統合的なIDガバナンスビジネス概要

Size: px

Start display at page:

Download "統合的なIDガバナンスビジネス概要"

よしおつなかわ
5 years ago
Views:

1 Oracle ホワイトペーパー 2012 年 7 月統合的な ID ガバナンスビジネス概要

2 概要... 2 Oracle Identity Governance Suite 統合的なアプローチ... 3 ブロックの組み合わせコアソリューションコンポーネント... 4 アクセスカタログ... 4 アクセスリクエスト... 5 ビジネスユーザーにとってのアクセスカタログの使いやすさ... 5 アクセスリクエスト中の予防的なIT 監査ポリシー分析... 6 UIのカスタマイズと永続性... 7 特権アカウントの管理... 7 ロールライフサイクル管理... 8 ID 認定 IT 監査の監視アカウントリコンシリエーションおよび不正検出監査とレポート結論... 15

3 概要企業はユーザーに対して職務の実行に必要なアクセス権限を与える必要がありますがコンプライアンスやセキュリティ上の理由からアクセスを制限することも重要ですこのため企業はユーザーがアクセス権を簡単に取得できさらにマネージャーリソース所有者システム管理者がアクセスを簡単にレビュー / 取消しできるようにする必要がありますオラクルのガバナンス製品は企業がこのようなアクセスセキュリティコンプライアンスの目的をバランスよく実現できるように設計されています大規模組織の場合ユーザーに対して必要なアクセス権を与えることは不満の多い時間のかかるタスクです新規ユーザーはIT 専門用語に接する機会がほとんどないため権限を名前で要求する可能性があります新規ユーザーは ( そのユーザーが持つべきではない権限を持つ ) 同僚と同種のアクセス権を要求する場合がありますまた従業員や請負業者はさまざまなプロジェクトを担当したり部署や場所を移動したり職務を変更したり昇進したりするためアクセス要件が変わりますシステム管理者はより詳細なレベルで権限のある共有アカウントにアクセスし業務に不可欠な機能や管理機能を実行できる必要がありますこれらのアカウントは管理者の指定したアカウントを使用しない "rootレベル" アカウントの可能性があるため適切な個人に対して適時アクセス権限を付与することが重要になりますオラクルはこれらすべてのシナリオに対してIDガバナンスソリューションを提供しますこのソリューションではユーザーが簡単なWebベースのカタログでアクセスを要求できこれらの要求が適切な承認者に転送されるため簡単にアクセス権限を付与できますまた特権アカウントを管理できるため共有のrootレベルアカウントや管理者アカウントに対するアクセスが制御されますまたほとんどの企業にとってはアクセス認定も普遍的な課題ですが米国サーベンスオクスリー法 (SOX) などの規制への準拠も必要ですユーザーアクセス権の認証セキュリティポリシーの適用不要なアクセス権の自動取消しなど複数の難しいタスクを実行しなければならない上にこの処理をエラーの発生しやすい遅々とした手作業に依存していることで問題はさらに深刻化していますまたコンプライアンスと監査に対して包括的でまとまりのあるアプローチが存在しないため費用効率に優れた効果的な方法でこの問題に対処することはほとんど不可能になっていますこの結果企業は多大なリソースをコンプライアンス関連の作業に費やすことを余儀なくされていますオラクルはレビューサイクルの自動化によって認定の課題への対処を容易にしますオラクルのアクセスガバナンス製品によってユーザーの権限や孤立アカウントを検出したり適切な関係者に必要なアクションを通知したりリスクスコアの適用により関係者が自身の認定タスクを優先順位付けできるようにしたり決定が下されてから権限やアカウントを変更したりする操作を自動的に実行できますこのホワイトペーパーでは Oracle Identity Governance 製品 (Oracle Identity Manager Oracle Identity Analytics およびOracle Privileged Account Manager) について説明しますこれらの製品を組み合わせることで企業向けの統合されたIDガバナンスプロセスを構築できます 2

