「IAM（IDおよびアクセス管理）」ユーザーの導入事例で分かる活用法と失敗談

IAM（IDおよびアクセス管理）に関する事例の記事を紹介します。IT担当者やITを活用したい企業の担当者向けに製品・サービスの情報把握に役立つ記事をまとめました。

権限に基づいた「アクセス制御」

　重要情報にアクセスできる人を限定する対策について見てみよう。これには情報の機密区分や機密レベル設定、従業員の職掌の明確化、職掌に応じたシステムやネットワークへのログイン権限、データや操作の種類ごとの実行権限の設定といった、組織上、あるいは業務上で非常に難しい問題をクリアする必要があり、困難を伴うが、適所にツールを適用しながら徐々に最適なアクセス制御ができるように持っていきたい。

　職位や職種などに応じ、重要情報にアクセスできる人を限定するのがまず第一歩だ。次に、アクセス権限を必要最小限に絞り込む。重要情報を取り扱う必要がある人だけが、その業務に必要なシステムだけを利用できるようにするわけだ。さらにアクセス権限の付与は期限を区切り、必要以上の長期間に及ばないようにする。

　異動や退社などに伴い、職位や部署・職種は頻繁に変動するので、それに応じてアクセス権も連動する必要があり、特に退職に際しては、即座にアクセス権を停止できるようにしておきたい。情報漏えい事件では退職者による情報不正入手が多いからだ。

　業務委託先へのアクセス権は、必ず契約によって使用目的や使用条件、使用期間、使用手順などを明確にしておく必要がある。またアクセス権は定期的に見直し、不必要なアクセス権限は削除する。特に重要情報を格納している情報システムでは、夜間のアクセス禁止、重要情報の一括ダウンロードは上司にアラートする、というように、時間帯や利用データ量、アクセス数による制限を行うと効果的だ。

対策

　ユーザーIDおよびアクセス権の登録・変更・削除に関する承認手順や設定終了報告などの手続きを定めて運用する。この運用には、Active Directoryなどのディレクトリサービスと連携できるID管理ツールがあるとラクになる。常に変動する職位や部署・職種に即応するのが簡単だ。きめ細かくユーザー属性とアクセス権限を設定・運用するにはアイデンティティー管理ツールがある。ID管理を行うだけでなく、対象とするシステムと連携し、権限に基づいた利用だけができるように設定することが容易になる。

記事一覧

• 

  急に「CAPTHA」が奇妙な質問連発でみんなが困惑　一体、なんで？：759th Lap

  2024年05月24日 07時05分
• 

  企業におけるWebサイトの閲覧規制状況（2015年）

  2018年07月25日 17時32分

システム管理者のアクセス制御

　一方、システム管理者のアクセス制御では、1人の管理者に権限が集中しないようにすることがポイントだ。いわゆる「1人情シス」状態の企業も多いようだが、その体制自身がリスクになっている。複数のスタッフによる相互監視が、それぞれの運用管理業務のかたわらでできる環境が望ましい。

　また、特権ID（OSで言えば、WindowsのAdministrator、UNIXのrootが標準）は運用管理業務には便利なものだが、不正使用されると甚大な影響をもたらすため、その運用には工夫が必要だ。

対策

　管理者の相互監視のために、作業内容や作業日時などが記載された作業報告を作成し、作業報告を別のシステム管理者が確認するようなルールづくりが望まれる（システム管理者が複数いない場合は、他の社員が代替する）。

　特権IDは、そのIDを持つ人が不正を行おうとすれば、情報コピーや削除、改ざん、アクセス権の勝手な付与など、あらゆることができてしまう。そこで、現在では特権IDといえども上記の部門ユーザーのアクセス制御と同様に、詳細な権限設定をして必要以上の操作ができないようにするのが一般化してきている（もちろん複数の管理担当者がいる場合が前提）。

　特権IDはOSだけでなく、ミドルウェアやアプリケーション、ネットワーク機器の場合の運用管理にも使われている。中でもOSの特権IDを不正使用されると、深刻な情報漏えいやデータ破壊などが起きる可能性がある。

　そこでやはり管理者の権限を細分化し、管理者ごとに定められた権限に基づき、DB管理用、オブジェクト管理用、データアクセス用など目的別に、参照・更新・作成・削除といった操作の可否を決めていくことが望ましい。だが、システムを稼働させながらこうしたアクセス制御を設定していくことそのものにリスクが伴い、また労力が大きい。

　そこで、従来通りシステムに向けては全権限が利用できる特権IDを使いながら、データアクセスに関しては管理用のIDを識別させ、そのIDに付与された権限の範囲内で管理操作ができるようにするツールを利用するとよい。

　これはアイデンティティー管理ツールの特権ID管理機能として、あるいは「特権ID管理ツール」という呼び方で提供されている。管理サーバ側で、管理者の権限に基づいて操作の許可や拒否のコントロールをして、許可された操作だけがOSなどに「特権IDでの操作」として伝えられるわけだ。システムの設定などは変更せず、外側から包み込むようにアクセス制御が行えるため、簡単に、システムへの影響を与えずに、セキュリティを強化できる。