コントロールを手放さないリモートIT サポート：香港のウェルスマネジメント会社の話

結論から言えば： リモートIT サポートそのものは当たり前の仕組みです。問題なのは、その接続が終わったあとに「誰が、いつ、何をしたのか」を誰も説明できないことであり、香港の登録金融事業者にとってはなおさらです。答えはベンダーをもっと信頼することではなく、すべてのリモート接続を記録の残る「イベント」にすること——開始前に同意を取り、実行中は画面上で見え、終了後にログが残り、必要ならいつでも失効させられる状態にすることです。

なぜ香港の金融機関はリモートIT サポートに不安を覚えるのか

香港の中小金融事業者は、そのほとんどがリモートIT サポートの上で動いています。当人たちがそう呼んでいないだけです。マーケットデータ端末のライセンスファイルが切れて約定が入力できない。顧客との面談の一時間前に、アナリストのノートPC が共有ドライブを開けなくなる。オペレーション担当がIT ベンダーに電話し、「許可」を押すよう言われ、十分後には元通りになっている。このループは週に数回繰り返され、そしてたいていの場合きちんと機能します。

登録事業者にとって落ち着かないのは、このループ自体ではありません。いずれ誰かがこのループについて発する問いのほうです。ブティック型の資産運用会社、ファミリーオフィス、SFC ライセンスを持つアドバイザリー業務——こうした組織では、顧客の本人確認書類、ポートフォリオのポジション、申込・解約の指図、銀行口座情報を、ごく少数の人間が扱っています。ワークステーションにアクセスできるということは、その全部にアクセスできるということです。そして三十人から六十人規模の会社では、機微な情報が実際に置かれている場所は、誰かが意図して堅牢に設計したシステムではなく、まさにそのワークステーションであることが多いのです。

そのため遅かれ早かれ、居心地の悪い質問をするのが仕事の人間が、こう尋ねます。この期間、誰が我々の端末に接続していたのか。何回か。何をしていたのか。私たちの経験では、会社側の正直な答えはたいてい「我々のIT 会社が、こちらが頼んだときに」という趣旨のものです。この答えは事実です。しかし同時に、まったく検証できません。そして規制環境で問題になるのは、まさにこの「検証できない」という一点です。誰もベンダーを疑ってはいません。本当の問題は、その会社に「何も起きなかったことを示す手段」がないことであり、これは「実際に何も起きていない」こととは別の、そしてはるかに難しい話です。

Brocent は 2016 年に香港オフィスを開設して以来、この地の金融サービス業のお客様にマネージドIT を提供してきましたが、この構図は会社の規模を問わず一貫しています。規模が大きいほどこの問いが早く出る、というだけで、いずれ必ず出ます。尋ねるのはたいていコンプライアンス責任者、時に外部監査人、まれに資金配分を検討し運用デューデリジェンスを行っている機関投資家です。

差し止められた一件のチケット：複合的なシナリオ

以下は、私たちが何度も類似のかたちで見てきたシナリオです。細部は例示であり、この規模・この業態の会社が実際にどう動いているかから組み立てた複合的な想定であって、特定の実名クライアントではありません。

香港のウェルスマネジメント会社、約四十五名。セントラルにオフィスがあり、別にバックオフィス用の小さなフロアを一つ持っています。登録事業者であり、毎年監査を受けています。四十五名のうち二名がオペレーションチームで、そのうち一人が社内で「IT」と呼ばれている役割を担っています——つまり、IT ベンダーに電話する人です。ベンダーは有能で、六年間この会社を支援しており、環境をよく理解しています。何かが壊れると誰かがグループチャットに一言書き、エンジニアが拾い、接続し、直す。嫌な思いをしたことは一度もありません。

そこへ、年次の内部統制レビューを準備していたコンプライアンス責任者が、定型のチケットを一つ差し止めます。何かを疑ったからではありません。レビューが「顧客データを保持するシステムへの第三者アクセスに対する統制」を記述するよう求めており、いざ書こうとして、書けないことに気づいたからです。前四半期に何件のリモートセッションがあったか言えない。どのエンジニアが接続したか言えない。そのうちのどれかが顧客の口座開設書類を保持する端末に触れたかどうかも言えない。ベンダーにログを求めると、誠実で善意にあふれたメールが返ってきました。要旨はこうです——お呼びいただいたときに接続しています。