4 Oracle Identity Governance Suite 統合的なアプローチ Oracle Identity Governance Suiteはビジネスアプリケーションおよびプラットフォーム間でアカウントやアクセス権限を管理するための最新かつ簡素化された統合ソリューションですこのソリューションは一般的な各種管理スタイル ( ロールルールポリシーなど ) をサポートしており柔軟でスケーラブルな管理が可能ですまた豊富な表示機能を持つカタログを検索しアプリケーションデータおよびプラットフォームへのアクセスを要求できますアクセス権限付与の前に適切な承認者に対してリクエストが送信されますアクセスリクエストカタログは簡単なセルフサービスの Webベースのインタフェースから利用できユーザー自身や他のユーザーのアクセスを要求できますこのため企業はOracle Identity Governance Suiteを使用することでさまざまな方法でアクセス制御を割り当てることができますたとえばユーザーアカウントへのロールの適用方法および時期を制御するルールやポリシーから派生するロール割当てに基づいてアクセス権を自動的に発行できますまた特権アカウントを排他的に使用する機能を要求できますこの権限が付与されるとアカウントをチェックアウトして基盤となるアプリケーションやインフラストラクチャコンポーネントに対する排他的な特権アクセスを取得できます Oracle Identity Governance Suiteではコンプライアンス制御を継続的に監視して効果的に実施するためユーザーのアクセス権を自動的かつ定期的にレビューするだけでなく IT 監査ポリシーの例外も監視しますこのため従業員 ( またはアカウントを乗っ取った攻撃者 ) は不正行為を実行するためのアクセス権の組み合わせを取得できなくなりますまた Oracle Identity Governance Suite では IDガバナンスソリューション以外で行われる不正なアクセス権限付与が継続的に監視されますまた Oracle Identity Governance Suiteには豊富な監査機能と報告機能がありますこのため各業務分野 IT 管理者および監査者が現在 / 過去のアクセス権所有者やその対象だけでなくアクセス権の取得方法や排他的特権アカウントの使用時期までレビューできますさらに Oracle Identity Governance Suiteでは管理対象アプリケーションとターゲットシステムが自動的にプロビジョニングされますこれはアクセス権限付与の際に標準アクセスおよび特権アクセスの両方で堅牢なコネクタのセットを使用して実行されます監視制御の結果これらの権限付与の取消しが必要な場合は同じコネクタを使用して包括的な監査証跡を提供しながら自動的にプロビジョニング解除できます 3

5 ブロックの組み合わせコアソリューションコンポーネント Oracle Identity Governance Suite は次のコアコンポーネントで構成されます各コンポーネントで企業が直面している独自のガバナンス上の課題が解決されます図 1. Oracle Identity Governance Suite コアソリューションコンポーネント図 1 に示すように Oracle Identity Governance Suite の中心的機能であるアクセスカタログによってアプリケーションとプラットフォーム間のさまざまなアクセス権に関する堅牢かつインテリジェントなストレージソリューションと包括的なカタログ管理機能が提供されます組織はこのカタログを使用して豊富な機能 ( アクセスリクエストチェックイン / チェックアウト機能経由の特権アカウント管理ロールライフサイクル管理など ) と包括的な Identity Connectors Framework を利用して従業員や作業員にアクセス権を付与できますまた組織は ID 認定 IT 監査の監視不正アクセスの検出および監査および報告の機能を使用してユーザーに割り当てられるアクセス権を監視してコンプライアンスを実施できますこれらのコンポーネントについては以下のセクションで詳しく説明しますアクセスカタログ図 2 に示すように Oracle Identity Governance Suite にはアクセス権のカタログがありますこれには企業とアプリケーションのロールアプリケーションアカウントおよびエンタイトルメントが含まれますこのカタログではターゲットアプリケーションでエンタイトルメントの新しい定義が検出されるかソリューションに組み込まれているロール管理機能の使用によってロールが定義または変更された場合に権限が自動的に収集されますカタログ管理者とアプリケーション管理者は収集したデータをビジネスユーザーにとって使いやすいデータに改良します特に管理者はカタログ中のロールアプリケーションエンタイトルメントごとにビジネス向けの説明を作成し監査目的をリスト化しリスクレベルを設定できます 4

カタログ管理システムではカタログエンティティの名前と説明に基づき検索タグのセットが自動的に設定されますがカタログ管理者はさらにキーワードタグを追加できますビジネスユーザーはこのタグを使用してさまざまな検索結果内のロールやエンタイトルメントを検索できますまた管理者はカタログ項目のメタデータを提供できますたとえば管理者は ( 対応するロールアカウント

