　特権IDは、そのIDを持つ人が不正を行おうとすれば、情報コピーや削除、改ざん、アクセス権の勝手な付与など、あらゆることができてしまう。そこで、現在では特権IDといえども上記の業務部門ユーザーのアクセス制御と同様に、詳細な権限設定をして必要以上の操作ができないようにするのが一般化してきている（もちろん複数の管理担当者がいる場合が前提）。

　特権IDはOSだけでなく、ミドルウェアやアプリケーション、ネットワーク機器の場合の運用管理にも使われている。中でもOSの特権IDを不正使用されると、深刻な情報漏えいやデータ破壊などが起きる可能性がある。

　そこでやはり管理者の権限を細分化し、管理者ごとに定められた権限に基づき、DB管理用、オブジェクト管理用、データアクセス用など目的別に、参照・更新・作成・削除といった操作の可否を決めていくことが望ましい。だが、システムを稼働させながらこうしたアクセス制御を設定していくことそのものにリスクが伴い、また労力が大きい。

　そこで、従来通りシステムに向けては全権限が利用できる特権IDを使いながら、データアクセスに関しては管理用のIDを識別させ、そのIDに付与された権限の範囲内で管理操作ができるようにするツールを利用するとよい。

　これはアイデンティティー管理ツールの特権ID管理機能として、あるいは「特権ID管理ツール」という呼び方で提供されている。管理サーバ側で、管理者の権限に基づいて操作の許可や拒否のコントロールをして、許可された操作だけがOSなどに「特権IDでの操作」として伝えられるわけだ。システムの設定などは変更せず、外側から包み込むようにアクセス制御が行えるため、簡単に、システムへの影響を与えずに、セキュリティを強化できる。

　図3には、特権ID管理を含め、データベース保護のために対策すべき事項をまとめている。図中の各項目はDBMSの機能の中で実現できるものもあるが、DBMSには手をつけずに外部に追加できる個別製品を利用してもよい。

図3 データベース保護に望ましい対策

　また、特権IDの取扱いでもう1つ重要なポイントが、特権IDの申請・承認・貸出・返却のワークフローだ。貸出から返却までは管理操作に必要な時間内だけにとどめることが望ましい。その記録と、操作ログとの照合で誰が特権IDで何をしたかが分かる。

　また申請・承認されていないのに特権IDでの操作が行われていたら、即座に不正行為であることが特定できる。アイデンティティー管理ツール、特権ID管理ツールはこのワークフロー機能も備えている。

　なお、特権IDを利用するような影響が大きな作業の場合、一般的なPC操作ログではなく、画面キャプチャーを細かく撮って保存するタイプの操作ログ管理ツールが使われることがある。これによれば事後に操作が事細かに再現できる。不正を行った場合には動かぬ証拠にすることができ、不正が及ぼすシステムへの影響の範囲を正確に特定することにもつながる。「ログ管理」ツールではあるが、これも「特権ID管理ツール」と呼ばれることがある。