Slide 1

Size: px

Start display at page:

Download "Slide 1"

せとかかむら
4 years ago
Views:

1 Oracle Direct Seminar <Insert Picture Here> 今年も監査で指摘された! どうする ID 特権ユーザー管理日本オラクル株式会社 Fusion Middleware 事業部統括本部

2 アジェンダ特権ユーザー管理が求められる背景特権ユーザー管理の課題とアプローチオラクルが提供するソリューション Oracle Identity Manager Oracle Identity Manager の特長まとめ Appendix 付録無償技術サービス Oracle Direct Concierge Oracle Database バージョンアップ支援 Oracle 構成相談 (Sizing) サービスパフォーマンスクリニックサービス SQL Server からの移行アセスメント DB2 からの移行支援サービス Sybase からの移行支援サービス MySQL からの移行相談サービス PostgreSQL からの移行相談サービス Access からの移行アセスメント Oracle Developer/2000 Web アップグレード相談仮想化アセスメントサービスビジネスインテリジェンスエンタープライズエディションアセスメントサービス簡易業務診断サービス 2

3 1. 特権ユーザー管理が求められる背景 3

4 情報システム開発運用への要請企業内での要請情報セキュリティの強化個人情報漏洩事件次々と起こる情報漏洩事件の多くは内部者による犯行! 知的財産の流出情報システムサービスの継続人的ミスによるシステム障害事故障害発生時の原因究明と対策が必要事故障害の最小限化と発生時の迅速な復旧社会的要請コンプライアンス対応 CSR 金融商品取引法 (J-SOX) 個人情報保護法新会社法 etc ( 今後 )IFRS 4

5 増え続ける情報漏洩事故 1 情報漏洩事故は年々増加傾向にある 2 情報漏洩事故の8 割は内部からの漏洩 3 内部からの漏洩の多くは人為的原因 4 機密情報人事情報の漏洩はビジネス存続の危機へとつながる出典 : 2007 年情報セキュリティインシデントに関する調査報告書 NPO 日本ネットワークセキュリティ安全協会 5

プログラム変更を適切な権限を持つ運用管理者に限定障害発生時の迅速な分析と対策運用 40% 保守 31% 障害発生の原因となるフェーズの割合

6 障害発生の原因となるフェーズの割合開発時の品質確保により障害は防げるとは言えないシステム稼働後も変更の対応運用する人の役割に応じた的確な管理手法が求められる過剰なアクセス権の是正故意過失による不適切な処理の抑制プログラム変更を適切な権限を持つ運用管理者に限定障害発生時の迅速な分析と対策運用 40% 保守 31% 障害発生の原因となるフェーズの割合開発 21% 再構築 8% 複雑高度化する情報システムでは運用保守で障害の原因が約 7 割出典 :2009 年 4 月 9 日発表独立行政法人情報処理推進機構重要インフラ情報システム信頼性研究会報告書 6

7 内部統制における課題調査結果問 14-1 現在課題となっている点 ( 回答社数 1497) 社数 % 1. 文書化について人的資源の育成確保業務プロセスにおける主要な統制上の手続サンプリングについて財務報告プロセスにかかわる規程類の整備 IT 統制におけるアクセス権限の設定等のセキュリティ管理特になかった有効性のテストや評価は行っていないその他 ID 管理に関する課題は依然多く残存 ( 社 ) 日本監査役協会第 2 回財務報告に係る内部統制報告制度に関するインターネットアンケート調査結果 [ 最終 ] 7

8 監査法人からの指摘事項例内部統制監査における課題検出事項退職者のユーザ IDの削除または権限の停止主な問題点長期不使用 IDを用いた不正アクセスのリスク改善要求度 : 高検出事項 ID 作成権限変更に関する証拠証跡の整備主な問題点承認のない不正なID の生成改善要求度 : 高検出事項高権限のIDの限定と管理の強化 ( 特にオールマイティ権限 ID 改廃作業権限セキュリティ設定変更権限など ) 主な問題点過大権限を持つID による不正操作のリスク改善要求度 : 高検出事項 IDの棚卸しが実施されていない主な問題点過大又は不要な権限が付与されたまま放置される改善要求度 : 中検出事項共有 IDについてパスワード守秘状況 ID 管理状況が把握できていない主な問題点 ID 利用ユーザが特定できず潜在的なログイン可能ユーザの把握が困難改善要求度 : 高検出事項 IDの作成廃止申請のリーダ承認証跡について承認日付が記録されていない主な問題点承認行為が事前のものか事後なのかの判断が困難改善要求度 : 高 8