6 カタログ管理システムではカタログエンティティの名前と説明に基づき検索タグのセットが自動的に設定されますがカタログ管理者はさらにキーワードタグを追加できますビジネスユーザーはこのタグを使用してさまざまな検索結果内のロールやエンタイトルメントを検索できますまた管理者はカタログ項目のメタデータを提供できますたとえば管理者は ( 対応するロールアカウントエンタイトルメントに関連する ) 承認認定手動プロビジョニング実行などのアクティビティに含まれるユーザーやロールを指定できますカタログ情報を設定すればこの情報をあらゆる ID ガバナンス機能 ( リクエスト作成リクエスト追跡承認リクエスト履歴手動プロビジョニング認定など ) で使用できます図 2. Oracle Identity Governance Suite アクセスカタログアクセスリクエスト Oracle Identity Governance Suite にはアクセスリクエスト用のブラウザベースのツールがありますアクセスリクエストの使用方法は多くの電子商取引 Web サイトで使用されている " ショッピングカート " のメタファと似ているため組織の基本的なロールアプリケーションやエンタイトルメントを理解していれば詳しいトレーニングを受けなくてもアクセスを要求できますまた使い慣れたキーワードを入力して必要なロールやエンタイトルメントを簡単に検索できますさらにツールの自動提案を使用して検索結果をさらに絞り込んだりフィルタリングしたりすることができます必要なエンタイトルメントが見つかったらカートに適切なエンタイトルメントを入れてリクエストを送信するだけですアクセスリクエストは以下に説明してあるようにビジネスユーザーにとっての使いやすさ監視および UI カスタマイズを実現する堅牢な機能セットですビジネスユーザーにとってのアクセスカタログの使いやすさアクセスカタログを使用するとさまざまなアプリケーションやターゲットリソースにわたって必要なアクセス権を迅速かつ簡単に要求できますこれらのアクセス権は各種アプリケーションのロールエンタイトルメントまたはアカウント経由で付与される場合がありますまたエンドユーザーは検索結果を保存済みリクエストカートに保存しこれらのカートを他のユーザーと共有できますこのような " リクエストプロファイル " をテンプレートとして使用して頻繁に要求される権限のバスケットを要求できますアクセスカタログ自体に Web エンジンベースの検索セマンティックに従った堅牢な検索機能が 5

搭載されていますエンドユーザーはアカウントやエンタイトルメントの分かりにくい名前や複雑な検索演算子を知る必要がなくビジネスで使いやすい検索キーワードや単語の一部を使用できます ("pay" で "payroll" が返されるなど ) このため自分の職務を遂行するのに必要なアクセス権を迅速に検索して見つけ出し要求できますアクセスカタログ中のロールエンタイトルメント

7 搭載されていますエンドユーザーはアカウントやエンタイトルメントの分かりにくい名前や複雑な検索演算子を知る必要がなくビジネスで使いやすい検索キーワードや単語の一部を使用できます ("pay" で "payroll" が返されるなど ) このため自分の職務を遂行するのに必要なアクセス権を迅速に検索して見つけ出し要求できますアクセスカタログ中のロールエンタイトルメントアプリケーションは拡張可能なメタデータを特徴としていますこれには管理者がビジネスレベルの用語集の説明 ( アクセス権を整理するための詳細レベルのカテゴリの作成やこれらのアクセス権への複数検索タグの提供ユーザーが使いやすい説明の定義リスクレベルの定義や監査目的の設定など ) を作成する機能があります各ロールエンタイトルメントアプリケーションは承認や認定の割当て済み所有者になることもできますこのカタログメタデータを設定すればさまざまな ID ガバナンス機能 ( アクセスリクエストリクエスト追跡承認リクエスト履歴手動プロビジョニング認定など ) で一貫して使用できますアクセスリクエスト中の予防的な IT 監査ポリシー分析図 3. Oracle Identity Governance Suite 予防的な IT 監査分析とシミュレーション図 3 に示すように Oracle Identity Governance Suite は予防的な IT 監査ポリシーを自動化して実施する包括的なソリューションを提供しますアクセスリクエスト中にプロビジョニングプロセスから "What-If" ポリシー検証リクエストが開始され予防的なシミュレーションの実行によって望ましくないアクセス権が要求されているかどうかが特定されますこれにより望ましくないアクセス権限がユーザーに付与されなくなりコンプライアンスに準拠したプロビジョニングプラクティスが実施されます 6

