と同様、ING インベストメントマネジメントグループ社でも、SOX 法などにおける規制要件を満たすために、さまざまなプロセスと手順の整備に取り組んできたが、その過程で問題が発生しなかったわけではない。

「新しい要件が加わるごとに、スタッフのやる気はどんどん失せていく。彼らはすでにやっかいな試練をたくさん乗り越えてきた。コンプライアンスの業務は、どこかしら魔女狩りのような様相を呈している。グレーゾーンが非常に多く、どの程度で十分と言えるかが微妙だからだ」とコロジェジ氏は言う。

同氏によれば、例えば、開発者が商品を生産に移すといった単純なことが、もはや単純ではなくなっているという。「業務を細かく分類し、複数のスタッフに担当させなければならなくなった。以前は 1 人でできていたことでも、今では管理フォームを用意し、ほかのスタッフやほかのグループがかかわることを求められる。かつてと比べて、作業に倍の時間がかかるようになってしまった。そのため、当社の IT 環境の複雑さとコストは、大幅に増大した」と同氏。

ただし、この状況を見過ごすわけにはいかない。コンプライアンス対応の作業負荷を緩和するために、コロジェジ氏は可能なかぎりの単純化に取り組んでいる。

「例えば、必須項目を明確にしたり、入力項目に選択肢を用意したりするといった対応をしている。ただし、そのための作業には多くの時間を浪費することが分かっていたため、私はそのための専任のスタッフを 1 人割り当てた。おかげで、我々の作業は IT プロセスに集中することができている」と同氏は言う。

ストレージの整理統合で業務効率改善、コストの大幅削減を実現

一方、業務効率の改善とコストの削減を目指し、ING インベストメントマネジメントグループ社は、大規模な IT インフラプロジェクト「アトラス ( Atlas )」に着手した。このプロジェクトにはさまざまな要素が盛り込まれていたが、とりわけ重点が置かれたのは、それぞれが独立している“サイロ型”の異種ストレージ環境の整理グレーゾーンの多いコンプライアンスへの対処術作業負荷の軽減と整理統合だった。

コロジェジ氏と同氏の ISD チームは、詳細な調査を実施し、プライマリストレージ ベンダーとして、シマンテックのパートナーであるネットワークアプライアンス社を選択。その後、ISD チームはネットワークアプライアンス社のグローバルサービス部門と協力して、ストレージ エリア ネットワーク ( SAN ) を設計し、実装した。

「我々の業務はもはや、SAN なしでは成り立たない。OS は SAN 上に置かれ、ほぼ 24 時間体制で随時の複製がされている。ソフトウェアパッチやアップデートも、すべて SAN 上で実施されている。複製先のハードウェアも同一のものを備えているため、問題が発生したとしても、電源を入れれば数分で復旧させることができる」とコロジェジ氏。

この SAN を実装した次世代のストレージインフラは、3 層で構成されており、データはその重要度に応じて、決まった層に割り当てられるようになっている。こうした階層ストレージを採用したことで、ISD チームはストレージコストを 30％以上も削減することができた。また、ストレージを整理統合したことで、データセンターのサーバー台数を減らすことができ、金額にすると約 75 万ドルの節約を実現できたという。

電子メール量が年率 100％の勢いで増加

北米において ING インベストメントマネジメントグループ社は、アトランタ、ニューヨーク、コネチカット州ハートフォードにプライマリサイトを 3 つ保有し、そのほかにミネソタ州、アリゾナ州、コロラド州にセカンダリサイトを 3 つ保有するという規模の IT 環境を抱えている。

この地域を担当する ISD チームは、アトラスプロジェクトにおいて、電子メールのアーカイブと e-discovery ( 電子証拠開示 ) を「解決すべき重点分野」と判断した。というのも、ING インベストメントマネジメントグループ社では、電子メールが重要な役割を果たしているからだ。

「当社の業務は各地に分散しているため、至るところに仮想チームが存在している。電話も使っているが、スタッフは常に自分のデスクにいるわけではない。そのため、電子メールは非常に重要なツールだ」とコロジェジ氏。

こうした重要度の高さゆえ、抱えている問題もあった。電子メールの量が年率 100％の勢いで増加しており、その結果、エンドユーザーに割り当てられているメールストレージの容量を超過するようになっていたのである。この対処として、ファイルを PST フォルダ ( マイクロソフト社の Outlook などで受信した電子メールをバックアップしておくフォルダ ) に移動させるようになっていた。

しかし、この対応は電子メールの所在を分かりにくくするため、コンプライアンスの観点から問題があった。加えて、PST フォルダの管理はエンドユーザーの生産性を損なっていた。

