権限管理とは
権限管理というのは、あることを行うための権限を誰に与えるかをコントロールすることです。セキュリティを守る上で、権限管理は必須の項目です。
適切な人間に適切な情報にアクセスできる権限を与えるのが正しい権限管理で、適切でない人間に適切でない権限を与えると、企業の存亡にかかわる情報漏洩などの問題を引き起こすことがあります。
権限管理を何のために行うのか、どのように管理するのかについてお話しします。
情報漏洩を防ぐ
権限管理は部屋やキャビネット、情報へのアクセス権限のルールを決め、それを守らせる仕組み作りをすることです。
2007年に日本で有数クラスの企業であるデンソーで、エンジニアが機密情報を持ち出すという情報漏洩事件がありました。ここではエンジニアに担当製品以外の情報のアクセス権限を与えていたために、被害の範囲が全部門に広がってしまいました。
権限管理を厳密に行えば、情報漏洩を防ぐことは可能です。
一般ユーザーと管理者の違い
権限を付与される人間には管理者と一般ユーザーの2種類があります。管理者は権限管理を行う側で、権限管理のルールを設定し、ルールに則って付与、廃却などの運用を行います。
一般ユーザーは管理者からそのユーザーの仕事を行うのに必要な権限を付与され、その権限の範囲内で仕事を行います。
権限管理は管理者の仕事であり、管理者には高いセキュリティ意識と厳密な運用のできる実行力が求められます。
権限管理の強化方法7つ
権限管理を人の手による台帳管理などでやる事には限界があります。権限管理を強化するためには、IDやパスワードを利用してアクセスを制限したり、定期的に監査を行ったり、権限管理のための情報システムを導入することができます。
ここでは、権限管理の強化のための方法をご紹介します。
1：パスワード
権限管理を強化するために一般的に使われている方法は、パスワードの認証によるアクセスのコントロールです。
特定の情報にアクセスするときにパスワードを要求し、そのパスワードが正しい時にだけ情報へアクセスできるようにします。
パスワードは、システムにログインする時に個人を特定するIDと組み合わせることで、ログインした人間がシステムの利用を許可されていることを判断します。
2：ユーザーIDの区別
権限管理は、情報にアクセスする人間のタスクに応じて必要な権限を与え、不要な権限を制限する仕組みです。
アクセスしようとしている人間を特定するために個人に割り当てられるコードがユーザーIDです。
ユーザーIDは個人を特定するためのコードですので、複数人に一つのコードを割り当てたりしてはいけません。一人の人間が複数のタスクに責任がある場合もあるので、その場合は人ひとりに対しアクセス権限が複数になります。
3：ソフトを使った権限管理
数人が対象の権限管理なら手作業による管理も可能ですが、全社数十人から数百人の対象者に対しての権限管理をするのは手作業では不可能です。
アプリケーションの場合は、権限管理ツールが含まれていることが多いですが、セキュリティが不十分だったり、使い勝手がよくないことがあります。
システムの権限管理に特化して、OSやサーバー管理などの特権IDにも対応している、外部の管理システムの導入を考えてもよいでしょう。
4：アクセスログ監視
権限管理の強化のために、情報へアクセスしたログ情報を監視するやり方があります。
保護するべき情報に対して、いつ、誰が、どの情報に対して更新や閲覧を行ったかというログ情報をすべて取得して、確認できるようにする仕組みです。
かなりの工数がかかるので、常に監視するのではなく、定期的に抜き取りチェックをしたり、監査時に確認するために使用するのがよいでしょう。
5：監査や棚卸の実施
権限管理を厳密に運用するためには、付与している権限の定期的な見直しが必要です。
権限管理は、適切な担当者に過剰も不足もない適切な権限を与える仕組みです。人の担当する仕事は変わることがありますので、新しい仕事の権限を付与すると同時に、以前持っていた権限を削除しなければなりません。
本来は仕事が変わった時に権限を見直すべきですが、見落としなどがあって更新されなかった状態を是正するのが監査や棚卸です。
6：特権IDの都度貸し出し
特権IDというのは、OSやサーバー管理などの管理者権限で、システムの持っている情報のすべての閲覧や更新ができる非常に危険な権限を持つIDです。通常、特権IDはシステムの維持を行っている担当者に割り当てられることが多いです。
特権IDを常時割当にするのでなく、システムの維持更新の必要が出るごとにその都度割り当てるようにして、担当者によるシステム改ざんやデータの盗難のリスクを軽減することができます。
7：本人確認の強化
権限管理では本人確認のためにIDとパスワードを使用することが多いですが、そのIDとパスワードが盗まれてしまうとシステム内のあらゆる情報が危機にさらされます。
情報システムで本人確認を強化するために、生体認証やICカードのような認証システムを利用すると、情報システムのセキュリティの強度を格段に上げることができます。
権限管理を強化することのメリット5つ