8 リクエストの追跡ユーザーやヘルプデスク管理者はソリューションの包括的な追跡ツールを使用して自分のリクエストの進捗をオンラインで追跡できます追跡ツールにはリクエスト承認の現在の状態がプロビジョニングワークフローにビジネス向けの画像で表示されますここではリクエストの完了した手順と未実行の手順が表示されますこのツールを使用してユーザーは自分のリクエストがタイムリーに処理されていることを確認できます UI のカスタマイズと永続性 Oracle Identity Governance Suite を使用した UI のカスタマイズは Web ブラウザでのドラッグアンドドロップ編集で実行できます複雑なプログラミングや独自のスクリプトは不要です UI のカスタマイズはソリューションのメタデータリポジトリにある特別な予約された名前空間に保存されるため永続的でありパッチ適用やアップグレードの後にも残りますパッチ適用やアップグレードの後カスタマイズの再適用は必要ありませんこのため高価なカスタマイズのマージサイクルやテストサイクルがなくなりデプロイメントを最新の状態に簡単に維持できます特権アカウントの管理組織には ( 複数の管理者がパスワードを共有する ) 権限の高いアカウントや共有スキーマを含む機密性の高いシステムやアプリケーションがありますこれらのアカウントはもともと強力であり適切に管理および監視しないとビジネスに破滅的な影響をもたらす可能性があることが分かっています特権ユーザーは企業リソースへの拡張されたアクセスを含む機密性の高いアクティビティを実行しますほとんどの企業では特権アカウントは明確に定義されておらずさまざまな人がこれらのアカウントの一部を共有している場合があります特権アカウントを厳密に管理しないと企業のセキュリティリスクが高くなりますまた一般的に企業がすべての共有の特権アカウントの利用をトレース認可追跡監査できることが規制によって求められています管理対象のサーバーデバイスアプリケーションの数とともに特権アカウントの数も増えていますほとんどの大企業では数百個 ( 場合によっては数千個 ) もの特権アカウントがあり複数の人がそのユーザー名 / パスワードの組み合わせを知っているにも関わらず特定の時間にそのパスワードを実際に使用した人を追跡する方法がありません特権アカウントの増加は管理が難しいためパスワードはめったに変更されず結果的に全体的なセキュリティの低下と企業パスワードポリシーの違反を招いていますこれらの課題に対応するため (Oracle Identity Governance プラットフォームに不可欠な部分である ) Oracle Privileged Account Manager では権限の分離特権アカウントへのセルフサービスリクエストおよびパスワード使用の監査と報告を可能にしていますコンプライアンスの観点から言えばこのソリューションは Global Trade Management(GTM) 戦略の強化に役立ちます ( 特に米国サーベンスオクスリー法などの規制への準拠に関連する場合 ) このソリューションは特定のリソースにアクセスする特権ユーザーのパスワードを生成プロビジョニング管理するために設計されたサーバーベースのパスワードリポジトリですこれは Oracle WebLogic Server で動作し資格証明ストアポリシーストアウォレット認証認可および監査のアプリケーションプログラミングインタフェース (API) を含む Oracle Platform Security Services(OPSS) フレームワークを活用する真正の Fusion アプリケーションです 7

図 4. Oracle Identity Governance Suite 特権アカウントの管理図 4 に示すとおりこのソリューションでは特権ユーザー ( システム管理者やアプリケーション開発者など ) が特定のアプリケーションオペレーティングシステムまたはデータベースサーバーを " チェックアウト " することで特権アカウントを使用できますソリューションが必要な承認を受けると

9 図 4. Oracle Identity Governance Suite 特権アカウントの管理図 4 に示すとおりこのソリューションでは特権ユーザー ( システム管理者やアプリケーション開発者など ) が特定のアプリケーションオペレーティングシステムまたはデータベースサーバーを " チェックアウト " することで特権アカウントを使用できますソリューションが必要な承認を受けると管理者にパスワードが発行されます管理者はこのパスワードを使用しパスワードを " チェックイン " します ( 管理タスクの完了が表示されます ) チェックイン時にパスワードが自動的に変更されるようシステムを構成できますこの結果管理者が同じパスワードを再利用できないようになりますまた管理者は Break-glass アクセスによって通常は資格のない特権アカウントへの緊急アクセスを要求できます (break-glass メタファはガラスを破って火災警報器を引くという意味から来ています ) このような状況は重要なサーバーがダウンして指定したサーバー管理者が使用できない場合に発生する可能性がありますこの場合管理者は break-glass 緊急リクエストを示すリクエストプロセスを使用しますリスエストを送信すると顧客のプロセスやポリシーに基づく最小限または自動的な承認により break-glass ワークフローが開始されます管理者はソリューションの LDAP グループにプロビジョニングされ権限資格証明にアクセスできますイベントの特別なアラートが生成されセキュリティ管理者に送信されます顧客が定義したセキュリティポリシーに基づいてアクセスが自動的にプロビジョニング解除されます監視上の観点からリクエスト承認チェックインチェックアウト使用者使用時期などのあらゆるアクションが監査されます特権アカウントやそのプロビジョニング方法に基づいてリスクを計算できるようにすることで特権アカウント情報が ID 認定にも使用できます最終的にこのソリューションは Oracle Enterprise Single Sign-On と標準で統合されますこのためトークンを安全に渡すことができない手動による資格証明処理が行われなくなりますロールライフサイクル管理ロールライフサイクル管理とは組織リソースへのアクセスを必要とする人に対してロールを定義して割り当てそれらのロールに従ってアクセスを管理するプロセスです使用方法や企業ポリシーに基づいてロールを作成すると可視性と制御のしやすさが向上します適切なロール数に限定することにより膨大な人数や無数のアクセス権の並べ替えを処理するよりアクセスがずっと管理しやすくなりますこのようにロールライフサイクル管理は膨大で常に変化するユーザー群のアクセス制御という課題に対応するのに効率的かつ有効な方法です図 5 に示すとおりまずはロールを定義します 8

Oracle Identity Governance Suite では独自のツールと手法の組み合わせが提供されていますこれにより組織は企業のロールを定義し堅牢なロールベースのアクセス制御やロールガバナンスプロセスと組み合わせることができますロール検出は市場最先端のロールマイニングおよび分析機能の包括的なセットでありハイブリッドなアプローチを利用して企業のロールを検出します

