IAM（IDおよびアクセス管理）の記事一覧
IAM（IDおよびアクセス管理）におけるIT製品の最新動向や比較・選定のポイント、導入事例をお届けします。
アクセス管理とは
アクセス管理は、サービスやデバイスを単純に「使用禁止」することではない。ユーザーがシステムを自由に利用しながら、自分に与えられた権限を越える情報利用を個人の一存ではできないようにし、利用可否を個人の判断でなく、企業のポリシーで決めることと考えるとよいだろう（続きはページの末尾へ）。
新着記事
アクセス管理の重要性
内部不正による情報漏えいの典型例は、2014年明らかになった約3504万件（換金された漏えい人数）の大規模個人情報漏えい事件だろう。延べ件数にすれば約2億1639万件という大量の個人情報の持ち出しが行われていた。この事件の背後には、次のようなセキュリティ上の弱点が指摘されている。
死角となったスマートフォンへのデータ書き出し
外部への情報持ち出しにはスマートフォンが利用された。かねてUSBメモリなど外部記憶媒体への情報書き出しは大規模情報漏えいを引き起こしかねないことから、一般にデバイス制御機能を持つIT資産管理ツールなどの情報漏えい対策ツールや、Active Directoryのグループポリシーなどを利用した利用制限が行われてきた。漏えいした企業でも情報書き出し制限は行われていたが、比較的新しい記憶媒体であるスマートフォンや携帯音楽プレーヤーが利用するデータ転送プロトコルのMTP（Media Transfer Protocol）への書き出し制限対策が十分ではなかったようだ。
SEのアクセス権限の付与と管理が不十分
情報を持ち出したのは、業務委託先からの派遣SEだった。派遣SEは漏えい企業のサービスの利用者情報にアクセスし、スマートフォンに情報をコピーした。個人情報が格納されたデータベースには、業務担当者が管理者の承認を得てアクセス付与申請をし、受付部門が業務に必要と判断したらアクセス権限が付与されるワークフローができていたという。
ただしアクセス権限の見直しは定期的に行われていたわけではない。またデータベース内の個人情報を細かく分類し、分類ごとに異なるアクセス権限を設定する対策はとられていなかった。加えて、個人情報はマーケティング分析業務などに必要な部分だけを利用するように抽象化や属性化が行われていなかったとされている（漏えい企業の事後の調査報告書より）。
デバイスとシステムへのアクセス制御の弱点が不正を誘う
従業員の意識の問題や情報保護への組織的体制など、他にも幾つかの弱点が指摘されてはいる。とはいえ、早い時点で情報漏えいの経緯を明らかにし、実行者を特定できたのは、ログの取得や保管が行われていたからに違いない。
もし適切にログの監査が行われていれば、顧客からのクレームを待たずに、自社で情報漏えいの事実に気が付けたかもしれない。しかしセキュリティ上の明らかな欠陥は、業務上必要最小限のデータへのアクセスだけができるようなアクセス制御やデータベース運用が行われていなかったことと、外部記憶デバイスへの情報書き出し制限に漏れがあったことだ。この事件の反省に立ち、漏えい企業は組織体制もセキュリティ体制も大きくあらためている。
アクセスランキング
-
1
Microsoftが進めるCopilot再編 「Microsoft Copilot」への移行で、企業への影響は？
-
2
「Gemini Notebook」になって何が変わった？ NotebookLMからの変更点をおさらい
-
3
神戸市、Copilotの弱点を「Dify」でどう解決？ あえて自前でAI環境を構築した理由
-
4
iPhoneが「再起動後だけ」落ちる怪……犯人は40年前のUNIXコード なぜ今も？：897th Lap
-
5
AI導入は6割、でも8割超が「チャット止まり」 業務自動化まで進まない原因は？
-
6
AIを入れても仕事は変わらない？ アビームとNotionが「企業ナレッジ」に注目する理由
-
7
「AIで資料は作れるけど、増えすぎた」を解消するNotebook機能とは？
-
8
AI攻撃は「調べて対応」では間に合わない ゼットスケーラーがSOCをAIエージェント化
-
9
Windows更新後、ローカルサインインも不能に Microsoftが定例外更新で修正
-
10
AIを入れても「最後は人頼み」 自動化の穴を「AI＋人」で埋める新たなBPOサービス
キーマンズネット SNS
@Keymansをフォロー
インフォメーション
注目情報をチェック
キーマンズネットをフォロー