情報畑でつかまえてロゴ
本サイトは NTTテクノロスが旬の IT をキーワードに
IT 部門が今知っておきたい最新テクノロジーに関する情報をお届けするサイトです

「特権ID」を緻密に管理し、セキュリティを強化する

アイデンティティの管理がセキュリティの基盤

一般に、銀行、証券会社、保険会社などの金融機関では、高いセキュリティが求められる。しかし、情報漏えい事件は後を絶たない。また、金融機関のシステムには堅牢なセキュリティと同時に「止まらないシステム」であることも要求される。
このような中、システムメンテナンス時に使用される「特権ID」をいかにセキュアに管理するかがITの統制の最重要課題として注目を集めている。

金融機関に求められる高度なセキュリティを実現するアイデンティティ管理ソリューション

情報セキュリティを強化する一つの方策としてアクセスできる関係者を制限することが考えれます。しかし、大規模化、複雑化したシステムをごく少人数の技術者だけで管理することは現実的ではありません。そのためサーバアクセスの入口である「特権ID」を厳密に管理することが最も重要となります。

不正アクセス防止の観点から考えると、作業が終了するたびにIDを削除し、また作業毎にパスワードを変更するべきですが、数百台にも及ぶサーバに対して、このような作業を行うには、膨大な管理作業が発生します。

このような課題に対して、ID管理に求められるセキュリティの対策を万全にしつつ、少数の管理者がさまざまなシステムのIDやユーザ情報を一元的に管理できるものが「アイデンティティ管理」です。今回のコラムでは、金融機関での活用を想定して、アイデンティティ管理ソリューションの導入メリットをご紹介します。

セキュリティの向上は特権IDの見直しから

どのようなシステムにもメンテナンスが必要だが、特に金融機関の勘定系システムなどの止まることが許されないシステムには、万全の保守・運用体制が不可欠である。従って相当数のメンテナンス技術者がシステムにアクセスする必要が生じる。

この際必要となる「特権ID」。システムに変更を加えたり、データを閲覧、改ざんすら可能な特権IDは、厳密に管理されていなければならない。しかし、適切な特権ID管理が行われていない場合も少なくない。

外部への情報漏えい防止、内部統制対応としての改ざん防止、あるいは悪意のある不正操作からシステムを守るために、特権IDの管理をいかに行うか。より高いセキュリティを実現するためにも、ポリシーに則った適切な特権ID管理が実施されているかどうか、今一度、確認する必要がある。

不適切な特権ID管理によるリスク

Consultant EYE

複雑化、大規模化するシステムのメンテナンスには多くの技術者の連携が必要です。セキュリティの向上を実現するためには、メンテナンス技術者が使用している「特権ID」の管理手法を見直すことが必要です。具体的には以下の4つの視点から、特権ID管理の現状を再確認することをお勧めします。

1.

定期的なパスワード変更をはじめ全てのサーバに則って適切に管理をしているか?

2.

特権IDの払い出し、返却管理は適切に行われているか?

3.

ID管理台帳と業務システムの実IDの棚卸し確認を適切に行っているか?

4.

アクセスログなどが適切に収集され、監査運用を的確に行えるよう運用されているか?

セキュリティの向上にはさまざまなアプローチがあります。特権IDの管理の見直 しは、セキュリティ向上の最初の一歩と言えるでしょう。

特権IDはどのように管理されているのか

強力な権限を持つ特権IDは、ポリシーに則り適切な管理されねばならない。しかし、作業効率を優先させるあまり不適切な運用が行われている場合がある。

例えば、本来は技術者毎に都度、個別に払い出されるべき特権IDが、複数の技術者が継続して共有されているケースがある。また、メンテナンス作業が行われていない期間や、作業の終了後も特権IDが有効になっていたり、不要な特権IDが消去されずに残っていることもある。

管理面では、システム毎に特権IDを管理しているために、全体が見渡せない状態になっていたり、サーバの数が増えすぎて十分な管理ができていないことも考えられる。また、人手による特権ID管理を行っている場合には、膨大な特権IDの管理にモレが生じたり、莫大な作業工数がかかっている可能性もある。

多数のサーバの適切な運用管理の実現は、人手に頼った特権ID管理だけでは、もはや難しい状況になっているのだ。

Consultant EYE

特権IDを適正に管理するためには、どのような課題を解決する必要があるのでしょうか。まず、現状での特権IDの管理・運用について見てみましょう。

システム管理者は外部の作業者ごとに、各サーバの特権IDを貸し出します。外部作業者は、実際の特権IDを使用して保守作業などを行います。

ここで貸し出される特権IDは、サーバ台数×作業者(アクセスユーザ)数になります。1台のサーバの運用管理には10名近い技術者が必要といわれているので、100台のサーバがあれば、1000近くの特権IDを含む作業用アカウントが必要になります。
これを作業日毎の期限付きの特権IDで発行すると、1週間で5000もの作業用アカウントを管理する必要が生じます。