10 Oracle Identity Governance Suite では独自のツールと手法の組み合わせが提供されていますこれにより組織は企業のロールを定義し堅牢なロールベースのアクセス制御やロールガバナンスプロセスと組み合わせることができますロール検出は市場最先端のロールマイニングおよび分析機能の包括的なセットでありハイブリッドなアプローチを利用して企業のロールを検出しますこのハイブリッドなアプローチではその堅牢なクラスタリングアルゴリズムの一部としてボトムアップ ( ユーザーエンタイトルメント ) やトップダウン ( ユーザー HR 属性 ) のアクセス権とユーザーのビジネス的な説明を組み合わせて活用し推奨されるロールを設計しますエンタイトルメント中のユーザーの人気ロールの類似性の比較ロール定義内の IT 監査違反設計されたロール中のユーザーの割合などを示す高度な分析機能によってロールエンジニアに対してロール定義をさらに改善するための包括的な情報が提供されます図 5. Oracle Identity Governance Suite ロール検出 Oracle Identity Governance Suite とロール定義の実用的アプローチである業界最先端のウェーブ手法を組み合わせることで組織に対してアクセス制御の課題を解決するための堅牢な機能セットが提供されます 9

図 6. Oracle Identity Governance Suite ロール定義のウェーブ手法企業がアクセス制御用にロールベースのモデルを採用するのを支援してきた長年の経験に基づき図 6 のオラクルのロール定義用のウェーブ手法はロール設計に効果的な方法であることが証明されました管理者は次の 7 段階のプロセスを実行します 1)

11 図 6. Oracle Identity Governance Suite ロール定義のウェーブ手法企業がアクセス制御用にロールベースのモデルを採用するのを支援してきた長年の経験に基づき図 6 のオラクルのロール定義用のウェーブ手法はロール設計に効果的な方法であることが証明されました管理者は次の 7 段階のプロセスを実行します 1) アクセス制御がもっとも緊急に必要な部門やアプリケーションを分析し優先順位を付ける 2) 効果的なロール定義にとって重要なデータを保存するウェアハウスを構築する 3) ロール検出を実行する 4) 候補ロールのポリシーを定義する 5) 候補ロールを最終決定する 6) ロールの例外を分析してレビューする 7) ロールの例外を最終決定し定義したロールを認証するこのソリューションには増分ロールマイニング機能もあり新しく追加されるアプリケーションや段階的に不要となるアプリケーションが考慮されますこのため既存のロール定義を動的に変更したりロール定義を自動的に更新したりすることができますこのため基盤のロールコンテンツを常に最新の状態にしておき割当てプロビジョニングコンプライアンスで使用できます定義された企業ロールは時間とともに進化する可能性があるため堅牢な管理および監査プロセスが必要です Oracle Identity Governance Suite は関連エンタイトルメントの更新が検出されるとロールを承認し稼働環境に変更が適用される前にロールの統合による影響分析をリアルタイムで実施しますロール変更の承認プロセスをロールバージョニングロール変更時の "What-If" シミュレーションおよびロールバック機能と組み合わせるとロール変更およびライフサイクル管理の完全なソリューションが提供されますこのソリューションではロールライフサイクル管理機能の一部としてロール割当てルールやエンタイトルメントマッピングポリシーを含むロール定義に対するすべての変更が完全に監査されますガバナンスの観点から Oracle Identity Governance Suite はエンタイトルメント更新の検出に基づくロールコンテンツの認定機能を提供しており稼働環境に変更が反映される前にロールに関連する影響分析を実施しますまたロール変更とロールメンバーシップに関する完全な監査証跡を提供しますこのソリューションではロールバージョニングが可能です 10

この機能によって " ライブ " バージョンのロールに影響を与えることなくロールのオフラインコピーを作成しウェアハウスに記録されているいずれかのロールバージョンに戻すことができますこれによりビジネスニーズに基づくアクセス変更が迅速かつ容易になるため組織全体の柔軟性が向上するともに IT 組織とビジネス組織の連携が強化されます ID 認定図 7 に示すとおり今日のほとんどの組織は

