テレワーク、クラウドシフト時代に求められる「特権ID管理」
2023.01.06
- セキュリティ・ゼロトラスト
- セキュリティ、BCP対策
COVID-19（新型コロナウィルス）感染拡大を機に、多くの企業がテレワークに移行しました。Afterコロナを見据えた現在も、企業は社外から社内ITシステム環境へリモート接続するための環境整備と各種ツールの導入が進められています。
テレワークが主流となるニューノーマルの働き方では、あらゆる場所からさまざまなデバイスでアクセスされ、クラウドサービスの利用も増加します。そのためリモートで行う業務が情報漏えいや不正アクセスなどのセキュリティインシデントにつながらないために、ゼロトラストなどの新たなセキュリティの仕組みに注目が高まっています。
テレワークの対象には、ITシステム管理者も含まれます。出社を前提としたこれまでの管理の在り方では、今回のようなパンデミックのほか、自然災害などの際にも事業継続性が危うくなります。ニューノーマル時代には、オンプレミスとクラウドなどあらゆるITシステムの運用管理を、リモートで行える環境整備の必要性が高まるでしょう。
ここで注目されるのが、ITシステム管理者が取り扱う高権限の特権ID（アイデンティティー）です。万が一漏えいした場合の影響範囲が広く、深刻なインシデントの要因となりえる特権IDは、これまで以上に適切なアカウント管理の徹底が求められます。
そこで今回は、そもそも特権ID管理とは何か、特権ID管理を実施することでどのような価値をもたらすのかと、テレワーク時代の特権ID管理に求められるポイントを解説します。
＜INDEX＞
特権ID管理とは
「特権ID」とは、強力な権限を持つ管理者向けのアカウントIDのこと。一般的に管理者権限アカウント、スーパーユーザー、ルートユーザーなどとも呼ばれています。サービスを利用するだけの一般IDとは異なり、特権IDはその名の通りITシステムそのものの起動、停止、アプリケーションのインストール、設定変更、削除などの高い権限を持ちます。
日本ネットワークセキュリティ協会発行の「エンタープライズにおける特権ID管理解説書」では「システムの維持・管理のために用意され、起動や停止をはじめとするITシステムに大きな影響を与えることができる権限」と定義されています。OSに対する特権IDと、アプリケーションに対する特権IDに大別され、オンプレミスのITシステムにも、クラウドサービスにも存在します。WindowsのAdministrator、Linuxのroot、AWSのIAMユーザー、Azure ADグローバル管理者などが代表的な例です。
情報システムの運用管理、システムメンテナンスに欠かせない特権IDですが、非常に強い権限であるがゆえにID所有者が悪意をもって使用したり、もしくは悪意を持つ人に奪われてしまうとITシステム改変や機密情報の持ち出し、不正アカウント登録などの不正行為も容易なため、セキュリティ上、非常に大きなリスクとなります。そのため、特に厳重な取り扱いが求められるのです。
特権ID管理の実情と難しさ
特権IDの適切な管理はいくつかのハードルがあり、容易ではありません。大規模かつ複雑化したITシステムではメンテナンスに関わる作業者の人数が多く、外部にアウトソースすることも珍しくありません。本来は管理者個別に、作業内容や範囲に応じた期限付きの特権IDを付与するべきですが、発行・管理の煩雑さから同一のアカウントIDとパスワードを特権IDとして複数人で使いまわされている実態が見受けられます。また、近年ではオンプレミスに加えてクラウドサービスの利用も増え、さらに管理が複雑化しています。社内に情報システムの人的リソースを持てず、リスクが把握されていない企業では特権IDをITシステムの初期名のまま、パスワードも変更なしに使い続けるといったことも珍しくありません。
特権ID管理不備によるリスクとは
特権IDはその権限の強力さから、管理不備によるリスク範囲が非常に広いという特性があります。
多くのITシステムにビルトインで特権IDが作成されているため、IDが既知である点も注意が必要です。例えばWindowsなら「Administrator」、SQL Serverでは「sa」、Oracleの「sys」、Linux/Unixの「root」などは、ご存じの方も多いと思います。
これらを複数の管理者ユーザーで使い回したり、類推可能なパスワードを使い続けたりすると、内部不正や外部からの侵入の要因となります。顧客情報や機密情報が格納されているITシステムでインシデントが発生すると、企業は信用が失墜するだけでなく、法的な責任や損害賠償に問われる事態になりかねません。
特権ID管理不備のリスクとしては、次のような事項が挙げられます。
特権ID管理不備のリスク
リスク①：特権ID利用者の特定が困難
利便性を優先して複数の管理者で特権IDを使いまわしすると、不正操作が発覚しても誰がその操作を行ったのかが特定できません。
