アクセス制御やロボット自体の保護が重要

“危険なRPA”を生まないためにやるべきセキュリティ対策とは？

業務フローの革新を推進するRPA（ロボティックプロセスオートメーション）。そのセキュリティリスクを管理しなければ、実益よりも損害の方が大きくなりかねない。具体的な対策を探る。

公開 2019年10月28日 05時00分

著者

Kevin Tolly

[TechTarget]

印刷する

　RPA（ロボティックプロセスオートメーション）は、ソフトウェアロボットを使って業務プロセスを自動化し、人の介入を排する技術だ。時間のかかる手作業を自動化でき、業務フローの最適化につながる半面、RPAを導入した企業はそのためのセキュリティ対策をする必要がある。結局ソフトウェアは人間が管理しなければいけないため、エンドユーザーに起因する従来の問題に加えて、ロボット特有の問題に関連したリスクにも備えなければならない。適切なセキュリティ対策がなければ、RPAの導入は資産どころか負債にもなりかねない。

併せて読みたいお薦め記事

RPAの課題

RPAで業務効率化をどう実現するか

ロボットも「1人のユーザー」にすぎない

　RPAではロボットが人の代わりになるものの、人は引き続きロボットに介入し、プロセスを管理、運用、参照、変更する必要がある。それを成功させ、安全を保つためには、「誰」が何をするかをセキュリティ管理者が指定できなければならない。人とロボット両方のアクセス制御が重要だ。

　アクセス制御においては、誰が何をできるかに気を配ると同時に、エンドユーザーがどの時間帯や曜日にアクセスするかといった詳細事項も考慮する必要がある。この機能を、一部のベンダーは「役割ベースのアクセス管理」（RBAC：Role-Based Access Control）と呼ぶ。セキュリティ管理者は、利用するRPA製品でパーミッションがどのくらいきめ細かく設定できるか確認しなければならない。きめ細かい設定ができるほど、特定のエンドユーザーが何をできるかに関するセキュリティを強化できる。

　RPAで自動化するアプリケーションにとって、ロボットは単純に「システムを使うための認証が必要な1人のエンドユーザー」にすぎない。そのための認証情報の保管場所や保護方法の確認が不可欠だ。以下のような確認事項がある。

認証情報の保管場所は暗号化されているのかどうか
鍵は誰が持つのか
ロボットの作動中はどこに認証情報が保存されているのか

　ロボットが稼働するシステムのメモリに平文で認証情報を保持する場合、第三者によって盗まれる恐れがある。

ロボットのコピーや改ざんを防ぐ方法

　ロボット自体もアプリケーションであり、業務プロセスの一部を構成する。従ってロボットはそれを使う企業の知的財産でもあるため、ロボットのコードを不正コピーから保護することが重要だ。導入を検討しているRPA製品がコード難読化の仕組みを備えるかどうか確認する必要がある。コード難読化によって、ロボットが稼働するシステムのメモリから、攻撃者がコードをキャプチャーできないようにすることが可能だ。

　キーボードやマウスといった周辺機器を使って入力した情報を基に、ロボットはエンドユーザーの操作をまねてアプリケーションとやりとりする。ロボットが稼働中のシステムに、第三者が物理的にアクセスできる状態を作り出すことは、データやプロセスの改ざんを招く。ロボットが動いている間は物理的なキーボードとマウスの使用を無効にできるオプションを、RPAベンダーが提供しているかどうか確認するとよい。

　「RPAステルスモード」を提供するベンダーもある。これは、ロボットが動いているという事実を、PCを操作するエンドユーザーから隠すことができるモードだ。

包括的なセキュリティとの統合

　ロボットに関するセキュリティは、企業の全般的なセキュリティ体系の一部を構成する。そのため、RPAベンダーが提供するデータを企業全体のセキュリティ対策に組み込むことが重要だ。まず選定したRPA製品が全アクティビティーに関する詳しい監査ログを提供できることを確認する必要がある。ログに記録されるデータについて、どの程度まできめ細かいコントロールが利用できるのかをチェックすることも重要だ。

　認証やユーザー管理の目的でシングルサインオン（SSO）製品を使っている場合、RPA製品のインタフェースからそのSSO製品が利用できることを確認するとよい。

　SIEM（セキュリティ情報イベント管理）製品を使っている企業は、セキュリティ担当者が自社環境の完全な構図を把握できるようなユーザーインタフェースを、RPA製品が提供しているかどうか確認する必要がある。

　RPAセキュリティにはさまざまな側面がある。どの側面を重視するかは組織によって異なる。それぞれの側面について確実に検討し、候補となるRPAベンダーが、自社と自社のセキュリティチームの条件を満たすことを確認しなければならない。

印刷する