12 この機能によって " ライブ " バージョンのロールに影響を与えることなくロールのオフラインコピーを作成しウェアハウスに記録されているいずれかのロールバージョンに戻すことができますこれによりビジネスニーズに基づくアクセス変更が迅速かつ容易になるため組織全体の柔軟性が向上するともに IT 組織とビジネス組織の連携が強化されます ID 認定図 7 に示すとおり今日のほとんどの組織は何千ものビジネスアプリケーションやターゲットプラットフォームのアクセス権を持つユーザーのアクセスレビュー ( または認定 ) を実行するために厳しいコンプライアンス条件を満たすよう苦慮していますまた当然プロセスを持続および繰返し可能にする必要があります効率を上げてコンプライアンスのコストを下げるには規模の課題への取り組みのほか自動化も重要です自動化によってヘルプデスクと管理リソースへの依存度や監査の失敗の原因となりうる手動エラーのリスクが低下するためプロセスの効率化と高速化を実現できますもっとも重要な点は自動化により持続および繰返し可能な監査プロセスが構築されるため新しい規制に対処したり監査のたびに準備したりするためにゼロから始めることなく企業が継続的な方法でコンプライアンスに対応できることです図 7. 規模の課題への対応 Oracle Identity Governance Suite は非常に高度なインテリジェンス機能詳細なリスク分析個人別のビジネスユーザー向け認定および実用的なダッシュボードを搭載しており堅牢な ID 認定機能のセットを提供しますこれによりアクセス認定プロセスで大幅な時間とコスト削減を実現しビジネス上の決定を支える考察を得ることができますアクセスのレビューおよび取消しプロセスの自動化によりアクセス制御を統制する規制に準拠するための全体コストを制御しコンプライアンスおよび監査活動の実行に必要なリソースを減らすことができます 11

この認定ソリューションでは複数の企業リソースやアプリケーションから ID データを自動的に収集関連付け監査しリスクベースの認定キャンペーンを動的に生成しパーソナライズされたビジネス向けの UI でビジネスレビューア ( マネージャーなど ) や IT レビューア ( アプリケーション / データ / ロールの所有者など ) に示すことができますレビューアには

13 この認定ソリューションでは複数の企業リソースやアプリケーションから ID データを自動的に収集関連付け監査しリスクベースの認定キャンペーンを動的に生成しパーソナライズされたビジネス向けの UI でビジネスレビューア ( マネージャーなど ) や IT レビューア ( アプリケーション / データ / ロールの所有者など ) に示すことができますレビューアには認証レビューに必要な膨大になる可能性があるユーザーアクセス情報を維持するのに必要なインタラクティブなツールがスプレッドシートタイプのビューや高度なソート / フィルタリング機能および自動認定オプションにより提供されます図 8. Oracle Identity Governance Suite リスクベースの認定図 8 に示すとおりこのソリューションにはビジネス中心の認定ユーザーインタフェースと認定キャンペーン生成ツールが含まれており豊富な識別リスク分析が導入されていますこのためレビューアには認定の迅速な完了に必要なツールやコンテキスト情報が提供されますユーザーの ID ライフサイクル全体にわたるリスク集計 / 提示が認定レビューを効率的かつ持続可能な方法で実行するための中心的な基盤を提供しますエンドユーザーのリスクプロファイルはユーザーのロールリソースエンタイトルメントおよびイベント ( 最終認証決定未処理の監査違反やプロビジョニングイベントなど ) に関連付けられた明確な高 / 中 / 低スコアによって決定されますこのためレビューアは " 最重要点 " に特化して高リスクなユーザーアクセスの優先順位付けや認識を迅速に行うことができますこれにより認定サインオフプロセスがスムーズになりユーザー満足度が向上しますまたこのソリューションはレビューアに対し誰が何にアクセスできるかだけではなくアクセスが適切に割り当てられたかどうかまたどのように使用されているかといったあらゆる角度からユーザーのアクセス権を見た全体像を提供することで業務上のリスクを軽減しますこのようにあらゆる角度から検証することでレビューアは有用な監査情報 ( 以前の認定決定割当てに使用したルールやアクセスポリシーなど ) やロール / エンタイトルメントのメタデータ ( ビジネス用語集やエンタイトルメント階層ロール使用状況分析 IT 監査違反など ) を全体的に把握でき包括的なフォレンジック機能を利用してインテリジェントに認定決定を行うことができます 12

