課題と選択
特権IDとマイナンバー、2種類の機密情報を安全に管理したい
社内サーバーの特権IDについて管理レベルの向上を目指す 操作ログの取得が課題に
ニッセイコムの情報管理部にはおよそ10人の担当者がおり、販売管理などの基幹業務システムや、Active Directoryサーバー、メールサーバーなど、社内向けの各種サービスを提供する約30台のサーバーの運用を行っています。運用者個人ごとに特権IDを付与しており、作業時は管理台帳に作業者と作業内容を記載して申請、作業内容の詳細は日々の日報に記載する運用を実施していました。
「とはいえ、こうした台帳では誰が、いつ、何の作業をしたのかといった記録は残りますが、実際にどんな操作を行ったのかまでは把握できないという問題がありました」（金沢氏）
特権IDのパスワードは定期的に変更、毎期不要なIDがないか等のチェックを行い、かつISMSの規定に基づき年に1回は特権IDの棚卸しを義務付けていました。しかし、人事異動などで担当者が変わった際に管理台帳の更新が遅れたり、業務の都合で先行して特権IDが発行されたりすることもあり、タイミングによっては正確性を保てないという問題もありました。
管理負荷も課題の一つとなっており、こうした問題を解決できるソリューションの策定を開始しました。
コストパフォーマンスに優れた最先端の機能を
2014年の春から展示会などに参加して情報収集を開始、多数の製品の機能と要件を照らし合わせ、製品を絞り込みました。当初の課題に加え、今後はシステムを仮想化・クラウド化していくという会社の方針があったことから、仮想サーバー上や社外のデータ・センターでも運用できる製品であることも、要件の一つとして加わりました。
ある製品が最終選定段階まで検討が進んでいましたが、最新情報の収集は継続していました。2014年12月、エンカレッジ・テクノロジからクラウド型の特権ID管理製品「ESS AdminGate」の発表が行われ、さっそくメールで問い合わせたところ、クラウド対応などはもちろん、既存製品の機能を網羅したうえで最先端の機能を搭載していることから、一気に最有力の候補へ浮上しました。そこで選定作業をいったん中断し、2015年夏の発売を待って社内でテスト運用を行うことになりました。
テストの結果、機能的に優れているばかりでなく、コストパフォーマンスにおいても他製品を圧倒したことから、ESS AdminGateの採用が正式に決まったのです。
「パッケージ費用が発生せず、実際使用した分だけ料金を支払う従量課金制も大きなポイントでした。他社の場合ですとパッケージ費用や導入構築費などの初期費用に加え、サポート費用などで多額のランニングコストがかかってしまいます。ESS AdminGateは、初期費用が発生しないことに加え、トータルの費用でも他の製品より優位であることが試算の結果判明しました。機能に関しても、テスト運用したうえで非常にレベルが高いと判断し、評価につながりました」（金沢氏）
機能面で大きな選定のポイントとなったのは下記の2点でした。
■ 操作内容の克明な記録
ESS AdminGateには申請から承認、作業報告までのワークフローが存在しており、作業内容は申請に紐づいて、Windows OSであれば動画形式、UNIX/Linux OSではコマンド形式で取得、確認が可能。従来の日報による作業報告で懸念されていた報告漏れや作業ミス等のリスク解消、不正に対する抑止効果があると判断。
■ 最小限の権限貸出とパスワード自動変更
申請・承認ベースでしか特権IDを使用できない環境のため、個人ごとにアカウントを作成するのではなく、権限レベル毎にアカウントを作成することでアカウントの更新等が不要となり、管理負荷の軽減が可能。さらにパスワードが自動的にランダムで変更されるため、人手で変更した際の「パスワードを常時知っている人がいる」といった懸念を解消。
ファイルの持ち出し制限機能でマイナンバーの安全管理も実現する
今回の導入プロジェクトには、ニッセイコムの人事総務部も参加しています。人事総務部では自社のパッケージソフトである「GrowOne Cube人事・給与」で人事管理、給与計算業務を運用しており、2016年1月から施行されるマイナンバー制度への対応も行うことになっていたからです。
