今こそ見直すID管理の効用

ID管理はコンプライアンス対策度の試金石

ID管理はセキュリティやコンプライアンスの観点で対策が必要視されているものの、導入する企業は大企業が中心。そこで多くの企業が得られるID管理の真のメリットを理解するとともに導入ポイントについて解説する。

公開 2009年04月24日 08時00分

更新 2012年09月04日 18時09分

著者

雪嶋貴大

[アイ・ティ・アール]

印刷する

ID管理を取り巻く現状と課題

　アイデンティティー管理（以下、ID管理）とは、情報システムを利用するユーザーのアカウントやそれに含まれる属性情報の管理を示す。ここでいうアカウントとは、一般的にはユーザーIDとそれにひも付くパスワードであり、属性情報とは各アカウントを用いるユーザーの所属組織、職位、担当業務などの情報となる。

　情報システムを利用するユーザーの情報はシステムごとに管理され、ユーザーのアカウントもシステムごとに存在する。情報システムの構築は現在も進み続けており、企業におけるシステムの数は年々増加する傾向にある。システムが増加することで、ユーザー1人当たりのアカウントの数も増加し、複数のパスワードの取り扱いがユーザーの負担となる。また、システムごとのID情報の管理も煩雑化し、IT部門における運用業務の工数が増大する一方だ。

　一方システムのユーザーは、正社員だけでなく、外部からの契約社員や社外の業務委託先など多様な雇用形態から成り立っている。加えて、企業では従業員の配置転換や離職などの組織上の変更が日常茶飯事に発生する。特に昨今の不況ではリストラから大規模な人員整理が実施されるようになっており、組織構成の変化が頻繁かつ大規模となりつつある。

　ユーザーのID情報は適切に維持され必要に応じて変更されるべきものであるが、こうした昨今の状況によりユーザー属性が多様化し、ID情報の変更頻度が高まることで運用業務がさらに煩雑化し、その工数がIT部門に重くのしかかってきている。まして国内では、ID管理を専任で担当する要員が存在することはまれで、他業務と兼任で行っていることが一般的だ。こうした状況では他業務に忙殺されID情報の更新作業が滞ることで、ユーザー側での生産性に影響が及ぶことも危惧（きぐ）される。

ID管理におけるリスク

　もしID情報の管理が行き届かなくなると、以下のようなリスクが生じる。

情報セキュリティリスク
コンプライアンスリスク

　個人情報保護法の施行、セキュリティインシデントに関する日々の報道などもあり、情報セキュリティの重要性は市場において広く認識されているといえるが、現在の状況を見ると情報セキュリティリスクの中でも内部からの情報漏えいに対する懸念が大きくなっていることが考えられる。図1は、アイ・ティ・アール（ITR）がユーザー企業のIT導入に関する意思決定層を主対象として実施した調査の結果だ。「情報資産の自宅への持ち出し」「情報セキュリティに対する従業員の意識が希薄」といった項目に多くの回答が集まっている。

図1●自社の情報セキュリティに関する懸念事項（出典：ITR／Computerworld TR　2008年6月）《クリックで拡大》

　内部からの情報漏えいでは、機密対象となる情報自体の保護を行わないことやUSBポートなど情報を持ち出す経路を遮断しないことが原因となるが、ユーザーのアカウントに対して不必要なアクセス権限を付与していることや不要なアカウントを放置しておくといったID情報の管理不備も大きな原因となり得る（※）。

※　三菱UFJ証券の元システム部社員が148万6651人分の顧客情報を外部に持ち出し、うち約5万人の情報を意図的に漏えいさせた事件（2009年4月8日公表）では、社員の機密データへの参照権限を管理するアクセスコントロールが不十分だった。社員に不必要な権限を与え、IDの不正利用を防止できなかったことが原因の1つとされている。

　加えて、今日では法令順守も無視できないリスク要因となる。日本版SOX法など内部統制の整備や強化が求められる法令が増えているが、こうした法令に対する違反や内部統制監査での是正勧告がそれである。法令違反では罰金などのペナルティーが考えられるほか、監査では是正対応から別途コストが発生する可能性もある。また、結果として社会的な信用を失うことにもつながりかねない。特に、米国では内部統制監査における指摘事項や主要な欠陥として、ID管理に関連する問題が全問題の6、7割に上っているとする調査リポートもあることから、監査への対応は慎重に行うことが望ましいだろう。

ID管理の本当のメリットとは何か

　こうしたリスクへの対策としてID管理を強化していく上では、関連するITツールを導入することも1つの選択肢となる。今日の市場ではベンダーから多様な製品が提供されているが、主流となっているのは、シングルサインオン（SSO）やプロビジョニングを提供する製品。SSOは、ユーザーがシステム単位で有するアカウントを単一のアカウントにひも付け、その単一アカウントにより複数システムへのアクセス（ロギング）を提供する。

日本CA「CA Access Control」のグループ別ユーザーリポート画面《クリックで拡大》

　一方のプロビジョニングは、アカウントの作成や属性情報の登録、属性情報の変更、アカウントの失効ないしは削除といったアカウントのライフサイクル管理とアカウント管理作業のワークフローなどの機能を提供している。なお市場では、プロビジョニング製品をID管理製品と呼ぶことが多い。