9 情報セキュリティ事故障害を防ぐために業務システム利用者業務システム ERP メール文書管理グループウェア業務システムを構成するコンピュータリソースデータファイルプログラムサーバー上に業務システムを構成するデータやプログラムが集約ポータル etc 社内外の開発運用管理者が強い権限を持って情報へアクセスサーバー (OS) システム開発 ( 協力会社 ) システム運用 ( 協力会社 ) 自社システム部門特別な権限を保有するユーザー ( 特権ユーザー ) の管理が重要 9

10 特権ユーザー (ID) を管理する重要性無制限アクセスが可能プログラムの不正実行が可能あらゆるデータの参照 ( 持ち出し ) が可能ログを含むデータの変更 ( 改ざん ) が可能 ID/ 権限の変更や特権ユーザー (ID) を自由作成可能故意による情報漏洩や改ざんなど情報事故のリスク過失による情報事故やシステム障害発生のリスク特権ユーザー開発者 OS 上のユーザーシステムに影響を及ぼす権限の保持管理運用者システム自体の起動停止など最も強い権限を持つアカウント root, Administrator など特権ユーザー管理あらゆるリソースの操作が可能な特権ユーザーには高いリスクが伴うがそのリスクを軽減できれば効率よくセキュリティレベルをあげることが可能 10

11 2. 特権ユーザー管理の課題とアプローチ 11

12 特権ユーザー管理に関する課題をお持ちの企業 A 社様 ( 公益 ) 個人と特権 ID(UNIX) の管理が徹底されていないことを監査法人から指摘された一人ひとつの特権 IDを付与することを決定するも ID 数対象サーバー数が膨大で共有 IDから個別 IDへの移行に伴う運用管理工数の増大対象ユーザー数 : 約 1,000 人対象サーバー本番系 : 約 200 台 / 開発系 : 約 350 台サーバーの導入撤廃プロジェクトの発足完了が頻発手動管理に限界 B 社様 ( 通信業 ) ID 管理コストが年々増大していた監査ログがサーバー毎の個別管理になっていたため追跡調査が困難不正不要な特権 IDの残存対象ユーザー数 : 約 2,000 人対象サーバー数 : 約 100 台 12

13 特権ユーザー管理の課題と対策特権ユーザーの課題課題への対策特権ユーザーを共有で利用している個人を特定できる ID を利用する利用者の特定特権ユーザー利用の申請ルールが徹底されていないとりあえず root 権限を与えてしまう ID の申請作成削除に人手を介し作業ミスが発生する証跡不足により誰がいつ何をしたか特定できない退職者の ID の削除漏れが多い特権ユーザー利用のルール化する権限を必要最小限に制限する利用の標準化権限の限定特権ユーザーをミスなく効率的に管理する管理の自動化特権ユーザーの不正利用がないことを証明する証跡の保存蓄積 ID の削除を適切なタイミングで実施する ID 管理の迅速化 13

14 特権ユーザー管理に必要な要素課題への対策課題の解決策利用者の特定利用の標準化特権ユーザーの権限を分離利用者と ID を紐付ける仕組み特権ユーザーの利用者範囲を制限特権ユーザーの権限そのものを制限データベース /OS のアクセス制御権限の限定管理の自動化証跡の保存蓄積 ID 管理の迅速化承認プロセスの標準化特権ユーザ申請 / 変更手続きの明確化特権ユーザ利用時の職務分離 ID 管理の統制と証拠証跡の管理 ID 管理に関するルールの徹底棚卸などの不正 ID チェックの徹底特権ユーザーの全操作を記録証跡 ID 管理 14