この瞬間から、会社はリモートサポートを「便利な設備」ではなく「統制」として扱い始めます。そして、これは本当に気まずい瞬間です。ベンダーは何も悪いことをしていないからです。会社は新しい業者を探しているわけではありません。探しているのは証拠であり、そしてベンダーが使っているツールは、そもそも証拠を生むようには設計されていなかったのです。

「ずっと必要なときに繋いでもらってきた」ことの本当のコスト

このコストは劇的ではありません。慢性的な種類のもので、しかも必ず都合の悪いタイミングで表面化します。

遡及的な問いに答えがない。 「前四半期に、顧客のKYC 書類が入っている端末に外部の人間がアクセスしたか」——この問いに許される答えは二つだけです。記録に基づく「いいえ」か、記録と詳細を伴う「はい」か。「たぶんない」は含まれません。自社が三つ目しか出せないと気づいた時点で、この空白は優先順位を一気に上げます。同じ問いは来年も来るからで、そのときには「新規の指摘」ではなく「繰り返しの指摘」になります。

関係が証拠ではなく信頼の上に成り立っており、信頼は引き継げない。 今のエンジニアたちのことは知っているし、好ましく思っている。しかしエンジニアは転職しますし、ベンダーは採用します。先週火曜に接続してきたのが、会社が一度も会ったことのない人物である可能性はあり、そしてそれを知らせてくれる仕組みは存在しません。会社が実際に依拠しているのはベンダー社内の採用と監督であり、それは顧客からは見えず、評価したこともありません。

年次レビューで指し示せるものが何もない。 レビュー文書の統制記述には成果物が要ります——ポリシー、ログ、レポート、設定のスクリーンショット。「評判の良いIT ベンダーを使っています」は意図についての記述です。レビュー担当者が求めているのは、ファイルに綴じられるものです。

社員が静かに避け始める。 これは意外に思われます。私たちが関わった複数の会社で、最初の兆候はコンプライアンス上の指摘ではなく行動の変化でした。フロントオフィスの誰かがリモート対応を断り始め、訪問を待つか、自分で回避しようとするのです。画面に顧客のポジションが開いている状態で「誰かに見られている」ことに抵抗があったからです。この感覚はまったく正当です。そして同時に高くつきます。十分で終わる修正が半日の非効率に変わり、さらに会社のIT 上の問題が正確に報告されなくなるからです。

オフボーディングが定義されていない。 サービス契約が終わったとき、そのアクセス権はどうなるのか。場当たり的な取り決めでは、たいてい正式な手続きは何もありません。覚えている範囲の端末からツールをアンインストールし、アカウントは有効なまま残り、誰も何も書き残しません。会社がこれに気づくのはベンダーを切り替えるときで、前のベンダーがもう入れないことを確認できないと知るのです。

いずれもインシデントではありません。すべては「記録の不在」です。そして、ごく普通の運用慣行を監査上の指摘に変えるのは、まさにその記録の不在なのです。

私たちの見解：答えは「ベンダーをもっと信頼する」ことではない

お客様からこの話が出たとき、最初の反応は——私たちのではなく、お客様の——たいてい二つのどちらかです。もっと信頼できるベンダーを探すか、リモートサポート自体を制限して常駐・訪問対応を求めるか。どちらも機能しません。訪問のみの対応は遅く高コストで、しかも記録を生みません。机の横に座っているエンジニアが、観塘から接続しているエンジニアより多くログを残すわけではないからです。そして「もっと信頼できる」は、外側から検証できる性質ではありません。

有効な捉え直しはこうです。リモートアクセスは「状態」ではなく「イベント」であるべきだ。 いま多くの小規模事業者では、ベンダーのアクセス権は状態です。背景に常駐し、見えない形で行使されます。そこにあるべきなのは、離散したイベントの連なりです。それぞれが事前に名前を伴い、実行中は見え、事後に書き残され、そして止められる。

これは信頼の問題ではなく設計の問題であり、適切な仕組みがあれば解けます。重要なのは四つの性質です。

リモートアクセスを説明可能にする四つの性質

• 同意されている — 社員端末上のセッションが無言で始まってはいけません。キーボードの前にいる人が、誰が接続を求めているのかを実名で見て、許可の判断を下すべきです。
• 見えている — セッション実行中は、その事実が明白であるべきです。設定パネルの奥ではなく、画面上に、セッションが続くあいだずっと。
• 記録される — すべての接続は、開始したその瞬間に記録を書くべきです。誰が、どの端末に、いつ、どのモードで、どのサポート依頼に紐づいて接続したのか。そのログはベンダーが眺められるだけでなく、顧客がエクスポートできるべきです。
• 失効させられる — 顧客は、一台でも全台でも、依頼ひとつでベンダーのアクセスを終わらせられ、実行済みである旨の確認を受け取れるべきです。関係が終了する際のオフボーディングは自動的に発動し、人が確認するものであるべきで、誰かの記憶に依存すべきではありません。

