アカウント管理の基礎――セキュリティリスク低減の大原則：セキュリティ・テクノロジー・マップ（8）（1/3 ページ）
企業システムにおけるセキュリティ技術の基礎をおさらいする本連載。第8回では、サイバー攻撃による被害を軽減するために欠かせない「アカウント管理」のポイントを解説します。
本連載も今回で8回目を迎えました。前回は、拠点間接続やリモートアクセスなどの「表口以外」のネットワーク制御の基礎技術について解説しました。今回は実際にシステムを利用するための「アカウント」を、効率的かつ安全に管理するための技術を紹介します。
アクセス制御の基盤――「アカウント管理」
みなさんがお使いのシステムの動作は、誰かが主体となって処理を実行しようとし、それが許可されることで成り立っています。
例えば現実の社会において書面で何かの手続きをするとき、申請書に氏名や届け出内容を記載して提出するでしょう。受け取った担当者は、「本人が実在するか」「本当に本人か」「届け出内容に誤りがないか」といった申請を承認するのに必要な条件を満たしているかを確認の上で、処理を行います。逆に、この手順のどこかで誤りや問題が発見された場合は、申請を差し戻す処理を実行します。
このような制御の仕組みの前提として、申請を受け取る側は実在する本人のリストや本人であることを確認する手段・情報をあらかじめ保持し、維持する必要があります。この役割をシステム管理においては「アカウント管理」と呼びます。
さて、それでは「アカウント管理」の役割を実装すると、どのような機能になるのでしょうか。今回は、アカウントの統合管理と特権アカウントの管理について、実装例を紹介します。
アカウントの統合管理
アカウント管理の実装の1つが「アカウントの統合管理」機能です。
アカウントに対する脅威の1つに、他人がアカウントをのっとる「なりすまし」があります。アカウントのなりすましによる不正利用が行われていた場合、利用中のアカウントであれば本人が気付く可能性がありますが、アカウント停止が漏れていた休職中や退職済みアカウントになりすまされた場合、気付くことができないか、気付くまでに時間がかかってしまうことが予想されます。
また、利用者アカウントの新規作成や、業務に応じた権限付与を行うに当たり、各システムで個別にアカウント情報を管理していると、システムごとに作業を行わなければなりません。
これが異動や昇進による役割の変更、退職といった状況変化のたびに発生するのは、効率の悪化や作業のミス・漏れの温床となる可能性があります
これらの課題を解決するために登場したのが、アカウント情報の管理や認証の処理を1箇所に集約する「アカウントの統合管理」機能です。
「アカウントの統合管理」機能を使い、システムごとに実施していたアカウント管理の大部分を集約することで、管理漏れを防いだり、不正行為に気付いたりしやすくなります。
実際の製品では、MicrosoftのActive Directoryなどのアカウント管理ツールを単独で利用するだけでなく、人事管理の機能などと組み合わせることにより、人と利用システムの組み合わせを把握し、セキュリティ事故発生時の影響範囲の特定を行いやすくするものなどがあります。
また、クラウドコンピューティングにおける認証管理も、多数の仮想マシンの認証情報を取り扱う必要があるため、多くの場合統合管理のサービスが備えられています。
Copyright © ITmedia, Inc. All Rights Reserved.