ソリューション部長2009/2/26いまだからこそ問いたいID管理のあるべき姿これらの事例から学ぶべき内容については、次回以降でもう少し触れていきたいと考えるが、本記事は第1回でもあるため、ID管理のそもそも論についても述べておきたい。触れたとおり、ID管理に対する注目や期待が集められた背景には、J-SOXなど、企業に対するコンプライアンスの社会的な要請による部分が大きい。企業のコンプライアンスに、ID管理のシステム化は必要なのだろうか。ID管理と並列で語られる言葉にアクセス管理がある。それぞれ、下表のように認識されているのではないだろうか。本当にその人なのか(認証)・ユーザーがその情報にアクセス、あるいはその操作をすることは認められているのか(認可)たしかに、企業のコンプライアンスや情報セキュリティにおいて、直接的に求められるのは、アクセス管理である。この点ではID管理よりもむしろアクセス管理を徹底すべきではないかという話にも思える。上表の定義は、狭義の定義といわざるを得ない。現実には、上表のID管理、アクセス管理の境界に「特定の人物に(あるIDに)、その情報へのアクセス権を与える」「アクセス権を剥奪する」といった行為や、そもそも「誰が(どのIDが)どの情報にアクセスできるのか」といったポリシーの管理が存在する。パスワードについても定期的に更新を行うことで、本当にその人なのかを判断する「認証」を厳格にする必要もあるが、これもID管理とアクセス管理の境界にあるものといえるかもしれない。これらなくして「アクセス管理ができている」ということは難しい。例を挙げると、幽霊IDや必要以上の権限付与の問題などが、境界の好例といえるだろう。●幽霊IDIDとパスワードは適切であり、システムへのログインも認められていたが、すでに退職している従業員のIDは、本来は速やかに停止(あるいは削除)されているべきである。退職者が、退職後、自宅から会社のメールサーバにアクセスし、これまでの取引先などに退職のあいさつをしていた。このようなある種ほのぼのとするような事件であればまだ悪影響は少ないかもしれないが、このシステムが、財務にかかわるシステムの場合であれば不正や改ざんの、機密情報にかかわるシステムの場合であれば情報漏えいの温床となり得る。これは上の定義では、アクセス管理なのかID管理なのか微妙なところである。なる以上の権限が与えられている状態も避けなければならない。経理課長が人事課長に異動になった場合、人事システムへのアクセス権限が必要となり、経理システムでの承認権限は不要になる。人事システムへのアクセス権は、異動した当人からの要請(場合によってはクレーム)などにより、比較的速やかに権限付与がなされるが、経理システムの承認権限はいつまでも残ったままになってしまうというケースがある。これも場合によっては不正やミスの温床になる。加えて、監査という点では、特権付与について、しかるべき人間の承認を経た後に、権限の付与がなされているという証跡も必要となるだろう。狭義のID管理・アクセス管理を包含し、またその運用も含めたシステム管理行為として、ID管理をとらえる必要があり、この点においてコンプライアンスの推進、セキュリティの強化にID管理は必要不可欠といえる。ID管理業務自体はシステム化を行わずとも、手作業でも遂行可能ではある。企業にとって不変のテーマである「売り上げ拡大」「コスト削減」の命題の前で、ID管理の業務自体は新たな売り上げを生むものではない。コストを削減するものでもない。残念ながら、ID管理はIT部門にとってやらなければならない業務ではあるが、企業活動に新たな価値を生む業務ではないのである。このような業務に少ないIT部門の人材を投入するのは、企業の成長発展の機会を阻害するものだと考える。雇用し、安い単価で手作業でやればよいではないかという考えもあるかもしれない。「右のものを左に流す作業」に、ヒトをあてがうのももったいない。このような単純作業はコンピュータに任せてしまえばよいことだ。このように感傷的にならずとも、企業が発展し規模が大きくなれば、従業員数が増えるだけでなく、組織変更や人事異動など内部体制の変更の機会も増えるだろう。マーケットの変化は加速する一方で、マーケットに応じた形になるためにあなたの会社でも、分社・統合、あるいはM&Aなどを行うかもしれない。ID管理の作業機会も増える。企業規模によらず、現在、正社員のみで業務を遂行している企業は少ない。派遣社員やシニア社員など多様化する一方の雇用形態の中で、今後も増え続けていくであろうITの管理、多様化するであろうIDの管理を、この先も人海作業で取り組んでいくのも考えものである。トップマネジメントが、セキュリティへの関心やコンプライアンスの推進を考えているうちに、ID管理などの“作業”をシステム化し、企業の発展につながるシステム化に取り組みたいものである。次回以降で、そのID管理のシステム化のポイントについて、述べてみたい。「GreenOffice」シリーズの開発企画に携わり、2007年10月グリーンオフィス事業部長に就任。GreenOffice製品群の企画・開発業務に従事し、マーケットニーズを分析し適合した製品・サービスの提供に携わる。ソリューション部長1998年京セラコミュニケーションシステム入社以来、ID管理、ファイル管理、プロセス管理などのパッケージソフトウェア「GreenOffice」シリーズの構築に携わり、2005年10月ソリューション部長に就任。数十社のJ-SOX対応を目的としたID管理ソリューション、ファイル管理ソリューションの構築、コンサルティングに携わる。10が備える多彩なセキュリティ対策機能を丸ごと理解するには、5つのスタックに分けて順に押さえていくことが早道だ。連載第1回は、Windows起動前の「デバイスの保護」とHyper-Vを用いたセキュリティ構成について紹介する。WannaCryがホンダやマクドにも。(2017/7/11)2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まった他、ランサムウェアを作成して配布した中学3年生、ランサムウェアに降伏してしまった韓国のホスティング企業など、5月に引き続きランサムウェアの話題が席巻していました。(2017/7/5)人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。Threat)対策の観点から考える。