私たちがサポート用エージェントの「できること」に厳格な線を引いているのも同じ理由です。端末のセキュリティ健全性を観測することと、端末上で操作を実行することは、リスク特性の異なる別々の行為であり、同じ権限モデルを共有すべきではありません。継続的な監視は構造として読み取り専用であるべきです——見たものを報告するだけで、何も実行できない。手を動かす作業は、上に述べた「同意済み・可視・ログ付き」の経路でのみ行われるべきです。両者を「いつでも何でもできる一つのエージェント」に統合するのは、ベンダーにとって便利で、顧客にとって不利です。

「事前同意・可視・失効可能」は画面上でどう見えるのか

私たちはこれらの性質を BCS Beam に組み込みました。Brocent のマネージドIT をご利用のお客様が動かしているエンドポイントクライアントです。そうしたのは、もう一方の選択肢——権限の輪郭が見えない汎用リモートコントロールツール——が、お客様との会話の中で何度もこのテストに落ち続けたからです。具体的に、これが入っている端末では次のようになります。

画面セッションが始まる前に、同意プロンプトがエンジニアを実名で示します。 同意機能を有効にした端末では、キーボードの前の人が承認するまで画面セッションは始まりません。そしてプロンプトには誰が求めているかが書かれています。「誰かに見られているかもしれない」という不安に最も直接的に答える統制がこれです。答えが「あなたが承認しない限り、見られません」になるからです。

画面上のバナーがセッション中ずっと表示され続けます。 五秒で消える通知ではなく、セッションが続くあいだ出続ける常駐の表示です。

トレイアイコンがセッション状態をリアルタイムに示します。 Beam のトレイアシスタントは、現在いくつのリモートセッションが動いているか、どのアカウントが接続しているかを表示します。これによって「彼らは自分のPC にアクセスできる」という見えない前提が、誰に尋ねることもなく、いつでも一目で確認できる状態に変わります。

すべての接続は、開始した瞬間に監査台帳へ書き込まれます。 誰が、どの端末に、いつ、どのモードで、どのサポートチケットに紐づいて接続したか。発行されたが使われなかった招待も記録されます——これは重要な点で、使われなかった招待も付与済みのアクセス権には違いないからです。担当のアカウントマネージャーが、ご要望に応じて全履歴を表計算形式でエクスポートします。セッションは品質および監査の目的で録画されることがあり、録画データはアーカイブ前に暗号化されます。

インフラは Brocent 自身のもので、香港にあります。 リモートサポートサーバー、監査プラットフォーム、セッション記録のすべてが、香港にある当社のサーバー上で動いています。お客様の端末と当社エンジニアのあいだに第三者のリモートコントロールクラウドは存在しません。つまり、それぞれ独自のポリシーを持つベンダーの連鎖ではなく、単一のデータ取扱いポリシーと単一の監査証跡になります。

お客様ごとに端末が分離されています。 貴社の端末群は専用の環境に、専用の登録アイデンティティを持って存在し、エンジニアのアクセス権はサーバー側で強制されます。一台について、あるいは全台について失効をご依頼いただければ、実行します。契約終了時にはオフボーディングが自動的に起動し、エンジニアが実行を確認します。

セキュリティ監査側は、何にも触れません。 設計上、読み取り専用です。ディスク暗号化、ウイルス対策とファイアウォールの状態、システム更新の状況、インストール済みソフトウェアの名称とバージョンといった端末の事実を読み取り、CIS 準拠のベンチマークと照合します。インストール済みソフトウェアは毎日グローバルなCVE カタログと突き合わせ、CVSS、EPSS、CISA KEV リストを用いて実際の悪用リスクで優先順位づけします。未承認のリモートアクセスツール、ファイル共有クライアント、サポート終了ソフトウェアを検出し、経営層が読めるレポートに端末ごとのリスクスコアを出します。端末上で何かを実行することはできず、ファイルの中身、キー入力、画面を取得することもありません。