14 認定とプロビジョニングの堅牢な統合の一部としてレビューアはユーザーに対するアクセス割当て方法を確認し視覚的なリスクインジケータを使用して高リスクなプロビジョニングイベントを特定できますたとえばアクセス権がアクセスリクエストを使用したユーザーにプロビジョニングされた場合レビューアは認定時に関連する承認証跡を確認し低リスクイベントとして認定できますただしプロビジョニングのリコンシリエーションの一部としてターゲットプラットフォームやアプリケーションでアクセス権が直接ユーザーに割り当てられた場合これらのアクセス権が ( 不正に割り当てられた可能性がある場合は ) 監視され高リスクプロビジョニングイベントとしてフラグが付きます認定ではすべての高リスクイベントにただちにフラグが付きますこのためレビューアはユーザーアクセスについてインテリジェントに決定し既存の手動制御に関するコストを大幅に下げて監査効率を上げることができますこの結果企業全体で " 最小限の権限 " が実施されますロールの使用によって認定レビューでの管理対象の数が減るためコストを削減できますまたビジネスレビューアが認証対象について理解しやすくなりますこのソリューションにはロールと実際を比較するレビュー機能がありますレビューアはこの機能を使用してユーザーがアクセスできるロール例外的なアクセス権またはロール割当てに含まれないアクセス権を迅速かつ効率的に認証できます認定レビューを自動化しているときに持続可能性を実現する他の機能として増分認定の概念があります増分認定ではレビューアが前の認定サイクル以降に変更されたアクセス権のみを認定できるため時間とコストを節約し効率を上げることができます従業員の異動などのイベントは企業内で一般的なことですこの認定ソリューションではイベントベースの認定レビューに基づいてイベントを動的に生成し一連のビジネスで異動したユーザーに割り当てられる新規アクセスを監視しながら不要なアクセスを自動的に修正しコンプライアンスに準拠したプロビジョニングアクティビティを実施することでこれらのイベントに対応します最終的にこのソリューションではクローズドループ修正が行われますこれによりターゲットシステムやビジネスアプリケーション全般にわたってアクセスのレビューや取消しを行う自動化されたエンドツーエンドソリューションが提供され修正が実行されなかった場合は修正確認とアラート送信が自動的に行われますこのため修正プロセスの自動化によってコンプライアンスのコストを制御しポリシー違反やコンプライアンス上の失敗のリスクを減らすことができます IT 監査の監視コンピュータ関連の犯罪の大半は内部関係者の悪意ある行動によって引き起こされることは周知の事実ですもっともよく知られる脅威の 1 つである不正行為はワークフローシステムを通じて自動化されたコンピュータ環境では特に検出が困難ですしたがってこのような違法行為を防止するメカニズムを実装することが非常に重要です次に IT 監査ポリシーによってこれらの小規模な手順に対するロールエンタイトルメントおよび権限の矛盾する組合せが同じユーザーに割り当てられることを防止しますアプリケーションの内外を通じてセキュリティポリシーを定義および適用する機能を持つ Oracle Identity Governance Suite は継続的に IT 監査ポリシーを監視しながらこれらのポリシーを実施するための包括的なソリューションです全社から収集した Identity Warehouse 内の ID データやアクセスデータ一式を利用して 1 つのアプリケーション内や複数のアプリケーション間で詳細なエンタイトルメントレベルやおおまかなロールレベルでポリシーを定義できますまた実施プロセスをスケジュール設定したりオンデマンドで実行したりすることができます 13

15 IT 監査監視エンジンはユーザーのプロビジョニング時 ( 特に職務に影響を与えうるジョブ変更の後 ) に発生する緊急の違反を自動的に特定しジョブ変更パスワードリセットなどの監査の競合によって影響が出る可能性のある実行中のアクティビティのレコードを維持しますアカウントリコンシリエーションおよび不正検出アカウントリコンシリエーションは規制準拠の主要な制御目標ですこれは管理者が ID 管理システム外で発生したアクセス権限の変更を検出できるためですこのようなアカウント変更は不正行為である可能性がありますこのためソリューションではさまざまな修正アクティビティ ( 例外承認認証サイクルエンタイトルメントのプロビジョニング解除アカウント無効化など ) がトリガーされますアカウントはソリューションで定義されている相関関係ルールに基づいてユーザーの ID にリンクされます相関関係ルールによってアカウントと既存の ID をリンクできなかった場合管理者はアカウントを手動でマッピングできます一般的にこれは厳密なユーザー ID 生成ポリシーの策定前に作成された古いアカウントの一部で発生します手動リンク後にも他のユーザー ID にリンクできない可能性があるアカウントが残る場合がありますこのようなアカウントは通常特殊な特権アカウントサービスアカウントまたは孤立アカウントとして認識されますアカウントが特殊な目的で特定の時点で作成されその後は不要になった場合孤立することがあります孤立したアカウントはソリューションから直接プロビジョニング解除されます自動リンクと手動リンクアカウントの特定および孤立アカウントの修正のプロセスは通常は Oracle Identity Governance Suite を使用して新しいアプリケーションの登場の最初のフェーズとして実行されるデータクレンジングの一部ですただし定期的なリコンシリエーションでも作成された孤立アカウントを検出できます監査とレポート Oracle Identity Governance Suite にはソリューションの Identity Warehouse に保管されたユーザー ID アクセスおよび監査データに基づく包括的かつ実用的なダッシュボードおよび高度な分析機能がありますこのソリューションが提供する各種のコンプライアンスおよび業務ダッシュボードを使用するとロール職務分掌ポリシー監査ポリシー修正追跡およびその他の制御上の観点からコンプライアンスおよび業務ステータスを素早く確認できます通常コンプライアンスダッシュボードは役員レベルのコンプライアンス監視に使用されます一方 BI テクノロジーを使用した標準の詳細レポートは IT スタッフビジネスユーザー監査人が組織内の ID データの利用可能な豊富な情報を体系的に分析するために使用されますビジネスユーザーコンプライアンスおよび監査責任者その他のエンドユーザーは必要に応じてダッシュボードをカスタマイズできますまたソリューションデータディレクトリの発行により顧客がこれらのレポートやダッシュボードを拡張して自身のレポートやディレクトリを構築できます認定の観点からは完了した認定データはすべて監査目的のためアーカイブされますこれにより監査人に対してアクセス権の現在および過去の所有者や権限の種類および取り消されたアクセス権が実際にターゲットシステムやアプリケーションからの修正であったかどうかなどに関する詳細情報が提供されますユーザーアクセス権で実施されたあらゆるアクションの堅牢な認定履歴も使用できますこれにより組織は監査をパスするための重要な情報を入手できます 14