「GrowOne Cube人事・給与」ではマイナンバーの取扱に対する安全管理措置は非常によく検討され実装されています。特にマイナンバーを取り扱う事務取扱担当者のアプリケーション利用状況は確実に管理され、マイナンバーデータの外部出力までログが記録されます。しかし、「マイナンバーのデータを出力した場合はその削除まで管理しなければいけませんが、アプリケーションではその外側のデータまでは管理できません。マイナンバー管理作業が始まる前に、その整備をしなければいけませんでした」（鈴木氏）
アプリケーション単独でマイナンバーの安全管理を担保することは難しく、それを補完してくれる製品と組み合わせて運用する必要がありました。情報管理部に相談したところESS AdminGateが適用できるのではと話を聞き、プロジェクトに参加することになったのです。
「マイナンバーを管理する上で最も懸念されるのは、マイナンバーが記載された書類の作成・提出にともない持ち出されたデータが、何らかの形で流出するというリスクです。その点、データの持ち出し制御機能を備えるESS AdminGateなら、確実に漏えいを防げるのではないかと考えました。サーバーの操作ログが残るというのも安心につながります」（鈴木氏）
導入と効果
システムの設計・導入時に加え、運用時の作業負荷も最低限
導入の手間はほとんど不要、短期間で構築できる
情報管理部では、ESS AdminGateの導入に合わせ、既存の業務に極力負担をかけない運用方法を検討した上で、設計・構築を進めました。導入の作業自体は仮想サーバーにイメージファイルを読みこませるだけでほぼそのまま動かすことができるため、手間や時間はほとんどかかりませんでした。
「複雑なセッティングが不要なため、本来の機能が無効になってしまったり、セキュリティに穴が開いてしまったりする不安がないのは大きいです。また、Web対応ということで、クライアント側にモジュールを入れる必要がなく、その点では管理側の負荷も軽減されました」（佐久間氏）
かかるコストや運用の負荷は最小限に
情報管理部では、2015年11月からESS AdminGateの運用を開始しました。今後はサーバーの運用状況を検証しつつ、作業内容の確認ルールや手順、その効果を精査していく方針です。
「スタート直後ということもあり、今のところは管理対象をある程度絞っています。管理対象の増加に合わせて柔軟かつ低コストでライセンス数を増やしていける、つまりスモールスタートが可能なのもESS AdminGateの魅力ですね」（金沢氏）
一方、人事総務部では「GrowOne Cube 人事・給与」へのマイナンバーの登録作業に向けた準備を開始しました。その際、システムの管理はエンジニアが行いますが、マイナンバーの登録や行政への提出資料作成などの運用部分は一般の事務担当者が行うことになっています。この担当者はエンジニアの経験などはありませんが、ESS AdminGateの操作画面は、マニュアルレスで操作できるほど直感的に扱えるため、これから始まる作業においても、最低限の負荷で問題なく運用できるものと見られています。
図 ESS AdminGate導入後のニッセイコム
展開
社内での運用のみならず、顧客への展開も検討
ニッセイコムはシステムインテグレーターとして業務システム導入の豊富な実績を持っていることから、顧客からマイナンバー対策について相談を受けることがしばしばあり、自社製品のセミナーなどでも、マイナンバー対策に触れることが少なくありません。
「最近はお客様から、当社のマイナンバーの管理体制はどうなっているのかご質問を受けることが増えており、その際にはエンカレッジ・テクノロジの名前とESS AdminGateを紹介しています。まだ具体的な話が進んでいるわけではありませんが、今後はESS AdminGateの販売について協業させていただく可能性も出てくるのではないかと思っています」（金沢氏）
マイナンバー管理を含め、内部統制の強化に注力するニッセイコム様。エンカレッジ・テクノロジはこれからもこうしたお客様のサポートに努めてまいります。
※本内容は、2015年12月時点のものです。