もう一つ、必要になるまで忘れられがちな細部を挙げておきます。インストーラー自体です。お客様ごとのパッケージは個別にビルドされ、デジタル署名され、公開ダウンロードリンクではなく管理された配布経路で届けられます。エージェントの通信はすべてTLS による外向き接続なので、受信ポートを開ける必要はなく、ネットワーク構成を審査する相手にファイアウォールの例外を説明する必要もありません。

シナリオのウェルスマネジメント会社にとって、これはコンプライアンス責任者の課題を「答えようのない問い」から「書類の請求」に変えます。彼は当該四半期の接続台帳を求めます。返ってくるのは、全セッションについてエンジニア、端末、タイムスタンプ、モード、チケット番号が並んだ表計算ファイルです。それが彼のレビューに必要だった成果物であり、用意するのに要するのはメール一通です。

場当たり的アクセス、汎用リモートツール、監査可能なサポート経路

この三つはしばしば同じものとして扱われます。同じではありません。そして違いは、誰かが証拠を求めたときにだけ表に出ます。

三つのモデルの比較

• 場当たり的なベンダーアクセス（「電話すれば繋いでくれる」） — 立ち上げが最も速く、問題解決という点では実際に有効です。しかし同意の記録がなく、セッションログがなく、誰がアクセス権を持つかを列挙できず、定義されたオフボーディングもありません。会社の統制はベンダーの善意そのものです。誰も証拠を求めないうちは問題ありませんが、求められた瞬間に出せるものが何もありません。
• 汎用のリモートサポートツール（画面共有、コンシューマー／中小企業向け） — 一段ましです。セッションは通常ユーザーがコードを伝える必要があるため、少なくとも「同意の瞬間」は存在します。ただし監査証跡は、存在する場合でもベンダーのアカウント内にあり、顧客へ引き渡す前提で設計されていません。アクセス権は端末群単位ではなくアカウント単位であることが多く、「誰が我々の端末に到達できるか」を顧客が独立に答えられません。セッションデータが第三者クラウドを経由することも多く、貴社のベンダー台帳に一度も現れない参加者がデータ取扱いの連鎖に加わることになります。
• 監査可能なサポート経路（BCS Beam が目指しているもの） — エンジニアを実名で示す同意プロンプト、常駐する画面バナー、リアルタイムのトレイ表示、セッション開始時に書かれる台帳記録、顧客がエクスポートできる履歴、顧客ごとに分離されたテナント、依頼による失効、自動発動され人が確認するオフボーディング、そして操作を実行できない厳格な読み取り専用の監視側。導入は遅くなります。本物のオンボーディングが必要だからです。その代わり、通常の運用の副産物として証拠が生まれます。それがすべての目的です。

正直なトレードオフを言えば、三つ目のモデルは一つ目より運用コストが高くつきます。監査プラットフォームを構築・運用し、署名済みの顧客別インストーラーを用意し、オフボーディングのレビューに人を割く必要があるからです。第三者アクセスへの統制を外部に示す義務が本当に一切ないのであれば、一つ目のモデルも不合理ではありません。ただ、香港の登録事業者の多くはその義務を負っており、そしてたいていレビューの場でそれに気づきます。

マネージドIT の関係の中でこれはどこに位置するのか

監査可能なリモートアクセスは、単体で買える製品ではありません。「あなたのIT がどう運用されているか」の性質の一つです。それはマネージドIT サービスの中に、それを有用にする他の要素——実際の応答コミットメントを伴うヘルプデスク、パッチ適用、バックアップ、そして読み取り専用の監査側が支えるエンドポイントセキュリティ——と並んで存在します。単独で見れば、よく整備された接続台帳は「何も起きなかった」ことしか教えてくれません。マネージドIT セキュリティサービスと組み合わさって初めて、レビュー担当者に一段落で説明でき、成果物を添付できるセキュリティ態勢の一部になります。

規模感と費用を検討されている場合、市場ごとのサービスプランと各ティアの内容は料金ページに掲載しています。BCS Beam は単体販売ではなく Brocent のマネージドIT プランに含まれています。一部の端末しか記録を生まない監査証跡は、監査証跡とは呼べないからです。

Brocent は 2007 年からアジアで事業を営み、2016 年に香港オフィスを、2021 年からはシンガポールに本社を置いています。その間ずっと金融サービス業のお客様が業務の中核の一つであり続けました。「速さと説明可能性を同時に満たすサポート」というこの特定の課題を、私たちが最近見つけたのではなく腰を据えて考えてきた理由はそこにあります。