15 3. オラクルが提供するソリューション - Oracle Identity Manager - 15

16 オラクルによる解決策 ~ Oracle Identity Manager による ID 管理ユーザー情報源泉管理者ユーザ利用者と ID を連動し自動化された ID ライフサイクル管理使用申請承認経路を明確にする標準ワークフロー ID 情報の管理メンテナンス棚卸や不正 ID チェックなどのセキュリティ対策 ID に関する情報を自動収集し証拠証跡の管理パスワード変更申請ユーザー情報の取得属性ルールに基づいたグループ化ポリシー割当て監査ログ Oracle Identity Manager ID の自動配信と自動削除顧客情報管理システムディレクトリ配信対象システム売上管理システム OS アカウント管理 16

17 ID 作成情報変更削除の自動化 ~ 対象システムへの ID 作成削除 ID ライフサイクル管理 Oracle Identity Manager 配信ポリシーユーザー情報取得ルール 1 ルール 2 ルール 3 配信ポリシー 1 対象システム配信属性配信権限自動配信自動削除配信ポリシー 2 ユーザー属性に基づいたルールによる配信ポリシーの適用配信ポリシーによる ID 作成削除人事イベントと連携しユーザー情報に基づきシステム ID の作成削除の自動化を実現 17

18 パスワードの一元管理とセルフサービス化 ID ライフサイクル管理 Oracle Identity Manager Password = ABC Password = ABC パスワード同期 Password = ABC Password = ABC Web インターフェースによるパスワード変更対象システムに変更されたパスワードを即時反映システムのパスワードを 1 つに統合し Web セルフサービスによるパスワード管理を実現 18

19 申請 / 承認の標準化システム化 ~ 対象システム毎のワークフロー標準ワークフロー Oracle Identity Manager システム A 用ワークフロー申請者 ID 利用申請承認者 A システム B 用ワークフロー ID 作成上長管理グループ Web インターフェースによる ID 利用申請リソースに応じた承認フローグループ承認多段承認も可能承認後に対象システムへ ID 作成対象システム毎に ID 利用ワークフローを定義し ID 利用経路の透明性を実現 19

20 不正 ID 操作の検知セキュリティ対策 Oracle Identity Manager 配信済みID 一覧 UserA UserB UserC UserD UserA の配信情報 UserID : UserA Last Name : User First Name : A A@test.com 不正に作成された ID(test01) の検出不正に変更された属性情報 ( ) の検知 UserA UserB Test01 UserC UserD ターゲットシステム直接 ID 追加 UserID : UserA Last Name : User First Name : A X@test.com スケジューリングされた不正 ID 操作検知直接属性変更システム側での不正 ID 作成や不正 ID 属性操作の定期的検知を実現 20

21 点検棚卸しのシステム化による作業負担の軽減 (1) 手作業による点検棚卸しでは非常に多くの間接コストがかかりますシステム化する前 ( 手作業による運用 ) 監査人 1 監査依頼 6 棚卸し作業 8 棚卸し結果送付レビューア ( 部長 ) 社内監査担当者システム管理者 3 アカウントリスト作成 ( 手作業 ) 4 リスト送付 2 リスト作成依頼 5 棚卸し依頼送付 7 棚卸し進捗確認 ( メール ) 9 レポート作成 ( 手作業 ) 10 レポート提出レビューア ( セキュリティ責任者 ) 運用継続することが高い負担になります 21

22 点検棚卸しのシステム化による作業負担の軽減 (2)-1 システム化した点検棚卸しでは自動化されるため間接コストを削減できますシステム化した後 ( 自動化による運用 ) 監査人 1 監査依頼社内監査担当者 4 棚卸し作業 (WEB) レビューア ( 部長 ) Oracle Identity Manager 2 アカウントリスト作成 ( 自動 ) 3 棚卸し依頼送信 ( 自動 ) 5 棚卸し進捗確認 (WEB) 6 棚卸しレポート作成 ( 自動 ) 7 レポート提出レビューア ( セキュリティ責任者 ) システム化によって棚卸しプロセスが自動化されるため各担当者との調整や入力集計作業が減ります 22

