クラウド時代の「認証」再考論【最終回】

大事なはずの「特権ID管理」が、なぜ後回しにされ続けるのか？（1/2 ページ）

強大な権限を持つ「特権ID」を管理する重要性を認識しながら、なぜ具体的な取り組みがなかなか進まないのか。現状を打破する解決策はあるのか。

公開 2016年12月26日 09時01分

更新 2017年04月12日 19時47分

著者

渥美淳一

[ネットワンシステムズ]

印刷する連載新着通知を受け取る Googleで優先するソースとして追加

　過去3回の連載では、パスワード認証が抱える問題を整理した上で、それを解決する技術である「フェデレーション」（認証連携）、そのフェデレーションを手軽に実現する「IDaaS」（Identity and Access Management as a Service）について取り上げた。最終回である今回は、情報システム部門が向き合うべき大きな課題であり、扱い方を間違えると大きな問題を引き起こしかねない「特権ID管理」について取り上げる。

併せて読みたいお薦め記事

クラウド時代の「認証」再考論

“パスワードがない世界”が現実に

特権ID管理はなぜ必要か

　特権IDとは、Windowsの「Administrator」やLinuxの「root」などの特権（あらゆる操作が可能な権限）を持ったIDのことである。特権IDでログインすれば、あらゆるデータを見ることや消すことができる。ソフトウェアのインストールやアンインストール、さらにはサービスの起動や停止も思いのままだ。もし特権IDが悪用された場合、個人情報をはじめとする機密情報が流出する可能性は飛躍的に高まる。そのため特権IDは、どんなIDよりも厳重に管理しなければならない。

　だが実際には、特権ID管理を徹底できていない企業がほとんどだろう。それは特権IDを管理する上で、克服すべき以下のような課題がつきまとうからだ。情報システム部門はその多忙さから目の前の業務を優先し、これらの課題解決を「後回し」にしてしまう。

特権IDを使っていつ、誰がアクセスし、何をしたのかを追跡していない
特権IDが無期限で使える状態になっている
特権IDを使う人間に悪意がないとは限らない

　特権IDは「複数の関係者によって共有されるもの」という性質がある。そのため、いつ、誰がその特権IDを使っているのか、特権IDを使って何をしているのかを把握しなければならない。だがこれらを十分に把握できている企業は、それほど多くない。

　中には特権IDの使用期限を設定していない企業もある。情報システム部門が必要に応じて、すぐに特権IDを使用できるようにするためだ。だが特権IDの利用を無期限に許可することは、特権IDの不正利用を招くきっかけになりかねない。

　特権IDを共有している関係者全員が、100％信用できるというケースはまれだ。内部犯行者による情報の盗難および流出を防ぐためにも、特権IDを自由に使わせない努力が必要になる。

　これらの課題をクリアし、情報資産を保護することが特権ID管理の目的だ。

特権IDの課題に対処する「特権ID管理」製品

　特権IDはサーバやネットワーク製品など、あちこちに存在する。以前はそれぞれに対してパスワードを設定して、別々に管理する手法が一般的だった。だがこうした管理手法では、複数の特権IDのパスワードを同じにして使い回したり、サーバやネットワーク製品、そしてその特権ID／パスワードの一覧表を関係者間で共有したりといった、不適切な特権ID管理に発展しやすかった。加えて前述した「いつ、誰が、何をしたかが分からない」という特権ID管理の課題も残る。

　こうした課題を解決するために登場したのが「特権ID管理製品」だ。特権ID管理製品は、作成や変更、削除といった特権IDのライフサイクルを管理したり、特権IDでログインしたエンドユーザーの操作ログを収集したり、特権IDの権限そのものに制限を加えたりする機能を持つ。

　特権ID管理製品のシステム構成は、クライアントPCとサーバとの間に特権ID管理機能を備えたゲートウェイサーバを設置するタイプと、管理対象のシステムに直接インストールするタイプがある。特権IDの権限制限機能を持つ特権ID管理製品は、その仕組み上、インストール型の構成を取ることが一般的だ。ただしそれ以外の機能を持つ特権ID管理製品については、ゲートウェイサーバ型を訴求するベンダーが少なくない。インストール型は、管理対象製品が増えるたびにインストール作業が発生するなど運用負荷が比較的高いからだ。

次ページへ特権ID管理を“踏み台”でセキュアに

印刷する

クラウド時代の「認証」再考論

クラウドサービスを中心とするオンラインサービスの普及やID／パスワード認証の“限界”が、企業の認証システムに見直しを迫る。認証に関する現状の課題を整理し、具体的な解決策を追う。

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

渥美淳一

10年以上にわたりロードバランサ製品、Webアプリケーションファイアウォール製品、DNSセキュリティ製品、認証製品などの提案、評価、検証、技術サポートを実施。現在は認証によるクラウドセキュリティ強化ソリューションの開発にも取り組んでいる。

大事なはずの「特権ID管理」が、なぜ後回しにされ続けるのか？（1/2 ページ）

併せて読みたいお薦め記事

クラウド時代の「認証」再考論

“パスワードがない世界”が現実に

特権ID管理はなぜ必要か

特権IDの課題に対処する「特権ID管理」製品

クラウド時代の「認証」再考論

この記事の著者

関連記事

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

大事なはずの「特権ID管理」が、なぜ後回しにされ続けるのか？（1/2 ページ）

併せて読みたいお薦め記事

クラウド時代の「認証」再考論

“パスワードがない世界”が現実に

特権ID管理はなぜ必要か

特権IDの課題に対処する「特権ID管理」製品

クラウド時代の「認証」再考論

この記事の著者

関連記事

“パスワードがない世界”が目前でも「パスワード使い回し」が大問題になる理由

“パスワード認証の悪夢”から解放する「フェデレーション」の底力

「IDaaS」は“パスワード認証の悪夢”から逃れるための救世主となるか？

「パスワードのない世界」でクラウドを守る――注目されるオープン規格

「パスワードのない世界」が急速に現実化、注目のFIDO Allianceが拡大へ

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