16 ソリューションによって標準提供されるレポートには次のようなものがあります企業内の事業部門ごとにユーザーに割り当てられたロール企業内の事業部門ごとにユーザーに関連付けられたアカウント企業内の各部門内のロールおよび関連ポリシーすべてのエンタイトルメントロールアプリケーションおよびその所有者のリスト企業内ユーザーに関連付けられた特権エンタイトルメントポリシーを持たないロールロールを持たないユーザーエンタイトルメントを持たないユーザー関連ユーザーを持たない業務部門など重要な関連付けに必要なデータの欠如を分類した業務上の例外レポートユーザーの期限切れロールの期限切れおよびユーザーに対するロールの期限切れを記載した期限切れ予測レポート企業内の削除済みユーザーを表示した履歴報告のための削除済みユーザーレポートユーザーごとのロール外のアクセスを表示した割当てと実績の比較レポート不正アカウントの特定や正しい所有者へのアカウント割当てを正確に実行できる孤立アカウントダッシュボード ( 認定レビュー中に ) 取り消されたアクセスやその修正ステータスの包括的な監査証跡を提供する修正追跡ダッシュボード包括的な例外管理監査証跡を含む ID 監査違反 ( ユーザーアクセスの不正な組み合わせによる IT 監査の例外を修正するために修正者が実施したアクションが表示されます ) 指定期間内に特権アカウントのパスワードをチェックアウトしたユーザーの詳細レポート結論今日の組織は職務の遂行に十分なアクセス権を求めるユーザーのニーズと厳密なガバナンスプロセスの実施によるコンプライアンス指令の遵守を両立させるためさまざまな課題に直面しています Oracle Identity Governance Suite はアクセス権の付与とアクセス監視を融合することで ID ガバナンスに特化しこのようなガバナンス上の課題を解決しますこのソリューションではユーザーは必要なときにアクセスを入手するとともに予防的な監視制御が十分に行われ職務遂行に必要となる以上のアクセス権がユーザーに付与されないようになっていますこのようなクローズドループガバナンスでは統合されたプラットフォーム手法によって問題を管理する必要があります Oracle Identity Governance Suite ではその緊密な統合や一般的なデータモデルおよびプラットフォームに基づくアーキテクチャで差別化を図っています 15

17 統合的なIDガバナンスビジネスホワイトペーパー 2012 年 7 月 Oracle Corporation World Headquarters 500 Oracle Parkway Redwood Shores, CA U.S.A. 海外からのお問い合わせ窓口 : 電話 : ファクシミリ : Copyright 2012, Oracle and/or its affiliates.all rights reserved. 本文書は情報提供のみを目的として提供されておりここに記載される内容は予告なく変更されることがあります本文書は一切間違いがないことを保証するものではなくさらに口述による明示または法律による黙示を問わず特定の目的に対する商品性もしくは適合性についての黙示的な保証を含みいかなる他の保証や条件も提供するものではありませんオラクル社は本文書に関するいかなる法的責任も明確に否認し本文書によって直接的または間接的に確立される契約義務はないものとします本文書はオラクル社の書面による許可を前もって得ることなくいかなる目的のためにも電子または印刷を含むいかなる形式や手段によっても再作成または送信することはできません OracleおよびJavaはOracleおよびその子会社関連会社の登録商標ですその他の名称はそれぞれの会社の商標です IntelおよびIntel XeonはIntel Corporationの商標または登録商標ですすべてのSPARC 商標はライセンスに基づいて使用される SPARC International, Inc. の商標または登録商標です AMD Opteron AMDロゴおよびAMD Opteronロゴは Advanced Micro Devicesの商標または登録商標です UNIXはX/Open Company, Ltd. によってライセンス提供された登録商標です 0112

Oracle Cloud Adapter for Oracle RightNow Cloud Service

Oracle Cloud Adapter for Oracle RightNow Cloud Service Oracle Cloud Adapter for Oracle RightNow Cloud Service を使用すると RightNow Cloud Service をシームレスに接続および統合できるため Service Cloud プラットフォームを拡張して信頼性のある優れたカスタマ