リスク②：特権ID利用による作業内容が把握できない
高権限な特権IDは、ITシステムのログに対してもアクセス可能です。そのため不正操作を行った後に操作の痕跡が消されてしまうと、原因の究明がさらに困難になります。
リスク③：不必要な権限操作が可能なことによるリスク
本来はユーザーごとに必要最小限な権限を付与することが望ましいのですが、利便性優先でその特権IDの利用範囲を広げてしまうと、操作ミスによる影響範囲が広くなる、情報漏洩の原因になるだけでなく、正常な操作に見せかけられて不正そのものの発覚が遅れてしまう、情報の改ざんやデータ消去、ITシステム破壊といった危険性も高まります。
特権ID管理ソリューション製品（サービス）とは
こうしたリスクを防止するため、特権ID管理に特化したソリューション製品（サービス）が存在します。
特権ID管理ソリューション製品（サービス）は、
- 特権IDの申請・承認
- 利用データの追跡による不正利用者の特定
- 人員ごとの権限管理の詳細設定
などの機能を持ち、「誰が」「いつ」「どこに」特権IDを使用できるのかを制御し、「何を」操作したのかがわかるログ管理機能が備わっています。
特権ID管理製品を利用することで、次のような効果が得られます。
特権ID管理ソリューション製品（サービス） 利用のメリット
メリット①：サイバー攻撃、内部不正利用などの対策を強化できる
明確な悪意を持った外部からの攻撃だけでなく、従業員や委託作業者による内部の不成功やリスクへの対策として特権ID管理は重要です。モラルやルール任せの運用では、不正行為・人的ミスの排除に限界があります。
メリット②：法令準拠・IT統制が実現できる
内部統制、J-SOX 監査などの統制強化や、FISC 安全対策基準、PCI DSS、EU一般データ保護規則（GDPR）など各種法令ガイドライン対応において、特権IDは適切な管理・運用が求められ、厳しく監査されます。運用上の抜け漏れや不十分な対応を指摘されることも多いため、専用の製品を用いて確実、効率的に管理しましょう。
メリット③：特権ID管理に必要な作業を自動化・省力化できる
特権IDの適切な管理には、大きな運用負荷がかかります。そのことで管理の仕組み自体が形骸化し、不正を助長しかねません。特権ID管理製品を利用することで、人手に頼らず、効率的な運用が実現できます。
テレワーク・クラウドシフト時代の特権ID管理に求められること
テレワーク時代のITシステム管理は、従来の「社内から社内ITシステムを守る」という考え方ではなく、社内のオンプレミス環境のITシステムに加えて近年、活用が進む各種クラウドサービス環境の両方を、自宅や委託先など社外から管理することが求められます。すなわち、「接続環境に依存しない安全なITシステム（の管理者アカウント）管理を、いかにして実現するか」が鍵となります。
テレワークにおける特権ID管理には、以下のような課題ポイントが挙げられます。
テレワークにおける特権ID管理の課題
課題① アドレス制限などアクセス元による限定ができず、ログが点在してしまう
ITシステム管理ではこれまで、使用する端末のIPアドレスを限定して特権IDの利用者を特定することが一般的でした。しかしアクセスが社内とは限らず、在宅や外出先など多岐にわたるテレワークでは、こうしたアクセス元を限定することができず、アクセスログも分散してしまいます。そのため万が一不正が行われたとしても、誰がその操作を行ったのかの特定が困難になります。
課題② 作業申請と承認のワークフローが複雑化する
特権IDを用いた作業時、事前に作業申請、承認するフローを実施している企業は多いでしょう。しかしテレワークでは申請者と承認者が別の場所にいるため紙ベースの申請書が使えず、メールなどに変える必要があります。時間がかかる上に申請数が増えると見落としが発生したり、定期的に集計作業の工数が発生します。さらに厳密に管理するためには申請内容に応じた特権IDのパスワードを貸し出す、利用後には完了報告と共にパスワードを変更するといった作業も必要。これらをメールで実施するのは限界があります。
課題③ 単独での作業を監視することが難しい
特権IDを用いた作業には、複数者によるダブルチェックを原則としているケースも多くみられます。テレワークでは単独の作業となるため、このルールが適用できません。操作ミスや不正行為をどのように防ぐか、ITシステムの障害発生や情報漏えいなど万一の事態の発覚が遅れないためにどう監視するかも、重要な課題です。
まとめると、テレワーク時代の特権ID管理には、以下が求められるということになります。
おわりに
いかがでしょうか。今回はテレワークとクラウドシフトが主流となるニューノーマル時代における特権ID管理の重要性と、管理において求められることを紹介しました。
三菱総研ＤＣＳでは、特権ID管理課題を解決するソリューション「特権アクセスゲート」をご提供しています。
※本ページ中の会社名、商品名は各社の商標、または登録商標です。