主なID管理製品
	日本CA	日本ヒューレット・パッカード	日本アイ・ビー・エム	マイクロソフト	ノベル	サン・マイクロシステムズ
ディレクトリサービス	CA Directory	RHDS（Red Hat Directory Server）	Tivoli Directory Server	Active Directory	Novell eDirectory	Sun Java System Directory Server
プロビジョニング	CA Identity Manager	HP IceWall Identity Manager	Tivoli Identity Manager	Microsoft Identity Lifecycle Manager	Novell Identity Manager	Sun Java System Identity Manager
監査	CA Access Control	HP Compliance Log Warehouse（※）	Tivoli Security Compliance Manager（※）	-	Sentinel（※）	Sun Java System Identity Manager
シングルサインオン	CA SiteMinder SSO／CA Single Sign-On	HP IceWall SSO	Tivoli Access Manager	-	Novell Access Manager Novell SecureLogin	Sun Java Access Manager
フェデレーション	CA SiteMinder Web Access Manager	HP IceWall SSO	Tivoli Federated Identity Manager	-	Novell Access Manager Novell SecureLogin	Sun Java Federation Manager
※：ID管理製品のラインアップとしてだけではなくログ管理製品としても提供されている

　ID管理ツール市場ではこのほかにも、アカウント管理の履歴などを記録しリポーティングするAuditと呼ばれる監査対応機能や、海外法人や取引先などの異なるシステムとの間でIDを連携して管理するフェデレーションというコンポーネントも存在する。また米国では、Role Management／Entitle Managementと呼ばれるコンポーネントも次世代のID管理基盤として注目を浴びている。

日本HP「HP IceWall Identity Manager」のユーザー登録申請画面《クリックで拡大》

ノベル「Novell Identity Manager」のデザインツールを使った連携システムの設定画面《クリックで拡大》

　ID管理ツールの導入メリットには、セキュリティ対策などリスクの低減がまず挙げられるが、「関連業務の工数削減」という点も評価できる。例えば、SSOにおけるセルフサービス機能では、ユーザーが利用するアカウントのパスワードを忘失した際にIT部門に再発行を依頼することなく、自らツール上で再発行の処理を行うことが可能である。またプロビジョニング製品では、従業員の情報を入力すれば、所属部門に対応するシステムへのアクセス権限が付与され、また異動時の権限変更、離職の際のアカウント失効といった一連の作業を自動的に処理できるアカウントのライフサイクル自動化が実現する。

　こうしたパスワード再発行やアカウント情報の運用管理業務を自動化させることで、IT部門ではユーザーの依頼や組織の変更の都度に行っていた管理作業を削減でき、またユーザーにおいてもIT部門での対応を待たずに適宜アカウントを利用することができるのだ。

IT管理実装時のポイントと課題

　こうしたメリットを持つID管理ツールではあるが、製品によって当然特徴が異なる。一般的に製品間の違いとして、以下に挙げたような、ポリシー管理の柔軟性や操作性、ID情報の格納方式がある。この違いを考慮して自社に最適な製品を導入・実装することがポイントとなる。

ID管理製品実装時のポイント

（1）ポリシー管理の柔軟性、操作性：

「スクリプトをコーディングする方式」か「GUIによる視覚的な操作・設定方式」か

（2）ID情報の格納方式：

「ディレクトリ型」か「RDBMS型」か

（3）連携性：

「アダプター型」か「エージェント型」か

　まず（1）のポリシー管理では、実際の組織変更や従業員の異動に合わせて、アカウントのアクセス権限の変更などをルール化し、システム上で設定する。こうした設定機能について、ロジックをコーディングしていく方法とGUIを用いて視覚的に操作する方法とで製品が分かれる。一般に前者は、スクリプトに対する理解とコーディングスキルが必要となるが、柔軟な設定が可能であることが特徴として挙げられる。逆に後者は、ITスキルを問わず設定が簡易であるものの、設定の柔軟性は製品の設計に依存する点に注意が必要となる。

　次に、（2）のID情報の格納方式については、データベース（DB）の方式が製品間の差となる。DB方式は大きくディレクトリ型、RDBMS型の2パターンに分かれ、処理の種類がパフォーマンスに影響するといえる。つまり、前者はID情報をレコード単位で格納するため、参照処理におけるパフォーマンスに優れるが、後者はID情報を複数テーブルに分割して格納することから、特に大量データのバッチ更新には一日の長があると考えられる。

　これらに加えて、（3）の連携性も1つの特徴となる。ID管理システムを利用する際には、各システムが持つディレクトリ機能との連携を行うことになる。この連携方法については、ID管理システムが連携機能（アダプター）を有している場合と、連携対象となるシステムにエージェントアプリケーションを導入する場合とがある。連携対象となるシステムによっては稼働を止められない、アプリケーションの追加導入ができないといった状況も考えられるため、この点には注意が必要だろう。

　ただし、こうした製品間の差異は、市場の成熟化に伴いベンダー間の競争が激化していることから、小さくなってきているともいえる。従来であれば1つの方式のみに対応していた製品でも、製品の機能拡張が進む中でいずれの方式でも選択可能となったり、各方式をハイブリッド型で組み合わせ、長所・短所を補完し合うといった工夫が見受けられる。

　なお、製品導入以前に、自社の状況を整理し、管理業務の手順や方針を固めることを忘れてはならない。国内では、欧米と比べ組織構造の変化が激しいこと、兼任など業務分担が不明確となりがちであることなどが製品導入の障壁となりやすい。組織変更や業務分担は、IT部門の一存で対処できる課題ではないものの、円滑な導入、効率的な運用には「業務の定型化」が極めて重要となる。こうした点を踏まえると、ID管理では、関連業務の整理や関係部門との調整など、製品選定の前に必要となる作業が多岐にわたることが分かるだろう。いざプロジェクトに着手したものの途中で停滞、頓挫するといった最悪の事態を避けるために、事前の業務整備にも製品選定同様に留意することが望ましい。