BeyondTrustのマーク・メフレット最高技術責任者（CTO）はこの結果にショックを受けたと話す。セキュリティ専門家は15年も前からユーザーの権限を管理することの重要性を説いており、組織もそれに従っていると確信していたという。ところが今回の調査では、多くの企業がいまだにユーザーの権限を適切に管理できていない実態が判明した。

　「私が実直に信じてきたこととは裏腹に、企業がこれに従っていない実態に目を見張った」とメフレット氏は話す。

　特に同氏が失望したのは、ユーザーには各自の仕事をこなすためのアクセス権のみ与えるべきとする「最小権限の原則」が、広く言及されているにもかかわらず、これほど多くの組織で守られていないことだった。調査ではIT専門職の3分の2が、ある程度本人の職務を逸脱した範囲にまでアクセスできる権利をユーザーに与えている公算が大きいと答えている。

　同氏によると、これは権限を昇格して運用する必要のあるアプリケーションに起因する場合もある。そうした場合、IT部門は一般的に、ノートPCやワークステーションのローカル管理者権限をユーザーに付与する。だがそのマシンはマルウェアに感染しやすくなり、さらに重大なことに、攻撃者が特権を利用して気付かれないまま会社のネットワークに侵入できてしまう恐れもある。

　「Windows」はそのままの状態では、ユーザーに個々のアプリケーションを昇格させた権限で実行するために必要な、きめ細かいコントロール機能が管理者に提供されていないと同氏は指摘する。この問題を認識している組織にとってもこれがネックとなり、ユーザーの生産性に支障を来すことなく問題を解決することができない状況だという。

　アクセス権管理の分野で多くの組織にとって、もう1つ問題になるのは権限の監視だ。メフレット氏が引き合いに出したBeyondTrustのある顧客は、大部分がWindows環境だが、Linuxシステムも数台あり、Active Directory（AD）の境界の外で個々のサーバとして管理していた。この顧客は1人の従業員にこのサーバ用の特権を与えていたが、その従業員が退社してから1年たって、アカウントがまだ生きていることに気付いた。ただ幸いなことに、使われてはいなかった。

　例えば別のドメイン上にあるファイルサーバなど、特定の用途のためにユーザーに付与した「一時的な」アカウントなどの特権を継続的に管理できていない組織が多いとメフレット氏は言う。特に、従業員が退社する際にはそのユーザーに付与した権限をチェックするよう企業に勧めている。ADに関連付けたユーザーのプライマリアカウントを無効にしなければならないという認識は十分にあっても、そうした一時的なアカウントは忘れてしまいがちだ。一時的なアカウント、特にAD外にあるアカウントは大抵の場合、パスワードポリシーの徹底が欠如していて知識のある攻撃者なら簡単に破ることができてしまうため、特に格好の標的にされる。

　メフレット氏はBeyondTrustの調査をきっかけに、最小限の権限の原則が頻繁に論じられているにもかかわらず、あまりに多くのユーザーが過剰なアクセス権を付与され、攻撃者のための無用なチャンスが作り出されている実態について、企業のセキュリティ専門職に認識を高めてもらいたい考えだ。

　「ユーザーの重要性、そしてユーザーに何にアクセスさせ、どの程度のアクセス権を与え、管理者権限を与えないことの重要性について、セキュリティ担当者はいつも繰り返し説いてきた。われわれが皆そう言っているのに、多くの場合、それが実行されていないという断絶は確かに存在する」とメフレット氏は話している。