本資料の関連資料は下記をクリックして PDF 一覧からお入り下さい IT ライブラリー (pdf 100 冊 ) 目次番号 645 番他 2

Transcription

1 IT ライブラリーより (pdf 100 冊 ) ID の一元管理につきまして 資料 NO.7 一般社団法人情報処理学会正会員腰山信一 ftks7856@ybb.ne.jp 1

2 本資料の関連資料は下記をクリックして PDF 一覧からお入り下さい IT ライブラリー (pdf 100 冊 ) 目次番号 645 番他 2

3 アカウント / アイデンティティ管理における課題 認証 パスワードの管理 自動化 所属ごとの情報 リモートアクセス シングルサインオン 監査 特権 ID 侵入検知 個人情報保護 コンテンツの集約 3

4 アカウント / アイデンティティ管理の課題 Solaris 管理者 Windows 管理者 アカウント管理はシステム単位 基幹システム管理者 Solaris Windows Server 2012 R2 基幹システムの DB アカウント情報の分散 アカウント関連の開発はシステム個別 グループウエアの DB Web アプリケーション Oracle グループウエア管理者 Web 管理者 Oracle 管理者 4

5 アカウントの登録 削除における課題 アカウント情報受信 人事 エンド ユーザー 社員雇用 退職の連絡 社員情報の登録 削除 システム部門へ 担当者不在によるタイムラグ発生 アドレス 電話番号等の情報の登録 削除 多数の でのやりとりが発生 システム ID 取得 各管理者に ID を送信 アカウントの登録 削除 (Exchange 等のメールシステムへ ) 人事へ通達 セキュリティ管理部門への セキュリティ管理部門 アカウントの登録 削除 Directory アカウントの登録 削除 ( ヘルプ デスク ) セキュリティポリシー監査プロセスの欠落 アクウント情報受信 5

6 アカウントデータベースの相互接続性が低く 各々が独立 Windows!?! 基幹システム CRM Web アプリケーション グループウエア 6

7 アカウント登録 削除のあるべき姿 人事 社員雇用 退職の連絡 社員情報の確認 承認 人事システムへの社員情報の登録 削除 アドレス 電話番号等の情報の登録 削除 システム タイムリーなアカウント一括設定 整合性の確保 アカウントの登録 削除 (Exchange 等のメールシステムへ ) アカウントの登録 削除 Directory ログの自動作成 ログの自動作成 セキュリティ管理部門 アカウントの登録 削除 ログの自動作成 7

8 アイデンティティ統合のメリット 1 統合前の問題点 アカウントデータベースの相互接続性が低く 各々が独立 データ管理の冗長性が発生 アカウント情報の管理負荷が年々増加してきている 8

9 アイデンティティ統合化のメリット 2 認証情報の一元化による 管理コスト削減と利用ユーザーの利便性向上 アクセスポリシーの迅速な施行 ( ポリシー管理の迅速化 ) アカウント同期処理の自動化による人的ミスの排除 シングルサインオン ポータルサービスの実現基盤 9

10 シングルサインオン ポータルサービスの実現基盤へ Application Application Application Application Application Application Application 10

11 アカウント統合事例 統合前の主要課題 (1) アカウント情報が散在 システム毎にアカウントを管理しているため 管理者の運用負荷 コストが上昇 セキュリティポリシーの遵守率が低下 複数のアカウント申請プロセスでユーザが混乱 (2) 従業員の勤務実態に合わせたアカウント管理 グループ会社間での異動が多く アカウント / メールアドレスの再発行手続きに時間を要した 契約終了後の派遣社員のアカウントが年 1 回のアカウント情報の棚卸作業まで残ったまま (3) 複数の電話帳情報 複数の電話帳を管理 目的の情報 ( 従業員の所在 内線番号など ) に辿り着くまでに時間を要した 11

12 アイデンティティの導入効果 アカウントの一元管理による管理負荷軽減およびポリシーの一元管理によるセキュリティの向上 アカウント申請の集約化によるユーザー利便性の向上と業務集中による経済性効果 異動に応じたアカウント自動連携の実現 アカウント連携に連動した発行処理のシステム化で手続き時間の短縮 アカウント自動連携により異動 削除のリアルタイム処理 電話帳の一元化による管理コスト削減および検索の簡素化 12