これらの特権IDの管理をシステム管理者が手作業で行うことには、つぎのような問題を引き起こす可能性があります。

  • 即座にID無効化されていない場合、不正アクセスの可能性がある
  • 人手でパスワードを変更しているため、ID管理者による不正アクセスの可能性を残す
  • 管理者は各サーバのID/パスワード、アクセス履歴を個別に管理するため、作業漏れの可能性がある
従来(運用ベース)の特権ID管理

理想的な特権ID管理の姿とは

それでは理想的な特権ID管理の要件とは、どのようなものであろうか。

第1は、払い出した特権IDの管理の徹底である。
貸出期間を厳密に管理し、作業期間以外にはサーバにアクセスできない環境を作り上げることが必要である。そのためには全IDの定期的なパスワード変更を確実に実施する。また、実IDをそのまま貸し出さず、期間限定のIDを払い出すことが望ましい。

第2は監査に耐えうる確認検証である。
どのサーバでどのような操作をしたか履歴を取得することが重要である。事前に申請された利用申請情報と作業結果にズレがないか的確な監査を行うことが必要である。併せて、ID管理台帳と実際のIDの棚卸確認も必要である。

第3は上記を行うための管理作業の軽減である。
人手による作業で特権IDの管理を厳密に行えば行うほど、管理作業は増大していく。管理作業の増大はコストの肥大化の原因となるとともに、オペレーションミスや不正アカウント操作等のオペレーションリスクとなりうる。
そのため、システム化、自動化の必要があると考えられる。

これら3つの要件を満足した確実な特権ID管理を実現するためには、特権ID管理のシステム化が不可欠といえるだろう。

Consultant EYE

特権IDの管理をシステムにより自動的に行うことで、さまざまな課題が解決されます。

まず、システムへの不正アクセス防止は認証情報(ID/パスワード)を外部作業者に公開しないことが最も効果的です。更に、認証IDのパスワードを常に予測不能な状態で維持することも重要です。その為には仮想の貸出IDを用意し、実IDは貸し出さない運用とします。こうすることで必ず貸出IDによる認証を受けた上で各サーバアクセスをすることになるので、アクセス履歴が一元的に取得され、作業の証跡確認を簡単に行えるようになります。

特権ID管理のシステム化メリットは次のようにまとめられます。

  • 作業用特権IDは作業後には無効になるため、不正アクセスを防止できる
  • システムが自動的にパスワード変更しているため、ID管理者の負担も軽減され、不正アクセスリスクも低減する。
  • 各サーバへのログオン情報を統合的に収集し、不正監査が可能となる
  • 登録されているID一覧情報の確認により無効IDの削除や不正登録・不正削除されたIDの抽出が可能となる
システムによる特権ID管理の自動化(ID管理サーバ)

アイデンティティ管理がセキュリティの基盤

特権IDを管理するソリューションにはどのような機能が必要か。

まず、全サーバの特権IDを集中して管理できること、払い出す特権IDには統一のポリシーが反映されていること、そしてスケジュールにしたがった自動払い出しも必須の機能だ。

膨大な特権IDの運用にはそのほかにも管理作業の自動化が必要だ。貸出期間を過ぎた特権IDを自動的に停止したり、パスワードの自動変更機能もセキュリティを向上させるためには不可欠だ。

さらに、管理作業を軽減させる機能も必要になる。たとえば特権IDの棚卸し作業での差分チェックや不要ID削除の自動化などが挙げられるだろう。また、全システムのアクセスログを一元的に管理できる機能も必要だ。

セキュリティを向上させ、同時に管理コストを削減できる特権ID管理ソリューションを導入していただきたい。

Consultant EYE

NTTソフトウェアの「アイデンティティ管理ソリューション」は、特権ID管理についてのさまざまな課題をまとめて解決することが可能です。

・全サーバの特権IDの集中管理と運用を実現

-仮想IDを利用した実IDの隠ぺい
-申請書の作業期間内に従った貸出ID発行
-全IDのセキュリティポリシーの統一適用
-全IDの統合的な管理

・払い出し後の特権IDの自動運用が可能

-貸出期間を過ぎた特権IDの自動停止
-ログオフ時のパスワードの自動変更
-定期的なパスワードの自動変更

・特権IDの管理作業の軽減

-サーバの実IDと管理IDの差分チェックと不正IDの自動削除
-全システムのアクセスログの集約取得と監査突合への転送

これまでにも、NTTソフトウェアの「アイデンティティ管理ソリューション」は多数の金融機関に導入されてきました。豊富な実績を基に、NTTソフトウェアは短期間での「アイデンティティ管理ソリューション」の導入を実現しています。

ACTCenterが特権IDの一元管理を実現。

連載シリーズ
ソリューションコラム
著者プロフィール
樋口 真一
樋口 真一

NTTソフトウェア株式会社