背景

金融機関が安全にクラウドサービスを利用するためには、FISCの「金融機関等コンピュータシステムの安全対策基準」（以下「FISC安全対策基準」）を満たす必要があります¹ 。一方、FISC安全対策基準の項目は多岐にわたっており、金融機関がクラウドサービスに対して行う確認作業が負荷になっています。これまで、クラウドサービスのFISC安全対策基準への対応状況を確認・整理した対応表などの提供が望まれていました。
そこで今回、NRI、NTT データ、SCSKの3社共同で、Google Cloud の協力のもと、金融機関におけるクラウドサービスの活用促進のために、FISC安全対策基準第9版令和2年3月版の309項目（統制基準、実務基準、設備基準、監査基準）への Google Cloud™ の対応状況を示すセキュリティリファレンスを作成しました。

本リファレンスの概要と活用イメージ

本リファレンスの概要と活用イメージは図1の通りです。金融機関は本リファレンスを参照することで、セキュリティ指針や監査指針の作成、クラウドサービスを活用した金融システムの構築にかかる負荷を減らすことができます。NRI、NTT データ、SCSKの3社はリファレンスの提供だけでなく、構築、運用パートナーとしてこれら金融機関を支援します。

本リファレンスの構成

本リファレンスの構成は図2の通りです。「ガイドラインの項目」は、FISC安全対策基準の基準番号を示しています²。「Google の対応内容」はコントロールマッピング記載のGoogle Cloud の対応状況を示しています³。「お客様による対応」は、必要となる対応概要とその対応に向けて参考になる対応策や参考URLを示しています。

本リファレンスの入手方法

atlax for Google Cloud の関連ソリューション「金融機関向けクラウドリスク管理支援サービス⁴ 」の一環として提供します。詳細は末尾の【本件に関するお問い合わせ先】へお問合せください。

グーグル・クラウド・ジャパン合同会社 上級執行役員 パートナー事業本部の 石積 尚幸様からのコメント

「金融業界に知見のある株式会社野村総合研究所、株式会社エヌ・ティ・ティ・データ、SCSK株式会社作成の本リファレンスの公開が、金融システムに携わる企業にとって最適な形で Google Cloud を導入でき、デジタル トランスフォーメーション（DX）のさらなる推進に貢献できることを歓迎いたします。」

• Google Cloudは Google LLC の商標です。
• atlaxは株式会社野村総合研究所の登録商標です。
• 記載された内容は発表日現在の情報です。また、文中に記載された会社名および製品名などは該当する各社の登録商標または商標です。

• ¹  

  ほかにも金融庁の監督指針や検査マニュアルなどがあります。

• ²  

  要求事項については、FISC安全対策基準の本紙を参照ください。

• ³  

  「コントロールマッピング」とは、FISC安全対策基準の各項目に対して、Google Cloud による対策の状況を整理したものです。詳細については、次のWebサイトをご参照ください。
  https://cloud.google.com/security/compliance/fisc-japan

• ⁴  

  「金融機関向けクラウドリスク管理支援サービス」の詳細については、次のWebサイトをご参照ください。 https://www.nri.com/jp/service/solution/ips/cloud_risk