13 なぜ アカウント ID の管理が求められるのか? 内部統制関連 IT インフラの主な欠陥 保護されていない OS 上で会計のアプリケーションやポータルが動作している 会計アプリケーションを支えているデータベースが保護されていない 開発者が実システムにアクセスしている システムにおいて不要な過度のアクセス権がある カウントの付与 削除のプロセスが不完全である G/L( 総勘定元帳 ) アプリケーション内での記帳期間が制限されていない 13

14 プログラムやテーブル インターフェースなどがセキュアでない マニュアルのプロセスが存在しない または文書化されていない システムに関連する文書と実際のプロセスの間に不整合がある 14

15 なぜ アカウント ID の管理が求められるのか? コンプライアンスにおいては例外なく 以下の質問に対する解答が求められます 誰が 何に いつ アクセスしたか? 誰が そのアクセスを認めたか? アクセスを付与し 削除する管理ポリシーは何か? これらのポリシーの適用 実施方法は文書化されているか? 15

16 ID 管理の必要性 コンプライアンス担当 メールシステム 社員 協力会社 アプリケーション ユーザー ID リスト アクセスログ 監査ログ 認可 /ACL(Access Control List) 部門ポータル 分析 社員 製品本部 アプリケーション アクセスログ 監査ログ ユーザー ID リスト 認可 /ACL(Access Control List) 社員 営業本部 製品 DB アプリケーション アクセスログ 監査ログ ユーザー ID リスト 社員 開発部 認可 /ACL(Access Control List) 16

17 ID 情報の管理 アクセスコントロール シングル サインオン ID 連携 ( フェデレーション ) Webアクセスコントロール Webサービスセキュリティ シングル サインオン 企業ポータル DataWarehouse への実現基盤 IDライフサイクル管理 ユーザID 権限ロールの管理 ユーザIDの自動配信 セルフサービス 17

18 ID 管理データベース バーチャル ディレクトリ メタ ディレクトリ ID 情報の物理的な統合が困難なら ID 情報は分散配置したまま 論理的に単一の ID 情報管理サービスを提供してはどうか これを可能にするのがメタディレクトリです ディレクトリ サーバー ディレクトリーサービスとは複数のサーバーに分散する, 利用者 ( ユーザー, グループ ), ファイルへのアクセス権, 周辺機器の使用権利などを, あたかも単一のサーバーで設定するように見せかけること または, そのシステム このシステムが動作するサーバーをディレクトリーサーバーと呼びます 18

19 企業活動全体における ID 管理 外部からのアクセス 内部からのアクセス 顧客 パートナー 社員 派遣社員 IDおよびアクセス管理基盤監査およびアクセス管理レポート認証認可 ID 連携 ID 情報管理 権限の委任管理 セルフサービスによる ID 申請と管理 ユーザーとグループの管理 モニタリングおよび管理ツール 基幹の業務アプリケーション 支援システムおよびデータベース 生産管理販売管理財務管理 UNIX サーバー Window サーバー 19

20 企業活動全体における ID 管理 Ⅱ 監査ポリシー ( 適正にシステムが利用されていることを確認 ) 管理責任者 顧客 入口制御 アプリケーションサービス利用の制御 ID 管理ポリシー ( アカウント ID ロール パスワードの統制 ) 抑制可能かつ 全体を掌握した設定管理および監視 アプリケーションサービス利用の制御 権限管理ポリシー ( 権限委託の規則 ) 正社員 DB パートナー 入口制御 アプリケーションサービス利用の制御 アクセス ポリシー ( リソース アクセスの管理および制御 ) 信頼できる情報利用 基幹のポリシーとの連携 非正社員 DB 社員 入口制御 入退出の制御 生産管理 販売管理 各業務サーバー 20

21 セキュリティ面からの ID 管理 抑止策 不必要な ID を発生させない 不必要な権限を与えない 防御策 確実な利用者の識別 適正な ID と権限に基づいてアクセス範囲を制限 アクセス可能なリソースを限定する アクセス可能なデータを限定する 21

22 検知 / 否認防止策 運用方針に違反する行為を見つけ出す 違反の事前検出 ( ログ分析 ) 違反の事後検出 ( 監査証跡の取得 ) 運用策 定期的に ID や権限の付与状態を確認する ID や権限変更の操作をシステム化する ( 人為的不正の排除 ) 22