23 点検棚卸しのシステム化による作業負担の軽減 (2)-2 棚卸依頼作成からレポート作成までをシステムが継続的に実施棚卸実施セキュリティ対策棚卸の設定定期的な依頼棚卸進捗確認レポート作成各システムの ID 棚卸を一箇所に集中させプロセス化により監査工数の削減 23

24 情報収集の自動化とレポーティングの簡素化証拠証跡の管理 Oracle Identity Manager レポートユーザープロファイル履歴 ID 配信履歴ワークフロー履歴ユーザーリソースアクセス履歴ユーザー情報履歴不正 ID 情報リソースアクセスリスト履歴情報蓄積削除済ユーザーデータベース監査に必要な ID に関する情報をデータベースに保持操作情報や履歴情報を確認するための約 40 種類のレポートを標準装備 ID に関する操作の証跡証拠の自動収集とレポーティングを実現 24

25 BI Publisher など外部レポートツールの対応 OIM では履歴データをすべて DB に格納しスキーマ情報を公開しているため外部レポートツールの利用が可能ですレポート専用ツール BI Publisher を標準でバンドル PDF 出力や任意の形式出力が可能定期レポート生成とメールによる送付 Oracle Identity Manager 上の出力結果 BI Publisher 上の出力 25

26 BEFORE Oracle Identity Mangaerによりアカウント管理の一元化イメージアカウントパスワード権限文書化された ID 管理手順権限割当て個別に対処させるアカウントパスワード権限アカウントパスワード権限権限割当て権限割当て AFTER セキュリティレベルが UP アカウント権限メンテナンス負荷が DOWN アカウント権限を制御するための情報のみを個別システムから切り離して効率化権限割当ての証跡出力パスワード制御すべき情報を集約する権限割当て事前に決めたプロセスにより自動的な連携権限アカウント権限 26

27 4.Oracle Identity Manager の特長 27

LDAP, Database から ERP を対象にする場合各システム向けに提供するコネクタで対応コネクターパックが対応しきれない配信要件に対してもアダプターファクトリーでカスタマイズを実装可能 2.

28 特徴 1 : 接続性 ~ 対象システム追加時の対応充実したコネクタと優れた開発ツールにより対象システム追加時のコストを削減プロジェクト例第 1 次フェーズ第 2 次フェーズ第 3 次フェーズ対象システム - LDAP サーバー - Database - OS 追加対象システム - ERP システム - グループウェア - 手組みアプリケーション追加対象システム ( グループ会社 ) - ERP システム - グループウェア - 手組みアプリケーション 1. LDAP, Database から ERP を対象にする場合各システム向けに提供するコネクタで対応コネクターパックが対応しきれない配信要件に対してもアダプターファクトリーでカスタマイズを実装可能 2. 手組みアプリケーションを対象にする場合アダプターファクトリー - GUI のアダプタ開発ツール - コーディングを軽減し設定で実現アダプターファクトリーで既存の部品を組み合わせる方式での開発細かい仕様の実装は Java によるコーディングも可能 28

29 特徴 2 : 管理コストの削減利便性の向上 ~ 内製化システムに対する優位性必要な機能だけを実装する手組みは一見安価だが維持運用の体制を確保する費用を考えると中長期的にみてコストは増大する一般的な必要機能を備えているパッケージ製品は業務環境の変化に柔軟に対応でき長い目で見るとメリットは大きいコスト ( 構築コスト / ランニングコストなど ) 内製化による ID 管理 Oracle Identity Manager を導入パッケージ導入は初期費用が必要状況の変化コンプライアンスやセキュリティ対策のためにコストが押し上がるシステムの複雑さ ( システム数 / ユーザー数などの関数 ) 29

30 特徴 3 : 将来の事業拡大に対応する拡張性 / 柔軟性グローバル対応利用規模に応じた拡張性グローバルの法律に対応可能なコンセプトを元に設計実装標準で多言語対応機能を実装各種処理を実行する基盤としてとして Oracle WebLogic Server を利用ユーザー情報や履歴情報の格納リポジトリとして Oracle Database を利用海外拠点も含めた一元的な管理が可能対象システムユーザーの増加に応じた段階的な投資が可能 30

