特権IDソリューション

概要

日本で最大規模のカード決済総合サービス「CAFIS」を提供するNTTデータ。同社では、年々要求レベルが増すグローバルセキュリティ基準「PCI DSS（Payment Card Industry Data Security Standard）」の認定取得を背景に、事業部内のセキュリティ管理が統一できる「共通セキュリティ基盤」を開発した。ここに用いられているのが、NTT ソフトウェアの特権ID管理ソリューション 「CSLGuard × ACTCenter」である。

課題

【課題】 数百にもおよぶサーバの「PCI DSS」対応

　NTTデータのカード＆ペイメント事業部は、全国の加盟店とクレジットカード会社や金融機関をネットワークで結ぶ、中継システムの運用維持管理を手がける部門である。
　約2000社の加盟店、約120社のクレジットカード会社、約1600拠点の金融機関が利用する大規模カード決済総合サービス「CAFIS」を提供する上で、必要不可欠なのがセキュリティ対策だ。

　カード＆ペイメント事業部 ITサービス統括部 ITサービス企画担当 課長代理の小野恒彦氏は「CAFISサービスを構成する多くのサーバでカード情報を取り扱っているため、一般企業と比べてより高度なセキュリティ対策が求められます。昨今増えている内部事業者による情報漏えいや不正を防止するべく、組織体制についても開発/運用/維持の各部門を独立し、相互牽制が働くような仕組みを整えています」と説明する。

　また、「PCI DSS」の監査を定期的に受けているのも、カード取り扱い件数が多い同社ならではのポイントである。
　「PCI DSSでは、アカウント管理やカード情報の保護方法、情報へのアクセス記録などが細かく規定されており、改訂に応じて厳しくなる基準に対応できるような共通セキュリティ基盤が求められたのです」小野氏は話す。

課題　同社では、カード＆ペイメント事業部だけでも数十のシステムがあり、サーバ台数は数百にもおよぶ。もちろん従来から、事業部内で特権IDを含めた運用管理に関する統一ルールは存在したが、実務レベルでは管理レベルの差異が生じ、セキュリティリスクの懸念材料となっていたのだ。こうした背景から、統一されたプラットフォーム上でのセキュリティ管理ができる「共通セキュリティ基盤」の自社開発に着手した。

解決へのアプローチ

【選定】 操作性と充実のインタフェースに加え、エージェントレスが最大のポイント

　共通セキュリティ基盤の構築にあたり、同社ではその中で使用するアカウント管理ソリューションなどの選定をスタート。複数候補から機能や実績を評価し、最終的に選ばれたのが、NTTソフトウェアの特権ID管理ソリューション「CSLGuard×ACTCenter」である。

　選定のポイントとなったのは、開発だけでなく保守まで一貫して手がけている国内メーカー製であること。また、使いやすさに直結する画面構成に加え、自動化処理に対応できる充実のインターフェースも決め手だった。
　さらに、カード＆ペイメント事業部 ITサービス統括部 ITサービス企画担当 課長の斉藤茂氏は「商用サーバにエージェントをインストール“しない”で使える、という部分が重要でした。すでに稼動中のサーバは年間数回程度しか再起動できませんから、エージェントをインストールする必要がある製品では一気にハードルが上がります」と話す。

　導入対象のサーバはOSの種類やバージョン、導入済みソフトウェアなどまで条件は多岐にわたる。すべての環境においてエージェントが不具合なく動作するか、個別検証を行うのは極めて難しいことである。こうした点においても、エージェントなしで使えるNTTソフトウェアの「CSLGuard×ACTCenter」はベストな選択であったといえる。

ソリューションとその成果

【効果】 セキュリティ基盤を大幅に強化。発揮されたベンダーの対応力

　共通セキュリティ基盤は、2段階のフェーズで開発が進められた。フェーズ１は2012年10月にスタートし、機能および対象システムを絞り込んで、問題点を洗い出した。そして2014年3月から現在にかけて進行中のフェーズ2では、問題点の改善と機能拡張を行い、他システムに展開している。

　NTTデータ・ファイナンシャルコア システム統括本部 第七事業部 主任の山尾祥史氏は「開発段階では、システムが思うように動かなかったり、処理に時間がかかりすぎるといったトラブルも発生しました。そこで大変頼りになったのが、NTTソフトウェアのSEサポートです」と振り返る。迅速なトラブル対応は当然のことながら、導入対象サーバの能力や仕様など多種多様な環境に対して、長年のSI経験で培われた幅広い知識により、細かいチューニングも見過ごさず、環境に応じた最適解を見つけだす対応だったようだ。

　国内ベンダーならではのきめ細かなサポートにより完成した共通セキュリティ基盤では、CSLGuardとACTCenterにより、作業者と権限分割したアカウントを関連付け、作業に必要なアクセス権限を付与し作業者を特定。IDとパスワードさえ知っていれば、作業者が他のサーバにもアクセスできてしまう従来システムと比べて、セキュリティ面が大きく強化された。

今後の展開

【展望】 端末の共有化でリソース集約。全システム展開で効果高まる

　他社製品のワークフローとも容易に連携できるのも特徴のひとつだ。

　斉藤氏は「ACTCenterには最初からインターフェースが準備されているのでシステム設計がしやすかったですね。ワークフローから出力したCSVファイルを取り込み、さらにACTCenterから出力したCSVファイルを独自開発の監査ツールで読み込んでいます。入出力については設定ファイルでフレキシブルに設定できるようになりました」と話す。

　こうして事業部全体で統一されたアカウントの一元管理や利用から貸出しまでの申請業務との連携、パスワードの定期的な自動変更まで、大幅なセキュリティ強化によりPCI DSSへの対応と管理負荷の低減を実現した。加えて、端末の共有化によるリソース集約も生まれた。
　この点について小野氏は、「従来はシステムごとに大量の端末が必要でした。しかし今回、共通セキュリティ基盤ができたおかげで端末の共有化が可能となり、端末台数や設置スペースの大幅な削減が図れました」と評価する。

　現在、共通セキュリティ基盤の展開はフェーズ2として当初予定していたシステムへの導入は完了し、全システムの7割程度まで進行している。あと1年ほどで残りのシステムを完了させるため、今後もNTTソフトウェアのサポートとともに、よりセキュアな環境構築を進めていく予定だ。

構成イメージ

お客様プロフィール

　お客様プロフィール
設立 1988年5月23日
事業概要 ・システムインテグレーション事業
・ネットワークシステムサービス事業
・その他これらに関する一切の事業
資本金 1,425億2千万円
従業員数 11,100 名（単独）、76,642名（グループ全体）
URL http://www.nttdata.com/jp/

※2015年12月現在

※ ここに書かれた情報は、2017年3月時点の情報です。
　 NTTソフトウェア株式会社は、2017年4月1日よりNTTテクノクロス株式会社に社名を変更しました。

※ ページに記載した会社名、製品名などの固有名詞は、一般に該当する会社もしくは組織の商標または登録商標です。