日立 ID アクセス･サーティファイアー 活用事例
法令遵守の課題
法令準拠要件とセキュリティポリシーの要求は、ますます高まっており、組織は、誰が重要な企業情報や従業員や顧客の個人データににアクセスしたかに関する効果的な制御が行えるように求められています。：
- システムは、適切なユーザーが適切な時間でのみアクセスできるよう制限しなければなりません。
- 組織は、こうした制御が正しく、効果的に行われていることを監査しうる証拠を提供しなければなりません。Sarbanes－Oxleyのセクション４０４では、毎年、マネージメントは、内部統制の効果を査定しなくてはなりません。
- 組織は、重要データへのアクセス権を、現在、どの内部ユーザーが持ち、過去はどうだったかを報告できなければなりません。
こうした要件を満たすのは、チャレンジングです。ユーザーは、各人業務責任が異なり、また、絶えず変化しており、資格を形式的なロールやルールを使いモデル化するのは、難しいからです。
複雑で、異種の資格をモデル化する難しさは、ユーザーに時間経過とともに多くの資格が蓄積されるにも拘わらず、IT部門に対して、古く不要になった権限を無効にするように依頼することはまれであるという実態により、さらに助長されます。さらに難しいのは、ユーザーの責任範囲が変わった後に、旧職のバックアップリソースとして役割を果たす必要がなくなって、本当に旧資格を解除してもよい時期を予め判断するのが困難だからです。
これらの課題は、ある時点で複数システム、複数アプリケーションに渡って、ユーザーが必要となる資格をモデル化するのが難しいこと、さらに、複数システムに対して、長期間に渡って、数千人ものユーザーを対象としたニーズをモデル化するのはほとんど不可能であること、と相まってさらに困難なことであることを意味します。
ソリューション：アクセス保障
アクセス保証とは、業務関係者に定期的に資格の審査を要求し、資格が適切であることを承認するか、削除すべきであるとのフラグを立てる、などの処理を促すためのプロセスです。
アクセス保証にはいくつかのコンポーネントがあります。：
- ディスカバリ：
資格がレビューされる前、システムとアプリケーションから収集されユーザーへのマッピングを行う必要があります。技術的な識別子は、審査者が理解できるように、人が読める記述に置きかえなくてはなりません。資格は常に変更されるため、ディスカバリーは一回のデータロードではなく、定期的に自動化プロセスで行われる必要があります。
- 誰が審査を行うか？
オプションとして次の管理者があります。・・ 所属員をレビューを依頼される管理者、アプリケーションやデータをアクセスするユーザーのリストのレビューを依頼される管理者、または、高リスクの資格のレビューを依頼されるセキュリティ管理者
- 審査をいつ実施するか？
実行頻度は、疑問視される資格のビジネスリスクの有無によって変わります。
- どんな資格が審査されるか？
最も上位のレベルの審査は、従業員ステータスです。--ユーザーはこのシステムへのアクセスがまだ出来ていてよいか？ もう少し粗いのは、ロールのレビュ--ユーザーはこれらのロールを持っていてよいか？ 最も低レベルのものは基本資格のレビュー--ユーザーは、このシステムのログインIDを持っていてよいか、または、このセキュリティグループに属していてよいか？
- どのような資格を審査すべきか？
すべての資格が重大なビジネスリスクを引き起こすわけではありません。例えば、 ソシアルコミッティ・メーリングリストのユーザーメンバーシップなどは、レビューをするに値しません。 各資格によって生じるリスクレベルにより、レビューするか否か、審査するとしたら、どのくらいの頻度で行うかの判断が必要です。
- 却下された資格はどうなるか？
審査者は、不適切な資格について、何か対処するためにフラグを立てます。 IT問題管理システムに問題を提起するか、即座に資格を停止するようにコネクターにトリガーを掛けるか？ 資格を停止する前にさらに追加審査を行うか？
日立 ID アクセス･サーティファイアー によるセキュリティ効果
日立 ID アクセス･サーティファイアー helps organizations to find and eliminate stale user privileges:
- All user objects are subjected to periodic reviews -- by managers and group owners. Orphan and dormant accounts are eliminated.
- All user membership in security groups (also known as roles, profiles, etc.) are periodically scrutinized. Inappropriate rights are deactivated.
- Accountability is introduced by documenting when each login ID and group membership was reviewed and by whom.
- Organizational roll-up allows executives to sign off on statements asserting that all sensitive security rights have been reviewed.
© Hitachi ID Systems, Inc. . All rights reserved.