業務委託などで管理が複雑化

ベネッセ情報漏えい事件でも焦点　企業が「特権ID管理」に失敗する理由

管理が不十分な特権アカウントを悪用した情報漏えい事件が相次いでいる。顧客情報の漏えいが起きたベネッセホールディングスをはじめ、企業が特権アカウント、特権IDを適切に扱えない理由は何なのか。

公開 2014年08月08日 16時03分

[TechTarget]

印刷する

　多くの企業は、管理者間で共有することも多い特権アカウントの管理がうまくできていない。最近の調査によれば、米国家安全保障局（NSA）の業務に関わっていたエドワード・スノーデン氏による重要情報流出事件が脚光を浴びたにもかかわらず、そうした状況は変わっていない。高い権限を必要とする業務を従業員に安全に任せるためにはどうすればいいのか。

気付かないうちに“スーパーユーザー”

　PIM（Privileged Identity Management）ツールでは、セキュリティプロフェッショナルがスーパーユーザーアカウントを監視したり、ターゲットとするプラットフォームのパスワードやIDを変更したりすることができる。組み込まれたパスワードの発見や変更をインタラクティブに行うことや、プログミングで行うことも可能だ。こうしたツールはSIEM（Security Information and Event Management）やID管理システムに統合されていることもある。

　「スーパーユーザーアカウントと呼ばれる、全く違うクラスのアカウントが存在する」。権限管理ソリューションベンダー、米Lieberman Softwareのフィリップ・リーバーマン最高経営責任者（CEO）は、2014年2月にサンフランシスコで開催された「2014 RSA Conference」で、米TechTargetのインタビューにこう語った。「rootあるいは管理者と呼ばれることもあるが、これは特権的なアカウントだ。また、一般ユーザーのアカウントが違う属性を持ったり追加の権限を与えられたりして、実質的に疑似スーパーユーザーアカウントになっているケースもある。自分のユーザー名が特定のサービスと関連付けられている可能性もある」

　リーバーマン氏によると、多くの組織ではそうした特権アカウント（rootまたは管理者のアカウント）を誰も管理していないという。アプリケーションが特権アカウントを使っているケースもある。その場合、IT部門とセキュリティプロフェッショナルが組織内の全てのマシンとアカウントをリストアップして、それぞれに関連付けられているユーザーとスーパーユーザーおよびサービスアカウントを洗い出す必要がある。

　特権アカウントを洗い出したら、IT部門はそのアカウントを管理するプロセスを実装し、そのアカウントがどこで使われているかを把握しなければならない。小規模の組織であれば、これは手作業でできることもある。しかし大企業で、特に仮想化を利用している場合、この作業ははるかに困難だ。買収や合併、または業務委託先に複数のシステムの特権を与えるアウトソーシングも、コントロールや属性が失われる要因になりがちだ。特権アカウントの管理を大規模に行うことは困難な場合もあるが、ツールを使えばプロセスの発見と変更を自動化することも可能だ。

　リーバーマン氏は言う。「現在、ほとんどの組織はこうした特権管理を手作業でやろうとしているか、あるいは強制的な一括管理方式を取り、パスワードのスプレッドシートに必要な情報を保存して、それにスクリプトを組み合わせようとしているかのいずれかだが、こうした作業を大規模にやるのは難しい」

　セキュリティプロフェッショナルは特権アカウントの管理プロセスを確立した上で、それを徹底させる仕組みを導入する必要がある。

印刷する