情報漏洩対策の大原則、管理者権限のセキュアの管理

情報漏洩対策の大原則、管理者権限のセキュアの管理

2015/11/18掲載

情報漏洩事故の多くは社内システムにおける特権IDの不正使用によるものです。この背景として、一人の作業者が複数の管理業務を兼任しているために、特権IDに多くの権限を与えている(特権IDの使い回し)が挙げられます。そのため、特権IDが漏洩すると不正アクセスのリスクが一気に高まります。

その対策として、特権ID・パスワードの非公開化と申請方式による管理作業によりセキュリティ強化を提案します。そのための専用ツールとして、世界的セキュリティ管理ソフトウェアのBeyondTrustを日本向けにしたブロード社の「パワーセキュリティ」をご紹介いたします。

ポイント1:対象システムの特権IDを作業者に公開しない

◎ 管理作業の体系化:対象システムと作業区分に応じて細分化
属人化している管理作業を標準化して、作業の正当性を担保する

◎ 管理作業を申請方式に変更:作業予定/作業申請/作業承認/作業実績を管理
作業計画に従い作業申請を行い上長の承認の元、実施した作業は全て記録される

◎ 対象システムの「特権ID」を利用者に公開しない
対象サーバへのログインはゲートウェイサーバが代行するのでIDは作業者に公開されない

◎ エージェントレスのため現行システムはそのまま
サーバシステム運用の変更が不要のため短期導入が可能

図1
<図1:対象システムのID/PWDを利用者に公開しない>

ポイント2:さらに、特権IDのパスワードを完全に隠匿

◎ 不正ログインを完全防止:特権IDが漏洩してもパスワードが入手できない
特権IDのパスワードを専用ツール(Password Safe)で厳重管理

◎ ポリシーに従いパスワードの定期変更:初期登録パスワードの放置を防止
専用ツール(Password Safe)により定期更新を自動化

図2
<図2:パスワード管理業務を自動化> 

ポイント3:管理権限による作業を全て記録/レポート作成

◎ 情報漏洩時の不正アクセス調査と管理者の潔白担保
「申請・承認・操作」の一連作業の完全な記録と高速な検索及び突き合わせ

◎ 監査用レポートとして利用可能
作業報告用だけでなくJ-SOX法、システム監査の報告書としてそのまま利用可能

図3
<図3:作業予定と作業実績の突き合わせ>

セキュリティ強化はアイ・アイ・エムにお任せください

業界最高レベルのソリューションを取り揃え、お客様のニーズに合わせた最適なご提案を致します。パスワード管理と情報漏洩対策に課題をお持ちのお客様は、お気軽に弊社営業へお声がけください。