課題と選択
「申請外の作業」を抑止するため、特権IDの貸出管理を強化
企業の成長に伴い、統制レベルの高度化を検討
アニコム損害保険には、保険契約の管理をはじめ、保険金の支払業務やコールセンターでの応対、代理店や病院とのやり取りなど、保険契約に関わる業務を一手に担う基幹システムが存在します。
｢基幹システムの保守・運用は、すべて自社の社員が担当しています。作業時に必要な特権IDについて、創業当初は利便性を重視し、Administratorや作業用の特権IDを複数の運用担当者で共有していました｣(塚田氏)
この基幹システムに対するシステム障害やデータの改ざん・流失は、事業に大きな影響を与えます。そのため、アニコム損害保険は、これまで作業の事前申請・承認を行うワークフローシステムの導入や、作業内容の月次チェック、専用の監視ツールを活用したデータの持ち出し防止といった対策を行ってきました。
創業後数年は、こうした対策が十分な統制効果を発揮していました。しかし、企業の成熟や事業規模の拡大に併せて、管理上の負荷が増え、さらに企業に求められる社会的責任も大きくなってきました。
「人的・システム的なリソースの面からも、従来の管理態勢では厳密な運用を維持することが困難になってきたという意識がありました。弊社のシステム運用や管理態勢を、社内外を問わず、明確に説明できる仕組みを構築するため、専用のツールやソリューションの導入検討をはじめました」(塚田氏)
システムへのアクセス制限により予防的統制を実現できるESS AdminControl
「これまでは、作業内容の確認によって問題を早期に発見する『発見的統制』に頼っていた部分が多くありました。この部分にかかっていた負荷を軽減しつつ、事件や事故といった問題を未然に防ぐ『予防的統制』もシステム運用に取り入れることで、統制をさらに強化する必要がありました」(丸尾氏)
従来のシステム運用では、事前の承認がない場合でも、特権IDを使用することは可能でした。そのため、事前に申請・承認の手続きを経た作業以外に特権IDが使用されていないか、指示外の作業が実施されていないかといった作業内容の確認に苦労していました。
こうした課題を持つアニコム損害保険において、以下2つの機能が決め手になり、エンカレッジ・テクノロジのESS AdminControl の採用が決定しました。
■作業の都度、事前の申請・承認があった場合にのみ、特権IDを貸出す仕組みを提供できる
■パスワードを隠ぺいしたまま、作業者に共有型の特権IDを貸出す仕組みを提供できる
「ESS AdminControlであれば、作業の都度特権ID を貸出すことができ、なおかつ運用担当者は使用している特権IDのパスワードを知らずとも作業ができる点に注目しました。『許可されたサーバーのみに、アクセスが可能である』という状況にあるのが、これまでの運用との大きな違いだと感じました｣(丸尾氏)
また、貸出した特権IDで実施した作業内容を克明に記録することで、より高度な統制レベルを実現できるという点から、ESS RECも同時に採用することを決定しました。
「ESS REC の製品選定時には、素早い操作に対しても証跡の取り漏れを起こさないという点を評価しました。また、作業内容の点検・監査の際に、作業内容をわかりやすく提示できるという点でも、動画形式の記録は必要だと感じました」(塚田氏)
「ESS REC は事前にルールを設定することで、ルールに抵触する作業があれば、作業後に出力される監査レポート上で該当部分を優先して確認できる機能があります。膨大な記録の中から『禁止された作業を実施していないか』を速やかに点検・確認できる点も選定時のポイントになりました」(丸尾氏)
導入と効果
特権ID管理ソリューションの導入によりリスク低減を実現
日次で申請・承認のない特権ID の利用の有無を確認
ESS AdminControlとESS RECの採用後、アニコム損害保険では、2014年4月中旬から6月中旬にかけて設計・構築 作業を進め、6 月下旬から両製品の運用を開始しています。
ESS AdminControlとESS RECの導入にあたり、アニコム損害保険では、基幹システムへのアクセス方法を統一、個人の作業端末から中継サーバーを経由して基幹システムで作業を実施する環境を構築しました。この環境では、特権IDのパスワードが隠ぺいされているため、事実上、中継サーバーを経由しないアクセスは不可能になります。また中継サーバーを経由して実施した作業は、すべてESS RECが動画形式で記録をしています。
ESS AdminControlとESS RECの導入後、アニコム損害保険では、不正ログインに関する点検を日次と月次で実施しています。日次の点検ではESS AdminControlが出力するレポートを活用し、基幹システムの各サーバーに対して、事前の作業申請・ 承認を経ない不正なログインの有無を確認しています。 月次の点検では、日次の点検結果を総括し、基幹システムに対して作業権限のないIT部のメンバーや役員に対して報告を実施しています。
「ESS AdminControl導入後、IT部門以外にリスク管理部門に対しても、点検結果を報告しています。従来は共有型の特権 IDを運用担当者が自由に使える状態だったため、一定のリスクがありました。しかし、現在は作業の都度、利用者を明確にした特権IDの貸出しを実現、しかも特権IDの利用状況を定期的に点検することでリスク低減を実現しているとリスク管理部門から評価されました。また、ソリューションの導入により、リスク管理部門としてIT部門を監視・統制できるという点からも一定の導入効果を得ることができました」(塚田氏)
図 ESS AdminControlとESS REC導入後のアニコム損害保険
展開
対象システムの拡大と、証跡管理の強化を検討
アニコム損害保険では、ESS AdminControlの対象となるシステムの拡大と、ESS RECの活用度向上を今後の目標に挙げています。
ESS AdminControlは、現在の基幹システム以外に、WEBシステムなど社外向けサービスを提供するシステムに対しても対象範囲を拡大していく見込みです。
また、これと同時に基幹システムに導入したESS RECの活用度向上も模索しています。
「作業内容を動画形式で記録するだけではなく、作業中のデータの持ち出しやファイルのコピー、特定フォルダへのアクセスに対する検知機能の実現などを期待しています」(塚田氏)
基幹システムの運用における統制を重視するアニコム損害保険様。エンカレッジ・テクノロジはこれからもこうしたお客様のご支援に努めてまいります。
※本内容は、2014年9月時点のものです。