中堅・中小企業（SMB）でのアクセス管理システムの導入ステップは、大企業の場合と同様だ。違う点は、多くのIT分野について言えることだが、SMBの方がリソースが限られており、予算が少ないことだ。しかし、アプローチは基本的に変わらない。

　導入は3つのステップで進める。評価、計画、実装／プロビジョニングだ。

評価

　まず、セキュリティを確保しなければならないものは何か、それらにアクセスする必要があるのは誰かを綿密に検討する。社内ユーザーがアクセスするシステムの完全な棚卸しを行い、それらを構成するハードウェア（デスクトップPC、ワークステーション、サーバ）とソフトウェア（個別のアプリケーション）をリストアップする必要がある。また、ネットワークを使うユーザーのリストも作成する必要がある。このリストには、有効なユーザーの数、氏名、職務を含める。

　次に、適切なリスク分析を行わなければならない。アクセスされるシステムを、不正アクセスのリスクに基づいて分類し、ランク付けしていく。「どのシステムに最も機密性の高いデータが含まれるか」「どのシステムに給与情報や、例えば機密のエンジニアリング計画やマーケティング計画などが含まれるか」「どのシステムに既に公開済みの機密性の低い情報が含まれるか」といった点を押さえる必要がある。電子メールシステムも考慮に入れなければならない。こうした分析によって、どれだけの労力が必要か、アクセス管理の予算をどこに振り向けるべきかが決まってくる。

計画

　ユーザーに関する情報を収集し、導入の前提事項を決定する。

• ユーザーが担当する職務とアクセスする必要があるシステムに基づいて、ユーザーをどのようにグループ分けするかを決定する。ユーザーは複数のグループのメンバーとすることができるが、各グループがアクセスできるシステムは必要なものに限定しなければならない。これは「最低権限の原則」とも呼ばれている。こうしたグループ分けは、Active Directoryを実装する場合には特に重要だ。Active Directoryの実装にあたっては、最初にユーザーのグループと階層について詳細な計画を立てなければならない。
• ユーザーがリモートアクセスを必要とするかどうかを判断する。リモートアクセスが必要なユーザーについては、オフィス外からのアクセスのためにどんなシステムが必要かを決定する。「ネットワークに家からアクセスするのか、あるいは出張先のホテルからアクセスするのか」「どんなデバイスを使ってリモートアクセスを行うのか。ノートPCか、PDAか」といった点を考慮に入れる。
• アクセス管理システムとそのユーザーデータベースをどこにインストールするかを決定する。Active DirectoryとLDAP（Lightweight Directory Access Protocol）のどちらを使用するかにかかわらず、システムはネットワークの中央に配置すべきだ。また、システムは堅牢なサーバに安全にインストールしなければならない。

実装／プロビジョニング

　実装するシステムを選定する。選定にあたっては以下の点を判断しなければならない。

• システムでActive DirectoryとLDAPのどちらを採用すべきか。どちらが現在のネットワークアーキテクチャにより適合するか。
• 一部のシステムへのアクセスに2要素認証（スマートカードやワンタイムパスワードトークン）を採用することはリスクに見合っているか、あるいは過剰装備か。
• どんなタイプのリモートアクセスをセットアップすべきか。従来型のIPSec VPNか、あるいはSSL VPNか。SSL VPNは自社にとって適切か。
• ユーザーが複数のユーザーIDとパスワードを使い分けてさまざまなシステムにアクセスする構成を採用するか、あるいはシングルサインオンを利用するか。
• 選定候補のシステムはビジネスの成長と拡大に応じて拡張できるか。

　最後に、IT部門の誰がIDおよびアクセス管理システムを担当するか、システムをどのように保守するかを決定する。SMBでは、ネットワークスタッフが情報セキュリティ業務とヘルプデスク業務も兼ねるケースが珍しくない。彼らはこうした業務の中で、ユーザーアクセスのセットアップやユーザーIDのプロビジョニングを行っているだろう。これらのスキルは、IDおよびアクセス管理システムの実装と展開を成功させるために不可欠だ。

本稿筆者のジョエル・ドゥービン氏は、CISSP（公認情報システムセキュリティプロフェッショナル）資格を持ち、シカゴに本拠を置く独立系コンピュータセキュリティコンサルタント。Webとアプリケーションのセキュリティを専門とする。セキュリティ分野のMicrosoft MVPを受賞している。アクセス管理システムを導入するコツを含む『The Little Black Book of Computer Security』の著者でもある。

（この記事は2006年3月8日に掲載されたものを翻訳しました。）