スノーデン氏の暴露事件を踏まえて、英国の権限管理ベンダーAvectoは、どの程度の組織が権限管理に対策を講じているかを調査することにした。Avectoは、米McAfee主催のセキュリティイベント「FOCUS 13」において、348人のセキュリティプロフェッショナルに「スノーデン氏のニュースがきっかけとなり、社内で管理者権限の与え方を見直したかどうか」を尋ねた。回答者の52％が権限管理ポリシーを見直したとしているが、調査に協力した回答者のうち27％は、このNSAの事件後も権限管理に関するポリシーを変更していないと回答している。

　さらに問題なのは、回答者の半数が「サーバ管理者が少なくとも中程度のセキュリティリスクをもたらしている」と認識しながらも、回答者の80％は「管理者権限を使っているサーバ管理者が何人いるのかを把握していない」ことだ。

　Avectoの共同創設者、ポール・ケニヨン氏は「スノーデン氏の暴露事件を契機に権限管理ポリシーの見直しが盛んに論じられるようになったが、この調査結果には驚いている」と話す。

　「実際、権限管理が大きな問題であることは認識していた。ただ、必ずしも認識できていなかったことは、企業もこれが問題であると認めてはいても、現時点では本格的に対策を取る覚悟ができていないことだ」

　ケニヨン氏によると、管理者権限の問題のそもそもの原因が何なのかを知るのは難しいことではないという。つまり、アプリケーションのインストールや実行にはローカル管理者権限が必要になるし、管理者権限でなければ変更できない設定も多数あるためだ。スコープクリープ（プロジェクトが進行するにつれてスコープが管理されずに少しずつ肥大化すること）の問題は、特に規模の大きい組織で深刻だ。特定のプロジェクトに必要なローカル管理者権限をユーザーに与えたら最後、そのまま取り消されず放置されることが多いためだ。

　ケニヨン氏によると「最小権限の原則」という考え方は、少なくとも米国防省がコンピュータセキュリティに対する策を取り始めた1977年には誕生していた。しかし、この考え方が、多くの企業で本格的に根付いてきたのはここ数年のことだという。間もなくサポート終了となる「Windows XP」から「Windows 7」への緩やかな移行は、実は、権限管理ポリシーを見直す絶好の機会だとケニヨン氏は指摘する。ただし、残念ながら、管理者権限を制限しようとすると、多くの企業は今もなお同じ基本的な問題に突き当たる。

Windows XPからの移行は、権限管理ポリシーを見直す絶好の機会

　ケニヨン氏によると、対策に前向きな組織は、すぐにでも管理者権限に関して“大なた”を振るいかねないが、その後の混乱は避けられないという。まず、特定のアプリケーションや設定が無効になった理由を尋ねる電話がヘルプデスクに洪水のように押し寄せるだろう。だが、もっと厄介なのは、業務の一環で特定のアプリケーションを必要とする多くのユーザーがそのアプリケーションを使えなくなり、管理者権限が再び与えられるまで右往左往することだ。

　「ユーザーには管理者権限がなければ実行できない操作が多数あり、セキュリティ担当者はケースバイケースで権限を管理しなければならないだろう。特定のユーザーに管理者権限が付与されている理由を、短時間に手間を掛けずに把握できる方法はない。管理者権限を持っているユーザーはそれなりに特定できるが、管理者権限が付与されている理由が分かるとは限らない。この問題の方が深刻だ」（ケニヨン氏）

　同氏によると、よりきめ細かい権限管理を実現する製品やサービスが存在するという。例えば、多くの企業では一様に管理者権限を付与しているが、アプリケーションごとに管理者権限をユーザーに付与できる製品がある。企業の多くはそのような製品やサービスが存在することを知らないか、知ったとしても、コンプライアンス規制による必要に迫られない限り、権限管理に予算を立てることはしない。

　何よりも、権限管理に対するこのような姿勢を改める必要があると、ケニヨン氏は指摘する。

　「企業は、管理者権限の管理が自社を最大限保護するために必要なセキュリティの多重防御の一環であることを認識する必要がある。権限は管理する必要がある。ユーザーには必要な権限を与えなければならない。少な過ぎても、多過ぎても駄目だ」