SHOEISHA iD

※旧SEメンバーシップ会員の方は、同じ登録情報(メールアドレス&パスワード)でログインいただけます

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

直近開催のイベントはこちら!

EnterpriseZine Day 2022

2022年6月28日(火)13:10

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けの講座「EnterpriseZine Academy」や、すべてのITパーソンに向けた「新エバンジェリスト養成講座」などの講座を企画しています。EnterpriseZine編集部ならではの切り口・企画・講師セレクトで、明日を担うIT人材の育成をミッションに展開しております。

お申し込み受付中!

ITマネージャーのためのWebセキュリティ入門

本当にあの人のID権限は適切ですか?ID発行・変更時の取り扱いポイント


 本連載では、企業でWEBサイトの開発・運用しているIT部門の皆さん向けにWEBセキュリティの基礎知識やしくみ、脅威と対策、注意点や見落としがちなポイントについて解説します。前回の第1回目では、構成管理のポイントについてお話しました。今回は、システムを運用する際に必ず押さえておきたい「IDの取り扱いポイント」についてご紹介します。

本当に権限は適切ですか?ID発行時の確認事項

 4月はIDの発行、変更が発生する月です。新しく入社された方のID発行、部署異動に伴う変更などの対応をされたシステム管理部門の方も多いと思います。

 IDは情報システムを利用する方を識別し、正しい利用者なのか(PWなどを用いて)認証し、必要な情報へアクセスするための制御を行うために必要です。そのため、IDを発行・更新する際には、情報システムを利用する人がどのような業務を行うのか、その業務を行うために必要最小限の情報だけにアクセスできるよう適切な権限を設定しましょう。

 例えば、ECサイトを運営している会社であれば、利用規約、個人情報保護の方針などに同意していただいたうえで、商品を購入した人の情報(名前、住所、電話番号、性別、年齢、職業、購入履歴など)を取得していると思います。

 ECサイトでは、この取得した顧客情報をもとに様々な業務(商品の配送、お客様サポート、メールマガジンの送付、キャンペーン企画、商品企画など)を行います。同じ会社でも、業務内容に応じて取得した顧客情報の使い方が変わります。例えば、商品を配送する方と、商品企画をする方が同じ情報にアクセスする必要があるのか、それぞれの業務内容から考える必要があります。

 商品を配送する業務では、購入した人の名前、住所、電話番号などが分からないと商品を発送することができません。

 ところが、商品企画をする業務では名前、住所、電話番号は必要なく、年齢や性別ごとに売れている商品の情報があれば新しい商品の企画をすることができるかもしれません。

 知る必要のない情報にアクセスできてしまうと、情報の漏えいのルートになるリスクがあります。そのため、全ての方を全ての情報にアクセスさせるのではなく、業務を行うために知る必要がある情報のみにアクセスさせる権限を設定する必要があります。

 また、IDの発行申請を受ける際には、申請された権限が適切なのか確認する必要があります。そのため、本人の申請だけで発行するのではなく、上司の方などが承認するフローを用意し、申請された権限が業務上必要なのか確認できるようにしておきましょう。

▲図1:情報に対するアクセス制御のイメージ

次のページ
不要IDは削除、異動者のIDは権限の見直しを!

この記事は参考になりましたか?

  • Facebook
  • Twitter
  • Pocket
  • note
ITマネージャーのためのWebセキュリティ入門連載記事一覧

もっと読む

この記事の著者

川島 拓哉(カワシマタクヤ)

※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です

この記事は参考になりましたか?

この記事をシェア

EnterpriseZine(エンタープライズジン)
https://enterprisezine.jp/article/detail/6769 2015/08/24 15:24

Job Board

PR

おすすめ

アクセスランキング

アクセスランキング

イベント

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

2022年6月28日(火)13:10

新規会員登録無料のご案内

  • ・全ての過去記事が閲覧できます
  • ・会員限定メルマガを受信できます

メールバックナンバー

アクセスランキング

アクセスランキング