特徴 4 : 製品に対する投資と保守サービス製品に対する投資保守サービス ID 管理製品関連に多大な投資を実施 400 人以上の開発者 25 人以上の PM 80 人以上の QA( 品質管理担当 ) 90 人以上の専任サポート製品サポート期間は無期限全世界約 7,000 人のサポート専任エンジニア日本人による 24 時間 365 日のサポート

31 特徴 4 : 製品に対する投資と保守サービス製品に対する投資保守サービス ID 管理製品関連に多大な投資を実施 400 人以上の開発者 25 人以上の PM 80 人以上の QA( 品質管理担当 ) 90 人以上の専任サポート製品サポート期間は無期限全世界約 7,000 人のサポート専任エンジニア日本人による 24 時間 365 日のサポート ID 管理製品専任のサポートエンジニアパッチ作成部隊を配置 2005 売上高製品数 3 顧客数 < 250 開発者 & PM < 60 第 3 者機関評価 Niche Player 2009 > 1,300% 14 > 3000 > 400 Suite Leader 日本に ID 管理製品のパッチ作成部隊と専任エンジニアを配置し迅速な対応を実現 31

32 お客様事例 (1) : 特権 ID 管理 A 社様 ( 公益 ) 課題とシステム環境解決方法個人と特権 ID(UNIX) の管理が徹底されていないことを監査法人から指摘された一人ひとつの特権 ID を付与することを決定するも ID 数対象サーバー数が膨大ユーザー数約 1,000 対象サーバー数本番系 : 約 200 台 / 開発系 : 約 350 台 UNIX(Solaris, HP-UX, AIX, RedHat Linux) サーバーの導入撤廃プロジェクトの発足完了が発生するため手動管理に限界があった ID 管理基盤として可用性が高い仕組みを導入多くのサーバーユーザーの処理にも耐えうるパフォーマンスを発揮できる基盤の導入弊社製品の活用機能管理対象サーバーを容易に追加できるコネクタアーキテクチャ業界標準言語である Java によるカスタマイズ性の高さ 32

33 お客様事例 (2) : 特権 ID 管理 B 社様 ( 通信業 ) 課題とシステム環境解決方法 ID 管理コストが年々増大していた監査ログがサーバー毎の個別管理になっていたため追跡調査が困難不正不要な特権 ID の残存ユーザー数約 2,000 対象サーバー数約 100 台 UNIX(AIX, HP-UX, RedHat Linux) Oracle Database 稼動後に対象サーバーを増やしていくため運用管理を効率的に行うことができる仕組みが必要不正不要な ID を確実に削除できる仕組みの導入弊社製品の活用機能棚卸機能有効期限の設定を活用し不正不要 ID を確実に削除管理対象サーバーでの必要作業を最小限に抑えることができるエージェントレス型のアーキテクチャ 33

34 お客様事例 (3) : 一般ユーザー ID グローバルエンジニアリングにおける ID 管理の実現ビジネス課題プロジェクト単位の業務で人の出入りが激しい月 1 回の ID マスター更新の夜間バッチの負荷が高い棚卸が実施できていない不要 ID が残存しているパスワード管理の統合の必要性 Oracle によるソリューション Oracle Identity Manager を柔軟性の高い全社統合 ID 管理システムとして採用既存の Oracle E-Business Suite との親和性オラクルの ID 管理分野におけるコミットメント効果パスワード管理の統合 ID ライフサイクル管理により管理業務の大幅な工数削減配信履歴などの統合管理により効率的な証跡の提示月 1 回から 1 日 1 回への変更により退職者 ID のスピーディな削除この成果をふまえ第 2 フェーズ社外を含む一万人の ID 管理を検討 34

35 まとめ ID 管理のプロセスを着実に構築することが重要セキュリティ内部統制監査への対応継続的にそのプロセスを維持する ID 管理のシステム化は有効な手段と言えます機能実績サポート体制を合わせ持つ Oracle Identity Manager をご検討ください 35