よくあるご質問

IT ベンダーが我々のシステムにリモート接続したとき、実際に何が見えているのですか

画面セッション中は、エンジニアにはあなたが見ている画面がそのまま見えています。だからこそセッションは同意され、可視でなければならないのです。セッション外については、そのベンダーのエージェントに他に何が許可されているかで完全に決まります。BCS Beam の場合、答えは意図的に狭く定めてあります。監視側が読むのは端末の事実（セキュリティ設定、インストール済みソフトウェアの名称とバージョン、更新状況）だけで、ファイルの中身、キー入力、画面イメージは決して読みません。この問いに歯切れよく答えられないベンダーがあるなら、それ自体が答えです。

リモートアクセスが適切だったことを監査人にどう証明すればよいですか

ポリシーではなく台帳で証明します。ポリシーは「何が起きるべきか」を述べ、台帳は「何が起きたか」を示します。レビュー担当者が通常求めるのは、対象期間のセッション一覧です。誰が、どの端末に、いつ、そしてなぜ接続したか——「なぜ」はサポートチケットに紐づいていて、業務上の理由が追跡できることが望まれます。いまの取り決めでその一覧を出せないのであれば、どのベンダーを使っているかにかかわらず、そこが埋めるべき空白です。

リモートサポートと継続的モニタリングは何が違うのですか

リモートサポートは断続的かつ対話的です。人があなたの同意を得て接続し、何かを直し、切断します。継続的モニタリングは受動的かつ恒常的で、エージェントが所定の頻度で端末のセキュリティ状態を報告し、操作は一切行いません。両者を同一視するのはよくあることですが有害です。必要な統制が異なるからです。モニタリングは読み取り専用であるべきで、何もできない以上、同意プロンプトも不要です。サポートは端末を変更できるので、毎回同意を求めるべきです。

必要になったとき、ベンダーのアクセス権を即座に失効させられますか

できるべきですし、想定ではなく実際に試しておくべきです。BCS Beam では、アクセス権の失効——一台でも全台でも——はアカウントマネージャーへの依頼として実行され、完了が確認され、同時に新規端末の登録も無効化されます。契約終了時にはオフボーディングが自動的に起動し、記憶に頼るのではなくエンジニアが確認して実行します。候補となるベンダーには「失効はどう行われ、どれくらい時間がかかるのか」を必ず尋ねてください。その答えの質は、かなり診断的です。

これは既存のウイルス対策やEDR を置き換えるものですか

いいえ。そして置き換えると謳うものには疑いを持ってください。監査側が行うのは、あなたの防御が実際に導入され、有効で、健全であることの検証と、それらのツールが扱わない脆弱性の監視、そして証拠を一つのレポートにまとめることです。既存のセキュリティスタックを置き換えるのではなく、共存します。代替となる統制ではなく、統制が機能しているかどうかを教えてくれる計器だと考えてください。

契約を終了した場合、我々のデータはどうなりますか

別々の二つのことが起きる必要があり、どちらも事前に定義されているべきです。一つはアクセスの終了——登録が失効し、貴社環境へのエンジニアのアクセス権が削除され、エージェントは通常のアプリケーションと同じようにきれいにアンインストールされます。もう一つは保持される記録——セッションログとアーカイブされた録画は、サービス契約の保持条項に従って扱われます。この二つは、退出後ではなく契約前に文書化するよう求めてください。

当社は小規模です。ここまでの統制は過剰ではありませんか

会社の規模は、端末上にあるものの機微さを変えません。四十人のウェルスマネジメント会社が、顧客の本人確認書類、銀行口座情報、ポートフォリオのポジションを数台のノートPC に置いていることはあり得ます。銀行より台数は少なくても、一台あたりの機微さが低いわけではありません。規模とともに変わるのは、それを管理するために割ける資源のほうです。だからこそ、この統制は会社が自前で組み立てるのではなく、サービスに組み込まれているべきだという議論になります。リモートサポートがもともとエクスポート可能な台帳を生むのであれば、「監査可能である」ことの追加コストはほぼゼロです。

「前四半期に誰が我々の端末に接続したか」に今すぐ答えられないのであれば、それは解決できる課題であり、たいていは短い会話で済みます。お問い合わせいただければ、いまの取り決めで何が証明でき、何が証明できないのかを一緒に整理します。最終的に当社をお選びいただくかどうかにかかわらず、です。