情報化がどんどん進んでいる現在、権限管理を適切に運用しないと、情報漏洩やシステムの停止などによる大きな社会的損害を顧客や取引先に与えてしまいます。そのためにも、さまざまな方法で権限管理を強化していかなければなりません。
権限管理を強化することによるメリットにはどんなものが挙げられるでしょうか。
1：内部犯行の防止
IPAが公表した情報セキュリティ10大脅威 2019によると、内部不正による情報漏洩が5位になっています。内部による情報漏洩は順位の変動はあれ、ずっと10位以内に入っています。
内部犯行による情報漏洩は、企業が顧客や関係会社に対して加害者になることを意味します。
権限管理は社内のメンバーの情報のアクセス権に対する適切な権限付与が目的ですので、強化すれば内部のメンバーによる犯行を防ぐことができます。
2：外部からの攻撃を防ぐ
情報化が進んで、多くのデータが情報システムで管理されるようになってくると、情報システムが攻撃された際のダメージが大きくなります。外部からの不正アクセスを遮断することは当然ですが、情報システムのセキュリティホールをすべてふさぐのは困難です。
外部から侵入されても、素性が明らかな社内メンバーのみが社内情報にアクセスできるように権限管理でコントロールされていれば、攻撃の影響を減らすことができます。
3：情報漏洩の防止
情報漏洩は社内犯行、社外からの攻撃の両方で起こり得るセキュリティリスクです。
社内の機密情報はもちろん、顧客情報や社員の個人情報が漏洩すると、業務へのダメージはもちろん、情報漏洩を許した加害者としての責任も負うことになります。
権限管理を強化することで、重要情報の管理を厳密にし、漏洩リスクをなくすことができます。
4：職務分掌に応じたアクセス制御が可能
職務分掌を権限管理に織り込むことにより、仕事と権限を関連付け、必要でない部署への過剰な情報公開を抑えることができます。
職務に直接関係のない情報は、重要性を理解していない人間にとっては扱いがいい加減になりがちです。
人事情報は人事部、顧客情報は営業部など職務に応じた権限管理を行うことで、リスクの高い情報を囲い込み、漏洩のリスクを減らすことができます。
5：管理者権限を分割できる
管理者権限は、通常より多くの情報にアクセスできる権限ですが、これを分割することで1人の人間がアクセスすることのできる重要な情報を制限することができます。
分割できる管理者権限は分けて管理するような権限管理を行うことで、漏洩した場合の影響を減らすことができます。
あなたの会社に仕事の生産性をあげる「働き方改革」を起こしませんか？
名刺が多すぎて管理できない…社員が個人で管理していて有効活用ができていない…そんな悩みは「連絡とれるくん」で解決しましょう！まずはこちらからお気軽に資料請求してみてください。
権限管理の注意点3つ
権限管理を行う最大の理由は、情報へのアクセスが適切なアクセス権限を持った人間によって行われることを保証するためです。
権限管理のやり方によっては、適切でない人間が情報にアクセスしているのかどうかを特定できない事態に陥り、セキュリティ上の大きな問題を引き起こすことがあります。
ここでは、権限管理を設定して運用していく上で特に注意しなければならない点についてご説明します。
1：アカウントを複数人で共有する場合
一つのアカウントを複数のメンバーで共有するのは、同じタスクを行っているチームで行いがちな対応ですが、これには大きなリスクがあります。
不正な行為があったり、情報が改ざんされても、誰が行ったかを特定できず、さらなるリスクにつながります。
権限管理の大きな目的は、情報がいつ、誰によってどのように扱われたかを透明性を持って把握することですので、同一アカウントの複数人による共有は避けなければなりません。
2：管理者権限を分割する場合
管理者権限は非常に強い権限ですので、権限管理を行う際に職務に応じて分割することがあります。
管理者権限の分割は、強い権限を分散化するよい対策ですが、企業の中で職務が変更されたときに権限割り当てがきちんと更新されないと、大きな権限が多くの人に割り当てられた状態になります。
管理者権限を分割するのは有効な施策ですが、運用が適切に行われない場合はかえって大きなリスクを引き起こす可能性があります。
3：特権IDを使用する場合
特権IDは、情報システムのほぼすべてを閲覧・更新できる非常に大きな権限です。
この権限は情報システムを運用する部門のメンバーに割り当てられることが多いですが、実際にそのシステムを担当しているメンバーだけに割り当てられるようにしましょう。
特権IDはとても危険な権限ですので常時割当は避け、必要な場合の都度にしかるべき承認ルートを通して権限付与するのが望ましいです。
権限管理を正しく行いセキュリティ強化しよう
権限管理は情報システムのセキュリティ管理の入り口です。必要な人にだけ必要な権限を付与することで、業務を滞りなく、セキュリティのリスクを最小限にして進めることができます。
情報化のさらなる加速が進んでいる現在、情報を有効に活用し、リスクを減らすためにも、権限管理などの対策は不可欠です。
権限管理を適切に設定して、常に最新の状態で運用することにより、情報システムのセキュリティを強化していきましょう。
