“手”で管理するか、ソリューションで管理するか？
特権IDの管理方法には、主に“手運用”と“ソリューション活用”の2つが存在する。手運用の場合は、Excelなどのソフトを使用し、特権IDを手動で管理するため、ソリューションの導入や維持にかかる費用は発生しない。一方、特権ID管理ソリューションなら、抜け漏れの防止や、運用工数の削減、特権ID悪用のハードルを上げるなどのメリットがある。
一般的な手運用管理のイメージは、まず作業者が作業の申請書を提出し、管理者が内容をチェックして共有の特権IDを貸し出す。そして、貸し出された共有の特権IDを使用して作業を行い、作業終了後には、再アクセスを防止するために管理者がパスワードを更新するといった具合だ。加えて、定期的に監査者がログを確認することになる。
ただし、鈴木氏は「この方法でも一定水準の対応は可能だが、実際には多くのセキュリティリスクや課題が潜んでいる」と指摘する。
鈴木悠太氏
まず問題となるのが、担当者の作業負荷だ。作業の申請や特権IDの貸出はもちろんのこと、ログの確認にも多くの作業を要する。作業申請が紐づいていなかったり、ログの判断材料が少なかったりする事態が日常的に発生するからだ。ほかにも、共有IDでのアクセスは利用者の特定を困難にするほか、悪意あるユーザーによる漏えいや使い回しのリスクを高めることになる。パスワードの更新も、手動更新では運用負荷が高いだけでなく、変更漏れのリスクが付きまとう。
「特権ID管理ソリューションを利用する場合、こうした課題は解決できる」と鈴木氏。作業申請・承認は、ワークフロー機能の活用で効率化でき、共有IDでのアクセスも、認証機能を用いて利用者を特定できるようになる。悪意のあるユーザーによるアクセスも、迂回アクセスの検知やパスワードの秘匿化で対抗できる。
パスワードも自動更新が可能だ。ログの確認も作業申請が紐づくため、一箇所で確認でき、各種レポート機能や検索機能で効率化される。ほかにも、2要素認証による認証強化や、キーワードによる不正操作検知なども可能だ。
また、証跡管理として動画やテキスト形式による操作ログの取得が可能であり、ログの改ざん検知や暗号化機能も備わっている。利便性の面では、緊急時の事後承認アクセスや、定期的な作業に対する定期利用申請の機能なども魅力的だろう。
加えて、承認者のグルーピングによって効率的な承認ができるようになり、外部製品と連携することでワークフローを統合することも可能だ。棚卸機能で、IDの棚卸も効率化できる。
「実際、特権ID管理ソリューションを利用して工数を大幅に削減できたという話はよく耳にします。弊社の顧客にも、約78％の運用工数を削減できたという事例があります」（鈴木氏）