36 OTN ダイセミでスキルアップ!! 一般的な技術問題解決方法などを知りたい! セミナ資料など技術コンテンツがほしい! Oracle Technology Network(OTN) を御活用下さい一般的技術問題解決には OTN 掲示版のデータベース一般をご活用ください OTN 掲示版は基本的に Oracle ユーザー有志からの回答となるため 100% 回答があるとは限りませんただ過去の履歴を見ると質問の大多数に関してなんらかの回答が書き込まれております過去のセミナ資料動画コンテンツは OTN の OTN セミナーオンデマンドコンテンツへダイセミ事務局にダイセミ資料を請求頂いてもお受けできない可能性がございますので予めご了承くださいダイセミ資料は OTN コンテンツオンデマンドかセミナ実施時間内にダウンロード頂くようお願い致します 36

37 OTN セミナーオンデマンドコンテンツ期間限定にてダイセミの人気セミナーを動画配信中!! ダイセミのライブ感はそのままにお好きな時間で受講頂けます OTN オンデマンド掲載のコンテンツ内容は予告なく変更になる可能性があります期間限定での配信コンテンツも含まれておりますお早めにダウンロード頂くことをお勧めいたします 37

38 オラクルクルクルキャンペーンあの Oracle Database Enterprise Edition が超おトク!! Oracle Database のライセンス価格を大幅に抑えてご導入いただけます多くのお客様でサーバー使用期間とされる 5 年間にライセンス期間を限定期間途中で永久ライセンスへ差額移行 5 年後に新規ライセンスを購入し継続利用 5 年後に新システムへデータを移行 Enterprise Editionはここが違う!! 圧倒的なパフォーマンス! データベース管理がカンタン! データベースを止めなくていい! もちろん障害対策も万全! 詳しくはコチラお問い合わせフォーム 38

あなたにいちばん近いオラクル Oracle Direct まずはお問合せください Oracle Direct 検索システムの検討構築から運用まで ITプロジェクト全般の相談窓口としてご支援いたしますシステム構成やライセンス / 購入方法などお気軽にお問い合わせ下さい Web 問い合わせフォームフリーダイヤル専用お問い合わせフォームにてご相談内容を承ります http://www.

39 あなたにいちばん近いオラクル Oracle Direct まずはお問合せください Oracle Direct 検索システムの検討構築から運用まで ITプロジェクト全般の相談窓口としてご支援いたしますシステム構成やライセンス / 購入方法などお気軽にお問い合わせ下さい Web 問い合わせフォームフリーダイヤル専用お問い合わせフォームにてご相談内容を承りますフォームの入力には Oracle Direct Seminar 申込時と同じログインが必要となりますこちらから詳細確認のお電話を差し上げる場合がありますのでご登録されている連絡先が最新のものになっているかご確認下さい月曜 ~ 金曜 9:00~12:00 13:00~18:00 ( 祝日および年末年始除く ) 39

40 以上の事項は弊社の一般的な製品の方向性に関する概要を説明するものですまた情報提供を唯一の目的とするものでありいかなる契約にも組み込むことはできません以下の事項はマテリアルやコード機能を提供することをコミットメント ( 確約 ) するものではないため購買決定を行う際の判断材料になさらないで下さいオラクル製品に関して記載されている機能の開発リリースおよび時期については弊社の裁量により決定されます Oracle と Java は Oracle Corporation 及びその子会社関連会社の米国及びその他の国における登録商標です文中の社名商品名等は各社の商標または登録商標である場合があります 40

Oracle Direct Seminar <Insert Picture Here> システム管理者必見! ~ 乱立する DB と OS のユーザー / 権限管理の改善方法日本オラクル株式会社 Fusion Middleware 事業統括本部 Security SC 部大森潤

Oracle Direct Seminar <Insert Picture Here> システム管理者必見! ~ 乱立する DB と OS のユーザー / 権限管理の改善方法日本オラクル株式会社 Fusion Middleware 事業統括本部 Security SC 部大森潤 Oracle Direct Seminar システム管理者必見! ~ 乱立する DB と OS のユーザー / 権限管理の改善方法日本オラクル株式会社 Fusion Middleware 事業統括本部 Security SC 部大森潤本日の内容はじめにユーザーと権限をまとめて管理するまとめて簡単に管理する Oracle ソリューションご紹介