ロール管理のプロセス

　社内のロール管理は、慎重に策定・実施しなければならない。筆者は、以下の4段階プロセスを提案する。

1. 調査

1. 既存のITプラットフォームにおける権限を分析する。既存のアクセス権の質を特定し、数値化する
2. ロールを定義する。これは、全員のアカウントを割り当てるのに次いで2番目に困難なタスクである
3. すべての部門長と会い、あらゆる職務のロールを定義する。同じロールであっても、部署によってその定義が異なることに気付くだろう
4. ロールベースのアクセスをサポートしないアプリケーションを探し出す
5. 起こりうる混乱を予測する
6. 潜在的なコンプライアンス違反を探し出す

2. 計画

1. ロール管理の準備をする。各種のロール管理やIAM（Identity and Access Management）ソリューションの計画・評価を行う
2. 緊急性とデータの機密性に基づいてシステムとプロジェクトタスクの優先順位を決める
3. 個々のプラットフォーム上での権限の審査・整理を行い、その構造を簡素化する
4. ロールとビジネスプロセスルールとのバランスを図る（職務の分割など）

3. 導入

1. ビジネスプロセス指向でロールベースのプロビジョニングポリシーを策定・導入する
2. プロビジョニングシステムに導入する最初のビジネスロールセットを作成する

4. 監査

1. プロビジョニングポリシーの監査を定期的に実施する
2. 業務の変化に合わせてロール定義の修正・最適化・適合化を行う
3. 業務マネジャーとともにロール権限の更新を審査する
4. 権限のテストを自動化する
5. コンプライアンスを確認する

　各ビジネスプロセスとそれに関連したロールを評価する期間として、それぞれ2～3カ月見込んでおくこと。既存のアプリケーション、システム用のコネクタを作成するのに、さらに1カ月ほど必要になるだろう。データリポジトリとそれにアクセスする必要があるロールを関連付けるのに6カ月かかったという企業もある。これは退屈な作業のように思えるかもしれないが、この調査はプロジェクトの成功に不可欠なのだ。「計画を立てないことは、失敗を計画することと同じである」という格言は、まさにロール管理プロジェクトに当てはまる。

　ロール管理プロジェクトでは、技術が障害になる可能性は低い。むしろ障害になるのは、企業のビジネスプロセスの方だ。とはいえ、ロール管理製品はまだ複雑で使いにくい。市場は未熟で、ベンダー各社も自社自身のビジネスプロセスを改良しているような段階だ。

　ロール管理製品を導入する取り組みは、コンプライアンス指針に対応する上で不可欠である。それゆえ、コンプライアンス指針に対応するための作業は、ビジネス効率の改善にもつながるのである。

結論

　この種のプロジェクトでは一般に、ロールの作成は時間のかかるプロセスとなる。しかし、この作業を自動化するのに役立つツールも出回っている。ロール管理プロジェクトを成功させるポイントは、慎重に作業を進めること、常に業務部門と話し合うこと、プロジェクトの目的と成功の条件をエンドユーザーと経営陣に伝えること、そして技術だけでなくビジネスプロセスにもフォーカスすることである。このプロジェクトが従業員の仕事のやり方を変えるものであることを決して忘れてはならない。プロジェクトの目標を従業員に示し、彼らの期待に応えなければならないのである。

本稿筆者のトム・バウアーズ氏は、CISSP（公認情報システムセキュリティプロフェッショナル）、PMP（プロジェクトマネジメントプロフェッショナル）、Certified Ethical Hacker（公認倫理的ハッカー）の資格を持ち、データ漏えい防止、グローバル企業の情報セキュリティアーキテクチャおよび倫理的ハッキングなどの分野で有名な専門家である。バウアーズ氏は、独立系シンクタンクで業界アナリストグループであるSecurity Constructsの業務執行ディレクターという肩書も持つ。同氏の専門分野は、ビジネスニーズとセキュリティアーキテクチャの連携、リスク評価、グローバル規模のプロジェクト管理など。