23 認証 / 認可システム基盤を整備する意義 統合されていない IT 環境と社会的圧力 運用コスト削減 業務アプリ 投資対効果の説明責任 統合された認証 / 認可システム基盤をベースとした IT 環境 (Microsoft 製品の場合 ) 業務アプリ 業務アプリ 業務アプリ Microsoft Identity Integration Server 2008 統合管理 Active Directory 情報共有サービス 関連システム ユーザー ID 管理 ユーザー ID 管理 セキュリティユーザー ID 管理 クライアント OS クライアント OS クライアント OS 法令順守 ネットワークサービス セキュリティ対策 ネットワークサービス IT インフラの整備により 変化にすばやく対応し スケールメリットを最大限に生かせる効率的でセキュアな業務環境を構築 23

24 内部統制におけるアイデンティティ管理の位置付け 業務処理統制 全般統制のいずれにおいても アイデンティティ管理は重要な位置付けを占めています 財務諸表における主要な記載内容 B/S P/L 資金注記 ビジネスプロセス / 取引のクラス 全般統制 プログラム開発 プログラム変更 オペレーション アクセスコントロール 統制環境 プロセスA プロセスB プロセスC 財務アプリケーション アプリA アプリB アプリC ITインフラストラクチャーサービス データベース オペレーティングシステム ネットワーク 業務処理統制 網羅性 正確性 妥当性 承認 職務の分離 24

25 ID の一元管理 まとめ 25

26 運用費用削減要求の高まり 運用管理費の比率を抑え IT 投資におけるビジネスに直結する IT 投資の割合を増やすことが求められています 新規投資 36% 42% 50% 競争優位獲得のため戦略的な IT 投資 保守運用 64% 58% 50% 業務効率化のための定常的な IT 投資 2005 年 2006 年? ( 日本情報システムユーザー協会の調査結果より ) 運用管理費低減の施策例 1 アカウント統合例 2 オープンソースの導入例 3 サーバー統合 26

27 SLA に基づくシステム運用への期待 サービスレベル向上を実現するために 情報システム部門には継続的な運用効率のアップが必須になってきています ユーザー SLA ( サービスレベル合意書 ) 情報システム部門 SLA に沿った運用に満足度も上昇 アカウント管理サービス 1. 入社当日より全てのシステムが利用可能であること 2. 利用者は 各自でパスワードの変更は行なえること SLA 達成のための弛まぬ業務改善努力 27

28 アカウント管理の課題 ( まとめ ) セキュリティ 生産性 運用コスト ID の共有 未使用 ID 監査 不特定者のアクセス セキュリティ被害時の不透明性 退職社員の ID システム構築委託者 ID アクセス履歴 ID 存在履歴 パスワード管理 パスワード忘れ パスワードメモ パスワードリセット ログイン手段 ばらばらなログイン システム毎にログイン ID 登録遅延 ログインできない いつまでも使えない 28

29 検討すべき課題 統合アカウントと一元管理 投入情報派遣社員のアカウント出向社員のアカウント関連会社のアカウント 製造部門営業部門経理部門 氏名 所属部署など 氏名 所属部署など 統合アカウント 氏名 所属部署など アカウント + 人事連携 アカウント 連携対象のアプリケーション連携対象の OS 連携対象のアカウント 連携対象の RDBMS 各アプリケーション OS のアカウント情報 29

30 運用効率向上の為のセキュリティ管理ポイントの削減 アイデンティティマネジメントソリューションは 認証認可管理情報の統合を行うため セキュリティ管理ポイントを劇的に減少させることが可能 ユーザー 社員派遣社員パートナー顧客 認証 認可 ID ACL アイデンティティ統合 ID ID ID ID ID ID Identity ACL ACL ACL ACL ACL ACL ID/ACL(Access Control List) を統合管理 全システムにおいて ユーザーが 一人の人 として認識 = アイデンティティ 基幹システム CRM Windows Web アプリケーション グループウエア 30

31 アカウント統合 アカウント統合 パスワード同期 パスワードセルフサービス 必要 ID 自動作成 不要 ID 自動削除 認証基盤ディレクトリ ディレクトリ管理者 負荷軽減の結果 本来の業務 Windows Solaris Lotus Notes Web Server Linux 31

32 本資料の関連資料は下記をクリックして PDF 一覧からお入り下さい IT ライブラリー (pdf 100 冊 ) 目次番号 645 番他 32

33