コラム掲載

毎月最終火曜日の定期配信しておりますメールマガジン「エンカレッジ・テクノロジ通信」の連載コラム「毎月5分で学ぶ特権アカウント管理のAtoZ」。

第1回では、特権アカウントに関する基本的な知識、第2回では、その管理不備のリスク・危険性を説明いたしました。3回目となる今回は、この特権アカウントの管理について、法規制や業界のガイドラインではどのような規定になっているかを整理してみます。

情報セキュリティ管理基準（経済産業省）

経済産業省が発行する情報セキュリティ管理基準は、情報技術（IT）の産業全般への浸透に伴い、各事業者における情報セキュリティの確保のため、企業に求められる対策をまとめたガイドラインです。
ISMS/ISO27001の要求事項をもとにまとめられており、国内における情報セキュリティ基準のスタンダードになっています。

表1. 情報セキュリティ管理基準で規定されている特権アカウントの管理基準

システム管理基準 追補版（財務報告に係る IT 統制ガイダンス）

平成18年6月に成立した、改正金融商品取引法における上場企業の内部統制の整備及び運用状況の有効性の評価・報告が義務付けられた、いわゆる「JSOX対応」における「ITへの対応」の部分に関し、「システム管理基準等」のガイドラインとの関連性を示したものです。

実質的には上場企業におけるJSOX法対応の一環であるIT統制に対する標準的な指針として位置づけられています。

表2. システム管理基準 追補版（財務報告に係る IT 統制ガイダンス）における特権アカウントの規定

金融機関におけるコンピュータシステムの安全管理基準（FISC）

金融情報システムセンター（FISC）が業界自主基準として昭和60年に策定以来、改定を重ねてきた金融業界におけるITシステムの運用およびセキュリティ基準。金融庁におけるIT検査においても参照されており、実質的に金融機関におけるITシステムに対するガイドラインとして機能しています。



現在のガイドライン（第8版）では、138の設備基準、114の運用基準、53の技術基準で構成されており、特に運用基準、技術基準において特権アカウントの管理についての内容が規定されています。

平成27年に改訂された第8版追補改訂では、取得すべきログの内容に特権IDの成功および失敗ログが追加されていますが、この背景として、サイバー攻撃の早期発見のために特権IDのログ検査が必要であることが改訂内容の策定にあたる有識者検討会の報告書に記載されています。

PCI DSS

PCI DSS は、 国際カードブランド団体（PCI SSC) によって定められた、カード会員データを保護するためのシステムインフラのセキュリティ対策基準です。以下の12の要件によって構成されています。 国内では、日本クレジット協会が、加盟するカード会社や加盟店に対し、本基準を準拠する自主期限を設定し、安全なクレジットカードの利用環境の普及に努めています。

 

PCI DSS要件

特権アカウントについては、要件7、8といったアクセス制御、アクセス者の識別といった基準において一般のアカウントとは別に厳しい管理方法が規定されているとともに、要件10のアクセス内容の追跡・監視についても対象となっています。

以上のように、特権アカウントの管理については、様々なガイドライン・業界基準でその具体的な内容が規定されており、特権アカウントの性質上、その管理不備によるリスク要因の大きさを認識いただけることと思います。

総じて規定されている内容には、

（１）利用機会や使用する権限の最小化
（２）利用者の識別
（３）アクセスログや利用内容の証跡確保
（４）定期的な点検

といった点が盛り込まれています。しかしこれらの管理プロセスを実運用に当てはめる場合、様々な問題に直面します。

次回は、実際の運用を考える上で必要なポイントを踏まえた特権アカウント管理のベストプラクティスについてご説明します。