業務委託などで管理が複雑化
ベネッセ情報漏えい事件でも焦点 企業が「特権ID管理」に失敗する理由
管理が不十分な特権アカウントを悪用した情報漏えい事件が相次いでいる。顧客情報の漏えいが起きたベネッセホールディングスをはじめ、企業が特権アカウント、特権IDを適切に扱えない理由は何なのか。
多くの企業は、管理者間で共有することも多い特権アカウントの管理がうまくできていない。最近の調査によれば、米国家安全保障局（NSA）の業務に関わっていたエドワード・スノーデン氏による重要情報流出事件が脚光を浴びたにもかかわらず、そうした状況は変わっていない。高い権限を必要とする業務を従業員に安全に任せるためにはどうすればいいのか。
気付かないうちに“スーパーユーザー”
PIM（Privileged Identity Management）ツールでは、セキュリティプロフェッショナルがスーパーユーザーアカウントを監視したり、ターゲットとするプラットフォームのパスワードやIDを変更したりすることができる。組み込まれたパスワードの発見や変更をインタラクティブに行うことや、プログミングで行うことも可能だ。こうしたツールはSIEM（Security Information and Event Management）やID管理システムに統合されていることもある。
「スーパーユーザーアカウントと呼ばれる、全く違うクラスのアカウントが存在する」。権限管理ソリューションベンダー、米Lieberman Softwareのフィリップ・リーバーマン最高経営責任者（CEO）は、2014年2月にサンフランシスコで開催された「2014 RSA Conference」で、米TechTargetのインタビューにこう語った。「rootあるいは管理者と呼ばれることもあるが、これは特権的なアカウントだ。また、一般ユーザーのアカウントが違う属性を持ったり追加の権限を与えられたりして、実質的に疑似スーパーユーザーアカウントになっているケースもある。自分のユーザー名が特定のサービスと関連付けられている可能性もある」
リーバーマン氏によると、多くの組織ではそうした特権アカウント（rootまたは管理者のアカウント）を誰も管理していないという。アプリケーションが特権アカウントを使っているケースもある。その場合、IT部門とセキュリティプロフェッショナルが組織内の全てのマシンとアカウントをリストアップして、それぞれに関連付けられているユーザーとスーパーユーザーおよびサービスアカウントを洗い出す必要がある。
特権アカウントを洗い出したら、IT部門はそのアカウントを管理するプロセスを実装し、そのアカウントがどこで使われているかを把握しなければならない。小規模の組織であれば、これは手作業でできることもある。しかし大企業で、特に仮想化を利用している場合、この作業ははるかに困難だ。買収や合併、または業務委託先に複数のシステムの特権を与えるアウトソーシングも、コントロールや属性が失われる要因になりがちだ。特権アカウントの管理を大規模に行うことは困難な場合もあるが、ツールを使えばプロセスの発見と変更を自動化することも可能だ。
リーバーマン氏は言う。「現在、ほとんどの組織はこうした特権管理を手作業でやろうとしているか、あるいは強制的な一括管理方式を取り、パスワードのスプレッドシートに必要な情報を保存して、それにスクリプトを組み合わせようとしているかのいずれかだが、こうした作業を大規模にやるのは難しい」
セキュリティプロフェッショナルは特権アカウントの管理プロセスを確立した上で、それを徹底させる仕組みを導入する必要がある。
Copyright © ITmedia, Inc. All Rights Reserved.
関連記事
新着ホワイトペーパー PR
-
製品資料
[NTTインテグレーション株式会社] 取引先のセキュリティをどう管理する？ 「SCS評価制度」対応の勘所を解説 -
製品資料
[NTTインテグレーション株式会社] SCS評価制度「★4」取得のカギ 最大の壁を突破する方法とは？ -
製品資料
[NTTインテグレーション株式会社] 2026年度末から運用開始 「SCS評価制度」に備えて製造業がやるべきことは？ -
事例
[ネットワンパートナーズ株式会社, アイビーシー株式会社] ハイブリッド環境の一元管理と快適な無線LAN環境、三井ホームはどう実現した？ -
市場調査・トレンド
[TD SYNNEX株式会社] 調査で学ぶセキュリティ運用の実態 人を増やさず品質を維持する方法とは？
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
1200万円のSaaS導入を回避 スギ薬局「運用費10万円」のAIエージェント構築術
-
2
【漫画付き】ひとり情シス協会が明かす、RAG導入でしくじる企業「2つの共通点」
-
3
「SIEMの利用」に関するアンケート
-
4
OpenAIがコスト半減のGPT-6新モデル投入 Claude猛追とOSS包囲網で激化する価格戦
-
5
【基本情報技術者試験】データを複数ディスクに分散する「RAID」の仕組みと特徴
-
6
AI自動化が進まない理由の1位は「詳しい人がいない」 従業員300人調査
-
7
IT製品の導入に関するアンケート「PC＆デバイス」編
-
8
LINEヤフーはなぜ「社内の管理者」すら信用しないインフラを作ったのか
-
9
「RAGの利用」に関するアンケート
-
10
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
ホワイトペーパーランキング PR
-
1
DX／AI投資の壁を突破、現代の最高財務責任者が直面する課題と克服のヒント
-
2
バックアップは“取っているから大丈夫”なのか？ ランサムウェア時代の備え方
-
3
システムの保守がモダン化を阻む？ 「変えない判断」から脱却する方法とは
-
4
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
5
5分で分かる Microsoft 365のデータ損失に備えるためのバックアップの仕組み
-
6
「NAS」「SAN」「DAS」は何が違う？ いまさら聞けないストレージの基礎
-
7
ネットワーク遅延の原因、「パケットロス」の基礎知識と効果的な解決策
-
8
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
9
ソフトウェア開発の属人化と手戻りをどう防ぐ？ 速さと品質を両立させる方法
-
10
ランサムウェア攻撃“究極の対策”はこれだ
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー