特権IDが生み出す３つの危険な状態とは？アクセス管理のあるべき姿はミニマム×ワンタイム×モニタリング

内部不正対策に有効な“打ち手”は機密情報へのアクセス管理

　フィッシング詐欺、マルウェア攻撃、標的型攻撃らが猛威を振るっている。これらは外部からの攻撃で、明らかな悪意を持ち、仕掛けてくる脅威だ。言うまでもなく、確実に防ぐべく対応する必要がある。 　

　しかし脅威は外部からだけではない。外部と同様、内部からの情報漏えいや不正への防御も重要だ。この重要性は意外と盲点となる。経営者のなかには「いや、うちの社員に限って（そんなことはない）」と考える人もいるほどだ。本当にそれでいいだろうか。 　

　大抵のシステムは外部からの攻撃を防ぐべく、機密データへのアクセスは頑丈に保護されている。しかし内部からのアクセスにはそこまで頑丈な保護が施されていない。内部の人間は外部に比べて簡単に機密情報にアクセスできる状態にある。この状態を軽視してはならない。 　

　企業内部のデータにアクセスできるのは今や社員だけとは限らない。システム管理の委託先、開発や運用を担当する協力会社の人間もいる。業務上の役割を超えて「見てはいけない」機密データが見られるような状態にあると情報漏えいにつながるリスクが高まる。悪意がなくてもちょっとした作業ミスから重要なデータの漏えいや削除といった致命的な事態を引き起こす可能性もある。

　「企業の課題はいかに機密情報を守るかです。日々機密情報に間近に接する内部の従業員にこそ、しっかりと対策を講じて事故を未然に防ぐ必要があります」 　

　こう指摘するのはNRIセキュアテクノロジーズのセキュリティコンサルタント 土屋亨氏だ。社員や内輪の人間が信用できるかどうかに関係なく、対策を施す必要がある。 　

　具体的にはどのような対策が有効となるか。土屋氏は「結論から先に申し上げると、内部不正対策に有効な打ち手は機密情報へのアクセス管理です」と強調した。ポイントは3つあるという。

１．一人ひとりのアクセス制限を明確にしてアクセスさせる

　個人の所属や職務に応じて必要十分なアクセス権限を付与する。適切なアクセス制御、不正アクセスが行われていないことを保証する記録も重要。

２．アクセス権限を付与する手続きを明確にする

　アクセス権限の付与は当該アクセス者と職務分離されている必要がある。手続きの記録も残すこと。

３．アクセスログの取得とモニタリングを行う 　

　アクセスした個人を特定できるログを取得する。ログから不正アクセスが行われていないか検証できるようにする。

　アクセス管理でネックとなるのが「特権ID」。土屋氏は「あらゆるシステムが有する特権IDの存在がアクセス管理を必要とする状況を必然的に生み出しています」と指摘する。