予想通り、特権ユーザーの不正に対する不安は、内部関係者の脅威に対する不安増大に直結している。スノーデン氏やWikiLeaksの事件によって、組織内の関係者に対する不安が増したという回答は89％に上った。

　多くの企業は、いまだに特権ユーザーの規制に苦慮している。例えば「社内でのユーザー権限割り当てが“場当たり的”だ」という回答は49％を占め、2011年調査の51％と比べて微減にとどまった。「特権ユーザーの審査や承認にはメールやスプレッドシートといった手作業のプロセスが使われている」という回答もほぼ半数に上る。

　この数字は、特権ユーザーの管理やインサイダー脅威の対策に充てる予算不足と関係がありそうだ。88％が「ユーザー権限の管理を成功させるためには豊富な予算が必要だ」と答える一方、30％は「特権ユーザーの監視には経費が掛かり過ぎる」と回答した。

　調査を委託した米防衛技術企業Raytheonのインサイダー脅威戦略担当ディレクター、マイケル・クロース氏は、「たとえユーザーに悪意がないケースであっても、特権ユーザーを監視できなければ会社の重要なデータが危険にさらされる」と指摘する。米カーネギーメロン大学ソフトウェア工学研究所の2013年の報告書によれば、インサイダー脅威の52％は偶発事故に起因していた。

　Ponemonの調査結果は、クロース氏の見方を裏付けているようだ。インサイダー脅威の筆頭として、不満を持ったユーザーによる情報リークを挙げた回答者は全体の約4分の1にとどまった。それよりも、在宅で勤務したり、適切な審査を受けずにアクセス権を与えられたユーザーに対する不安の方が大きかった。

　クロース氏は、「特権ユーザーの監視において、企業がもっと積極的な役割を果たす必要がある」との考えだ。例えばデトロイトの自動車製造工場で、現場監督が組み立てラインの従業員を監督するのと同じだという。

　「デジタル時代でも依然として従業員を監督する必要はある。情報へのアクセス権を持った監視対象の相手は、長年信頼してきた人物かもしれない。だが今この時にも、その情報で愚かなことをしているかもしれず、あるいは年月を経て会社に対する考え方が変わっているかもしれない。そうした従業員を信頼しながら、彼らが自分の役割の範囲内にとどまり、権限を逸脱していないことを確認しなければならない」（クロース氏）

特権ユーザーの管理

　セキュリティ問題ではありがちなことだが、「企業は技術を使ってプロセスのセキュリティホールをふさごうとしている」とクロース氏は言う。例えば回答者の7割強が、認証ツールやID管理ツールを現時点で利用していた。しかしこうしたツールは問題を解決すると同時に、多くの問題を発生させる。

　回答者の3分の2強は、「セキュリティツールでは、社内の人間が不審な挙動を取っているかどうかを判断できるだけのコンテキスト情報が提供されない」と回答。そうしたツールで「多数の誤検知が発生し、事態を一層悪化させた」という回答も56％を占めた。42％は、「ユーザーによるポリシー違反の行動を監視する自社の能力に自信がない」と答えている。

　「適切な技術の選定で悩む前に、ユーザーに割り当てるアクセス権のコントロールを強化するための基本的な対策を導入すべきだ」とクロース氏は提言する。そうした対策の多くは、適切な人材の配置によるプロセスの管理を伴う。

　クロース氏は、まず主要コンタクトとなる権限管理責任者を置き、そこを通じて全アクセス権を管理するよう助言する。Ponemonの調査では約半数が、「部門管理職にユーザーへのアクセス権付与の責任を持たせている」と答えた。IT部門やアプリケーションの所有者が選ばれるケースも多かった。

　権限管理プログラムの責任者選定に当たっては、正しい選択も間違った選択もない。ただ、必要なときにユーザー権が変更されていることを確認するため、別の人物を配置する必要がある。そうした単純なプロセスを導入するだけで、アクセス管理ポリシーの甘さに起因するリスク面の大部分を減らすことができる。最もありがちな、従業員が辞めた場合や配置替えがあった場合にユーザー権が失効されないという問題もこれで対処できる。

　Ponemonの調査では54％が、「職務範囲や責任範囲を逸脱したアクセス権がユーザーに付与されている」と回答した。権限管理制度を確立すれば、アクセス権限の与え方が寛大過ぎるという問題にも対処できるようになる。

　権限管理責任者に任命された人物は、アクセス権の付与や取り消しに際して、他の主な関係者と信頼関係を確立しなければならない。「例えば私が事業部の管理職で、誰かから特定のデータベースへのアクセス権を要求されたとする。その事業部の管理職は、たとえ最終決定権を持っていたとしても、例えばセキュリティ担当者や人事、法務担当者など、他のステークホルダーと連携しなければならない。他のステークホルダーが二重チェックすることなく、ただやみくもにアクセス権を付与すれば、プロセスはそこで崩壊する」。クロース氏はこう指摘する。