事例2：実態に合わないアクセス権限

　2つ目は、ある企業が重要情報を含んだシステムの運用を外部委託しており、委託先がその一部運用を再委託している状況下で発生したインシデントだ。大まかな経過は以下の通り（図2）。

1. 委託元でアクセスログを確認
2. 委託元が委託先に調査を依頼したところ、再委託先で重要情報を不正取得していたことが判明
3. 業務委託において、重要情報へのアクセス権限が作業者1人に集中していたことが原因だと判明
4. 委託先と再委託先は直ちにシステム運用体制を見直し
5. 委託元は顧客へ説明と謝罪

図2　実態に合わないアクセス権限の事例（出典：ITサプライチェーンの業務委託におけるセキュリティインシデント及びマネジメントに関する調査報告書を基に一部編集部で加工）《クリックで拡大》

　主な原因は、再委託先に対する重要情報へのアクセス権限管理の不備だ。この例のように再委託先の人員の内部不正によって、情報漏えいのインシデントが発生するケースがある。委託元は内部不正を防止する観点で、情報セキュリティの要求事項の中で、委託先およびその先の人的管理について明示すべきだ。その実施状況を定期的、継続的に確認することも必要になる。

　ID管理の観点では、委託先／再委託先のアカウントとアクセス権を実運用に即した権限にする必要がある。最低限業務に必要な権限に絞り、一部の人に権限が集中しない形に設定し、定期的に見直す。アクセスログは確実に取得し、一定期間保管する。管理対象が多い場合はID管理製品、ログ収集保管管理製品を導入するのも一案だ。

事例3：委託元と委託先で責任分界点の勘違い

　3つ目の事例は、クラウドで社内向けシステムを運営している状況下で発生したインシデントである。委託元は、委託先のクラウド事業者にシステムの運営を委託していた。大まかな経過は以下の通りだ。

1. 委託元では、社内のグループごとに顧客との取引情報を整理しており、顧客との取り決めで取引情報の照会範囲は関係者に限ると規定していた。そのためシステムでは他グループの取引情報を照会不可とすべきだったが、実際には他グループの情報も照会できる状態になっていたことが社内で判明
2. 委託元は「グループごとのアクセス権限は、社内システム運営の委託先であるクラウド事業者が当然付与するはずだ」と判断
3. 委託先のクラウド事業者は「委託元社内のアクセス権限付与は、委託元の責任で実施するはずだ」と判断
4. アクセス権限付与の作業範囲が曖昧だったため、委託元と委託先で認識違いが発生
5. 委託先は委託元に作業範囲を説明
6. 委託元は顧客へ説明と謝罪

図3　責任分界点の勘違い事例（出典：ITサプライチェーンの業務委託におけるセキュリティインシデント及びマネジメントに関する調査報告書を基に一部編集部で加工）《クリックで拡大》

　主な原因は、委託先の運用上の認識違いだ。クラウドによっては、委託元にも一定の知識やスキルを要求するものもある。クラウドの利用に当たっては、委託元でサービスやSLA（サービス品質保証）の内容について十分に確認する必要がある。

　ID管理の側面から解説すると、クラウドの場合、アカウント作成やそのアカウントに付与するアクセス権付与の責任を負うのは、一般的には委託元になっているケースがほとんどだ。このため委託元のオンプレミスのシステムと混在してクラウドを管理する場合は、ID管理システムのプロビジョニング機能やフェデレーション機能（詳細は連載第1回のいまさら聞けない「ID管理」　その役割からライフサイクル管理のポイントまで参照）を最大限に活用し、オンプレミスと同様の運用方法にてクラウドのアクセス権を管理する仕組みにすることで、事故を未然に防止できる。

グローバル展開で重要となるID管理

　これまで国内のITサプライチェーンにおけるID管理の必要性や重要性を解説してきた。実際には国内だけでなくグローバルへとITサプライチェーンは発展している。米国は重要インフラを中心にした特定機能の防御から、ITサプライチェーン全体のリスク管理へとシフトしている。同国は非政府機関の情報システムにおけるCUI（管理対象となるが秘密指定されていない情報）の保護を目的としたサイバーセキュリティ対策の要件として、セキュリティ基準「NIST SP800-171」を策定。NIST SP800-171は、アカウント管理やアクセス権限管理を「管理策」として定義しており、非常に重要な項目として取り扱っている。

　今後は日本も同様に、重要インフラについてはSP800-171相当の管理策を求めるようになる可能性がある。ITサプライチェーンのセキュリティリスクについては優先度を上げて取り組む必要が出てくるだろう。そのときが来ても慌てないよう、この機会に企業のID管理を見直してほしい。