課題と選択
お客様向けサービスを支える重要システムのリスクとは？
特権IDの利用者特定と作業内容のモニタリングが課題に
浜松いわた信用金庫の庫内には、お客様に関する機密情報を保有するシステムやサービス提供にかかわるシステムなど、約60の重要システムが存在します。個人情報の漏洩やシステム障害によるサービスの停止など、お客様の信頼を大きく失墜しかねない事態を未然に防ぐため、これらのシステムへのリスク対策は欠かせません。
これらのシステムが抱えるリスクと現行の運用について、監査法人の専門的な知見も含めて、浜松いわた信用金庫が分析を実施した結果、特権ID を使用したアクセスについて十分な対策がとられていないことが判明しました。
「システムの内容や委託先の外部ベンダー、作業の量、頻度はシステムごとに異なりますが、日常的なオペレー ションは浜松いわた信用金庫の職員、定期的な保守作業などは委託先の外部ベンダーが担当しています。保守・運用作業を実施する場合、共有の特権IDで庫内のPCから対象システムに直接アクセスすることが通例で、特権IDの利用者を記録する仕組み等はありませんでした」(入木氏)
「また、特権IDを使用した作業内容の記録の取得も不十分だったため、保守・運用の担当者が不正な作業や誤った作業を行った場合でも、原因の特定はおろか、担当者を特定することも困難な状況でした」(鵜飼氏)
こうした分析結果を受けて、浜松いわた信用金庫では対応策を検討、以下の管理態勢を構築することを決定しました。
■申請・承認プロセスを経て、特権IDを貸出すことで、誰がいつ特権IDを使用したか
確認できる状態にすること
また、特権ID のパスワードは定期的に変更すること
■特権ID を使用した作業の内容は、ログとして記録、定期的な点検を行うこと
限られた人員でこうした管理態勢を実現するためには、専用のソフトウェアを有効活用する必要があると判断し、浜松いわた信用金庫ではソフトウェアの選定をはじめました。
なぜESS AdminControlとESS RECだったのか？
半年ほどの情報収集を経て、採用に至ったのがエンカレッジ・テクノロジの特権ID 管理ソリューション、ESS AdminControlとESS RECでした。
■ESS AdminControl： ワークフローに基づく申請・承認ベースの特権ID 貸出
ESS AdminControlを利用すれば、ワークフロー上で事前に申請・承認された作業に対してのみ、特権IDを貸出すことができます。ESS RECを使用した作業内容のモニタリングと併せて、誰が、いつ、どのシステムに対して作業を行うのかを管理し、作業者を特定できる点が採用のポイントになりました。
■ESS REC：作業内容を直感的に理解できる動画形式の記録
ESS RECの機能の中で、もっとも印象に残っているのが動画形式の記録です。誰でも直感的に理解できる動画での記録形式に魅力を感じました。作業内容のモニタリング方法を検討していた浜松いわた信用金庫にとって、作業の詳細な内容までわかりやすく確認できる動画形式の記録は、選定のポイントになりました。
また両製品とも、対象となるシステムにエージェントを導入する必要のない「エージェントレス型」である点も、採用を決めた要因のひとつでした。
「既に稼働中のシステムに新たなアプリケーションを導入する場合は、既存システムへの影響を慎重に考慮する必要があります。そのうえ、保守･運用を担当する委託先の外部ベンダーに了解を得たうえで、導入作業を依頼する必要があり、そのための費用も別途必要になります。こうした作業が対象システムすべてで発生するため、導入は現実的ではありません」(鵜飼氏)
こうした経緯を経て、浜松いわた信用金庫では2013年3月に特権ID 管理の第1段階として、重要度の高い20 システムを対象にESS AdminControlとESS RECの導入を決定しました。
導入と効果
特権ID利用者の特定と操作内容のモニタリング態勢を実現
導入に合わせて運用方法も変更
浜松いわた信用金庫では製品の採用決定後、2013年4月から約3ヶ月で設計・構築を完了、試験運用を経て11月から本格的な運用を開始しています。
「導入後は庫内のPCからサーバーへ直接アクセスすることを禁止、新たに設置した『中継サーバー』を経由して作業を実施する運用方式に変更しています。この変更により、以下の特権ID管理態勢を構築しました」(中氏)
■ESS AdminControl：特権IDの利用者特定を実現
ESS AdminControl を利用することで、当初の方針通り、事前に申請･承認を得た作業に対してのみ特権IDを貸出す態勢を確立しました。これにより、いつ、誰が、何のために特権IDを使用したのか、確認ができる状態になりました。
■ESS REC：作業内容のモニタリングを実現
ESS RECを中継サーバー上に導入することで、そこで行われるすべての作業を記録することが可能になりました。また、ESS RECの導入時には、作業者全員に対して、作業内容を記録
することも説明しています。特に委託先の外部ベンダーに対して、ESS RECの動画形式の記録は大きな牽制効果を発揮すると期待しています。
また副次的な効果としては、特権IDの棚卸の実現が挙げられます。特権ID貸出の仕組みを構築するにあたり、ESS AdminControlを利用して、IDの棚卸を実行。
現状では用途不明の特権IDが多く存在するということを認識しました。これらのIDについては、削除可能かどうかシステムへの影響を調査しながら、今後対応を検討していきます。
現在は特権ID の貸出管理の他に、ESS AdminControlのレポートを基に、事前の申請・承認がない作業について、担当者から作業内容の説明を受け、不正がないことを確認して検印するという運用も実施しています。
「信用金庫のように限られた人員で必要な管理態勢を実現するにはソフトウェアの有効活用が欠かせません。ソフトウェア活用のメリットは作業を自動化することによる省力化以外に、ソフトウェアの提供するベストな管理を享受できる点があります。たとえば、共有アカウントを使用しながら、適切なパスワード管理と承認ベースでの貸出を行うという管理方法は、マニュアルでは実現が困難です」(入木氏)
展開
対象システムの順次拡大など、更なる特権ID管理態勢の強化も検討
浜松いわた信用金庫では、ESS AdminControl の対象システムを順次拡大していくことを計画しています。さらに、庫内の運用が安定した後は、委託先の外部ベンダーが専用線を利用して行っている保守･運用作業についてもESS AdminControl とESS RECの対象にすることも計画しています。
「全システムに対する特権I D 管理態勢の強化を一度に実施することは難しいですが、システムの柔軟性も考慮しつつ、ESS AdminControlの利用拡大も含め、順次実現していければと考えています。またアクセス制御については、現在の仕組みに加え、中継サーバーを経由せず直接サーバーへアクセスされることのないようネットワーク的な制御についても検討したいと考えています」( 入木氏)
こうした取り組みを通して、より良いサービスを提供できる体制作りを進める浜松いわた信用金庫様。エンカレッジ・テクノロジはこれからもこうしたお客様のサポートに努めてまいります。
※本内容は、2014年1月時点のものです。