リスクはエンドポイントにあり

「Windows」のローカル管理者権限をスタッフから剥奪すべき“正当な理由”

従業員のご機嫌を取るという理由だけのためにローカルの管理者権限を付与している企業もある。だが、管理者特権を剥奪することで、多くの問題を防止し、セキュリティは向上する。

公開 2015年08月10日 08時02分

著者

Kevin Beaver

[TechTarget]

印刷する

「Windows 10」ではセキュリティが強化された《クリックで拡大》

　ローカル管理者権限を従業員から剥奪すれば、米Microsoftの「Windows」のセキュリティは間違いなく向上する。だが、従業員が各自のクライアントPCを制御できないようにすることで生じる影響から、多くの管理者は、このアプローチで得られるメリットを享受することに二の足を踏んでいる。

併せて読みたいお薦め記事

Windows10が企業にやってくる

IT資産管理

セキュリティ担当者の苦悩

　従業員がローカル管理者権限を持っていると、各自のクライアントPCに対してどんな操作も行える。任意のアプリケーションをダウンロードしたり、任意のプログラムを利用できる。また、IT管理者がクライアントPCに対して行った設定を無視したり、元に戻すことも可能だ。多くの従業員は、完全な支配権を持っていないがために無力であり疎外されていると感じることを好まない。これは、特に上層部の従業員に多く見られる傾向だ。そのため、IT管理者は従業員に各自のクライアントトップPCの管理者権限を与えている。

　ローカル管理者権限を付与するかどうかの判断は、事実ではなく感情に基づいて行われていることが多い。だが、セキュリティの管理方法を感情で決めるなど、管理者としてあってはならないことだ。

ローカル管理者権限を制限する理由とは

　ローカル管理者権限が従業員に与える力はあまりに大きい。企業が抱える非常に深刻なセキュリティリスクの多くは、エンドポイントにある。そのエンドポイントの制御権を従業員に付与することは、ネットワークをもっと大きなリスクにさらすことにしかならない。

　マルウェアはあらゆる場所に潜んでいる。通常のWeb閲覧やメールのフィッシング攻撃によって、WindowsがインストールされたクライアントPCは絶えずリスクにさらされている。従業員がローカル管理者権限を持っていると、IT部門のセキュリティ基準を無視できるため、リスクはさらに大きくなる。立証済みの単純な脆弱性スキャンを行えば、従業員がローカル管理者権限を持っている会社所有のクライアントPCに適用されていないMicrosoftとサードパーティーの両方のパッチの数を明らかにできる。また、スキャンを行うことで、Windows OSをリスクにさらす可能性がある構成上のさまざまな脆弱性を特定できることもある。

　クライアントPCのローカル管理者権限を従業員に付与していない企業は、ローカル管理者権限を付与している企業よりもセキュリティがしっかりしている。従業員から管理者権限を剥奪すると、最初は面倒なことが起こるかもしれない。だが、IT管理者が問題に対処し、従業員がショックから立ち直れば、クライアントPCの脆弱性は大幅に改善され、従業員に起因する事故やセキュリティ侵害の発生頻度は低くなる。

　一方、従業員に各自のクライアントPCのローカル管理者権限を付与することに賛同できるビジネス上の理由もある。例えば、互換性、問題解決のためのITリソースの不足、政治的な駆け引き、事務手続きなどだ。だが、どの理由も、企業がローカル管理者権限を従業員から剥奪することで得られるセキュリティ上のメリットにはかなわない。

　企業にとって重要なのは、ビジネスにおいて適切なことを行い、付随するリスクを検討することだ。IT部門が事前に十分な計画を立てて、適材適所に人材を配置していれば、不都合な結果を招くことなくローカル管理者権限を制限できる。一部の従業員についてのみローカル管理者権限を無効にしたり、顧客サービスや営業など、よりリスクの高い部門に所属する従業員に制限を掛けたりすることも可能だ。また、システムのアップグレード時にこのような制限を導入すれば、一部の従業員は納得して受け入れやすくなり、移行がスムーズになるだろう。

　IT管理者は、ローカル管理者権限が普遍的な存在になることで企業がリスクにさらされないようにする必要がある。企業がWindowsのセキュリティ問題を抱えている状態を憂慮する一方で従業員に全権を与えたままなどということは、あってはならない。

印刷する