金融業界において創造的なビジネスを追求していくためには、その根幹となる技術の動向を定常的にチェックする必要があります。ソニー銀行がクラウドに最初に注目したのもそうした技術動向調査の過程でのことでした。

2011 年より調査を重ね、クラウドの中でも AWS がもっとも多彩な機能を有しており、またコストも低廉であることが判明しましたが、実際に採用すべきかどうかの判斷を行うため、ソニー銀行では2013 年にセキュリティ面およびシステムリスク面の評価を実施しました。

「AWS 以外のクラウドサービスもありましたが、當時から AWS の技術的優位性は圧倒的で、インフラにわざわざ AWS 以外のクラウドを選んで技術のキャッチアップ側に回る必要性を見い出せませんでした。」（福嶋氏）

これまでソニー銀行で活用してきた既存のリスク評価スキーム (業務委託先チェック、情報セキュリティチェック、システムリスクチェック) に加え、野村総合研究所などが実施していた FISC 安全対策基準の適合性調査結果など、外部のベンダによるノウハウも活用し、評価を行いました。

2013 年はまだ金融機関におけるクラウド利用、とりわけ IaaS 的な利用が本格化していなかったという事情もあり、慎重に評価する必要があったと言います。

「このとき留意したのは、"対象を正しく理解し、論點を明確にした上で評価を実施する"という點です。漠然としたイメージに惑わされることなく、コストやリスクなどファクトベースでもって既存環境との比較を行うことに注力しました。これは金融機関にかぎらず、クラウドの匯入を検討する際の重要な視點だと言えます。」（福嶋氏）

ソニー銀行がリスク評価でもっとも検討を必要としたのは、AWS 特有の責任共有モデルです。この責任共有モデルにおいて、クラウド移行後も OS より上のレイヤは従來どおり自社およびメインベンダで運用を行い、AWS の責任範囲は OS より下のレイヤであるデータセンターとハードウェアなどの分野に限定しました。

また、セキュリティ面に関しては、AWS が ISO/IEC 27001、PCI DSS、SOC1 など主要な外部認証を全リージョンに渡って取得/維持していること、加えて FISC 安全対策基準への適合性などセキュリティ情報を積極的に公開/開示している姿勢を高く評価したと言います。

これらの調査/評価の結果、2013 年末に銀行業務のうち帳票管理やリスク管理、管理會計といった周辺系システムおよび開発環境の一部、そして一般社內業務システムを AWS 東京リージョンで構築することを決定し、匯入に至りました。