Windowsの「administrator」、UNIX系の「root」など、ハイレベルな権限を持つIDが「特権ID」だ。各種設定項目の変更、データへのアクセス、ユーザー領域の管理…一般には“何でもできてしまう”IDは、システム管理上は必要かつ便利な存在だが、常に危険と背中合わせの状態にある。
万一、特権IDが第三者に奪取されようものなら当該システムは“丸腰”となり、いかなる悪用も覚悟せざるを得ない。昨今の標的型攻撃も、最終的には特権IDとパスワードを盗んで悪さを企てるケースが大半だ。セキュリティ対策もさることながら、内部統制の観点でも特権IDの管理が欠かせないのは周知の通りである。
複雑なパスワードを定期的に変更（あるいは期間限定で付与）するなどの方法で運用している例は少なくないが、それを人手で漏れなくやっていくのは並大抵ではない。何しろ社内には多くのサーバーがあるし、他にもデータベースやルーター/スイッチの類、あるいはアプリケーションのレベルでも特権IDが存在することがあり、その数は意外なほど多いのだ。
日頃の手間をできるだけ省くために、特権ID/パスワードを長期間にわたって共用したり、それほど重要性を感じない対象についてはメーカー出荷時のデフォルト設定を使い続けたり…。何かと多忙なIT部門の事情を鑑みると“致し方ない”と考える向きもあるが、それはやはり御法度である。巧妙化するサイバー攻撃への備え、そして社会の公器としての法令順守。この時代にビジネスを手がける企業にとって、特権IDの厳格な管理は不可欠な条件であることを今一度念頭に置かなければならない。
システム管理とID管理を明確に分けること、認められた人が必要最小限の権限を所定期間に行使すること─。これらが基本的な考え方になるだろう。マニュアルでの運用もできなくはないだろうが、人に依存するといつしか形骸化してしまうリスクが伴う。ここはやはり専用の特権ID管理ソリューションを活用するのが賢明だろう。
代表的な製品の1つに位置付けられるのが、ディアイティが販売する「PIM Enterprise Suite」（開発：米CyberArk Software）だ。管理対象のサーバーや各種機器類、アプリケーションやミドルウェア、さらにスクリプト/パラメータなどにハードコーディングされたものまでも含めて、特権IDをエージェントレスで一元管理できるのが特徴だ。特権IDのライフサイクル管理、行使状況のモニタリングと記録、申請・承認機能など、多彩な機能 を取りそろえたスィート製品である。
IT統制、情報保護、監査…。様々な観点において、企業ポリシーに沿って特権IDを管理することは、どの企業にとっても喫緊の課題。その効率的な具現化を図るPIM Enterprise Suiteについては、リンク先に詳細の資料が用意されている。是非ダウンロードして、最新機能を確認・理解することを強くお勧めする。