またコロジェジ氏は、電子メールのほかに、文書ファイルなどの非構造化データの問題も解消する必要があった。規制当局から要求があったり、訴訟に巻き込まれた場合には、そうしたデータを提出しなければならなかったりすることがあるからだ。

非構造化データを格納するためのストレージコストもまた、大きな問題だった。そこでコロジェジ氏と ISD チームは、電子メールと非構造化データをもっと安価なストレージに保存し、シングルインスタンスのメッセージ ストレージを介してファイルを圧縮したいと考えた。

そこで ISD チームが選択したのが、Symantec Enterprise Vault ソフトウェアであり、ソリューションの実装ではシマンテックコンサルティングサービスの支援を受けた。さらに同チームは、PST Migrator、Microsoft ExchangeJournaling、File System Archiving、Compliance Accelerator など、Enterprise Vault のいくつかのオプションも選択した。導入時ではユーザー数は 900 人だったが、その後の展開で現在は 2,400 人以上に拡張されている。

Enterprise Vault とネットワークアプライアンス社の技術とは緊密に統合されているため、ISD チームはメール保存と e-discovery には低コストの第 2 層ストレージを活用できた。また、階層ストレージに移行したことで、電子メールと非構造化データのストレージコストは 1 ギガバイト当たり 60 ドルから 45 ドルに削減することができた。これだけでも、ING インベストメントマネジメントグループ社は、今後の 3 年間で 100 万ドル以上を削減できる計算になる。

Symantec Enterprise Vault の活用で、整理統合を加速

ISD チームが e-discovery の要請を受けるのは、1 か月に 1 回程度だ。「Enterprise Vault を実装するまでは、要請に応じるのに 2〜3 週間かかっていたが、今では 2〜3 日で処理できる。必要な時間を 80％ほど削減できた計算だ。おかげで、年間約 7 万ドルを削減できている。今後、Enterprise Vault Discovery Accelerator を導入すれば、さらなる削減が可能なはずだ」とコロジェジ氏は言う。

この実装はまた、同社がもはや、PST フォルダ管理の問題でエンドユーザーを支援するためにデスクトップ管理部門に週 100 時間もの時間を割く必要がない、ということを意味している。これは、年間約 10 万ドルの節約に相当する。

「おかげで、整理統合の取り組みを加速できた。ファイル操作の安定性を高め、目標復旧時点 ( RPO ) を改善することもできた。エンドユーザーも、もはや電子メールの割り当て容量を気にする必要はない」とコロジェジ氏は言う。

電子メールは Microsoft Exchange Journaling オプションを使って、ほぼリアルタイムでキャプチャされるため、メールメッセージの紛失を防止できる。「電子メールは WORM エリア ( データを一度だけ書き込むことができる ) にジャーナリングしている。Enterprise Vault を使うことで、インスタントメッセージや電子メールをラジオボタン 1 つで検索できる」とコロジェジ氏。

Compliance Accelerator は、ING インベストメントマネジメントグループ社のコンプライアンス部門がコンプライアンスの追跡に利用している。「Compliance Accelerator を使って、データを自動的に集めている。これがなければ、ヘルプデスクには各監査に関する問い合わせが殺到していただろう」とコロジェジ氏は言う。

次の課題は更なるセキュリティの強化

今回実施したメッセージの管理や整理統合の取り組みでは、圧倒的な量の情報を扱うことになる。ただし、こうした環境における IT 投資においては、業界レポートなどの内容を鵜呑みにするのはよくない、とコロジェジ氏は忠告している。

「規制要件に従ってアーキテクチャに変更を加えた場合の影響や、それに伴い必要となるサーバー台数などは、自分たちの具体的な状況に照らして考慮することだ。また、共有のサーバー環境に、ベンダーがサポートしていないアプリケーションがあるかもしれない。新規サーバーがどの程度必要になるかを見積もる際には、そうした点も考慮に入れる必要があるだろう」

この 5 年間、コロジェジ氏は規制要件に取り組んできたが、そこからコンプライアンス戦略について何かを学んだとすれば、それは「根気を持って取り組む」ことだという。「今では、ユーザーも自分がアクセス権限を持つべき情報と持つべきでない情報について、よく理解している。何か抜け穴が見つかれば、ふさぐことだ。何か問題が見つかれば、修正することだ。不安なことがあれば、先を見越して行動し、それを経営陣に報告する。そうしていれば、何か問題が起きてから対応するのではなく、事前に問題に対処できることになるだろう」と同氏。

今後についてコロジェジ氏と ISD チームは、同社で取り扱うデータの暗号化を拡張し、セキュリティをさらに強化する方針だ。また、「アプリケーションレベルでのモニタリングも行いたいと考えている。ユーザーが気づく前に問題を修正するというのは無理にしても、少なくとも、ユーザーがヘルプデスクに電話をかける前に問題を把握しておくことはできる」と語る。