特権IDメニュー

そもそも、特権IDとは？

定義としては「システムを維持・管理するうえで高いレベルの権限を割り当てられたアカウント」をさします。

具体的には、Windows サーバであれば「Administrator」、UNIX・Linux であれば「root」などが挙げられます。また、OSのみではなくデータベースの管理、ユーザ・アカウント管理、アプリケーション・データ管理などを行うためのシステムID、ネットワーク機器の設定変更などを行うための権限を持ったIDも含みます。
ただし、他のアカウントに上記と同等の権限を割り当てている場合も、特権IDに含まれます。
特権IDプロセス

誰が、どんなときに利用するもの？

システムの起動や停止、システム変更（プログラムのインストールや変更）、マスターデータの変更など、システム管理者がシステム運用を
行う際に利用します。
上記作業は、情報システム部門の担当者や外部のベンダーが作業で利用します。また人以外にも、周辺プログラムが利用します。
特権IDプロセス

特権IDの特長

特権IDは、一般的なIDと比較した際に大きく2つ特長があります。
各システムに1つ or 少数しか存在しない。

　そのため、1つの特権IDを複数人で共有して利用する必
　要があります。
　

特権ID入門
非常に強い権限がゆえ、なんでもできる。

　重要データを正しくないデータに書き換えることも、不
　正利用のために引き抜くことも、システム自体を停止さ
　せることすら可能です。

特権ID入門

特権IDのリスクは？

特権IDは、非常に強力な権限を持っているがゆえ、リスクも非常に大きいIDです。
過去には特権IDを悪用し個人情報が漏えいしてしまう事件も起こるなど、管理を一歩間違えると非常に大きな問題に発展したケースもあります。

また、情報漏えいだけではなく、せっかく担当者が正しく財務データを入力しても、特権IDを得た方が、悪意をもって最後にデータを改ざんすることも可能なため、監査において企業情報の正当性も証明できなくなってしまいます。
特権IDは強権限であるために、ずさんな管理をしていると企業は多くのリスクにさらされます。


  1. 過失と故意によるシステム障害のリスク
  2. 情報漏えい・データ改ざんのリスク
  3. 内部統制（コンプライアンス）のリスク
特権IDプロセス

あるべき姿は？

特権IDを管理する際の基本は、「承認に基づいた特権IDの利用と、その正当性を点検・監査できる管理」となります。

言い換えると、「誰が」「いつ」「なんのために」作業するかを明確にしたうえで「必要な権限で」特権IDを制限的に付与すること、かつその
実行結果について正当性が証明できることになります。
これは内部統制、FISC、PCI DSS などの関連ガイドラインにも記載されております。
特権ID管理プロセス
特権ID管理プロセス
申請管理
特権IDの利用申請・承認
  • 承認に基づいた特権ID利用
  • 利用申請・承認の記録
ID管理
権限付与
  • 承認に基づいた権限付与
  • アカウントの棚卸し
  • パスワードの定期変更
アクセス制御
特権IDの貸出し
  • 承認をした利用者だけに特権IDの貸出し
  • 特権IDの利用者特定
  • 特権IDのパスワード秘匿
ログ管理
点検・監査
  • 申請とログの突合せ点検
  • ログのモニタリング
  • 操作内容の記録と追跡

特権ID管理ソリューション、導入すると「何」が「どう」変わる？

申請管理 導入前 特権ID
特権ID

申請ルールの確立
特権IDの申請ルールが徹底されていないので、誰がどのシステムを使っているのか分からない！
導入後

ワークフロー機能で申請に基づいた利用と管理を実現
「誰が」「いつ」「どのID」を「何のために利用」するのか、運用が容易なワークフローソフトウェアを活用することで、IDの利用申請に必要な情報を登録できます。
ID管理 導入前 特権ID
特権ID

パスワード変更の徹底
管理するサーバ台数が多く、全IDの定期的なパスワード変更は大変！
手作業ではとてもできない。
導入後

ルールに従って複数システムの特権IDを集中管理
複数のサーバ（OS）、データベースなどのID情報をひとつのWEB画面を通じて管理するソフトウェアの活用で、あらかじめ決められたルールに従って
IDを管理できます。
アクセス制御 導入前 特権ID
特権ID

利用者の特定
特権IDを共有利用しているため、実際に誰がアクセスしたのか
分からない・・・
導入後

個人単位にIDを付与
サーバにアクセスするための個人用IDを用意します。個人用IDと共有で利用している特権IDとの紐付けを行います。
その結果、サーバにログインするのは共有している特権IDでも、誰がアクセスしているのか個人単位でログから追跡可能になります。
ログ管理 導入前 特権ID
特権ID

監査へ利用の正当性を立証
特権ID利用の正当性を立証できず、監査法人から重大な問題ありと指摘
されてしまった・・・
導入後

申請情報とログをつき合わせ監査レポート作成
複数のサーバが出力する多種多様なログを収集し、一元管理できるソフトウェアの活用でログ情報も連携インターフェースを通じ監査レポートとして出力します

ソリューション・製品一覧へ