「特権ID」はネットワークセキュリティ上、非常に大きな役割を果たします。企業の重要な情報を守るためには、この特権IDには適切な管理が欠かせません。不適切な管理方法は、甚大な被害を招く恐れもあります。本記事では、特権IDの概要や現状、実際に起こった事件などについて解説します。
特権IDとは？
「特権ID」とは、文字通り「特別な権限を有するID」を意味します。「特別なアカウント」とも言えるでしょう。具体的にどのような点で特別なのかは、運用の仕方によって異なります。そのため、場合によってはシステムのシャットダウンを行う権限を有していたり、多くのユーザーに関する管理権限を有していたりもします。
例えば、WindowsにおけるAdministratorや、Linuxにおけるrootなどがこの特権IDに該当しますが、これらだけが特権IDにあたるということでもありません。特別な権限が与えられてさえいればよく、厳密な定義がなされていないからです。そのため、Administratorやrootといったものでなくとも、それらと同等の権限が付与されているなら、それもまた特権IDと言えます。
実際、日本ネットワークセキュリティ協会（JNSA）が発行した「エンタープライズにおける特権ID管理解説書」によると、「システムの維持・管理のために用意され、起動や停止をはじめとするシステムに大きな影響を与えることができる権限」と定義されています。難しく考える必要はなく、「一般的なIDには許可されないことが、できるようになるID」程度に捉えておけばよいでしょう。
特権IDの現状
特権IDとそうでないIDを使い分ければ、複数人でシステムを扱っている場合などに役割分担ができ、運用能率および安全性を高められます。しかしながら多くの企業では、適切な管理ができているとは言えず、さまざまな問題を抱えているのが現状です。特に中小企業では、情報セキュリティに対する意識がまだまだ低く、管理の問題はより深刻な状態であると言えます。
その理由としては、「自社がサイバー攻撃などの対象になることはないだろう」「内部不正は起こらない」などと捉えていることが挙げられます。こうした問題は大企業などに起こるものであり、他人ごとのように考えている企業は少なくありません。
しかし、特権IDが関係する問題は、どの企業でも起こり得るものです。また、そのとき生じる被害は甚大なものである可能性が高いでしょう。自社内で完結するならまだしも、取引先や顧客なども巻き込まれる恐れもあるため、企業規模に関係なく適切なID管理がなされなければならないのです。
特権IDの管理不備が引き起こすリスク
ここでは、特権IDの管理に不備がある場合、どのような問題が起こり得るのかを紹介します。いずれも実際に起こった事件なので、セキュリティに対する意識を高め、適切な管理運用に取り組むための参考にしてください。
某総合印刷会社
2007年、某総合印刷会社にて実に864万件もの個人情報の漏えいが発覚しました。一度にすべての個人情報が流出したのではなく、5年に渡って繰り返し個人情報が漏らされていたとのことです。このことは、業務委託先の社員を調査した結果、ようやく判明しました。
同社においては、まったくセキュリティ対策が取られていなかったわけではありません。個人情報を保護するため、サーバールームへの生体認証を行い、入退室の管理も行っていました。さらに監視カメラも設置し、定期的な内部監査まで実施していたそうです。
それにも関わらず、長い間この事実に気づかなかったのは、特権IDの不正利用が原因だったためです。物理的な対策は上記のように施されていたため、侵入者などの問題があれば、すぐに発覚できたことでしょう。しかし、同社は業務委託をしており、内部に出入り可能な人物による不正な操作が原因であったため、上記の対策では不十分だったのです。
これを受け、同社は管理体制を強化。個人情報を書き出しできる社員を限定し、さらに作業ログの監視および外部監査の実施なども行うようになりました。
某大手通信教育会社
続いて紹介するのは、某大手通信教育会社で2014年に発覚した事故です。こちらでは約3,500万件もの個人情報が流出しており、日本史上最大規模の情報漏えい事故として知られています。同社はこの事件への処理に関し、260億円もの特別損失を計上しています。
この事故において、同社はシステムの開発から運用をグループ会社に委託していました。そして、そのグループ会社も一部業務を外部企業に委託し、さらにその外部企業も再委託をするという、歪な下請け構造が形成されていました。
この事故に限らず、いわゆる「多重下請け」は大元の監視下から外れやすく、しばしば問題視されています。実際、この事故では再委託先の従業員が個人情報流出に加担し、多大な損失を生じさせています。
この事故に加担した作業者は、外部媒体への書き出しに関し、本来機能するはずの制限が働いていないことに目を付け、スマートフォンに大量の顧客情報を格納して持ち出したと言われています。
これは、権限の付与を厳格に行っていれば防げたはずの事故です。そこで同社は、この事故を受け、特権付与の厳格化および特権IDの管理強化などを行っています。「情報の閲覧のみができる権限」と「操作ができる権限」を分けて、その動作を完全監視し、さらにデータの出力を不可能にしました。
某システムインテグレーター企業
最後に紹介するのは、被害を事前に食い止められた事例です。某システムインテグレーター企業に対し、利用者から「挙動がおかしい」という問い合わせがあったことをきっかけに、被害を防げたというものです。
問い合わせた方によると、他ユーザーのログイン画面が表示されるとのことで、これを受けて同社がログなどを調査。その結果、トラフィック増大などが原因で、他ユーザーとセッションの取り違えが起こっているという不具合が検出されました。同社は、さらにログ分析・脆弱性診断を行いましたが、攻撃や侵入の形跡は見つからず、大きな問題にはなりませんでした。
この事例では、迅速に調査を行ったおかげで何も被害が起こりませんでしたが、対応が遅れていれば大きな問題に発展していた可能性もあります。被害の内容によっては、規模の大きな事故に発展していたかもしれません。
セキュリティインシデントにおいては、少しでもおかしな挙動があればすぐに調査し、対応することが大切です。特に、近年では攻撃も高度化しており、インシデントの発生を完全に防ぐことは困難になりつつあります。そのため、企業は予防だけでなく事後対応にも着目し、速やかな復旧と被害の最小化に努めることも求められています。
特権ID管理をする上で重要なポイント
トラブルが起こらないようにするには、以下のポイントを押さえて管理することが大切です。
特権ID利用者を限定
まずは、特権IDの利用者を限定することが基本です。容易に特権IDが利用できてしまうと、わざわざ特権を付与している意味がなくなってしまいます。そこで、利用が認められている人物以外、パスワードを知り得ないように管理しなければなりません。
また、「許可された人物のみが本当に利用できているかどうか」の確認も重要です。適切なログ監視を行えば、正当な利用者が使っていないにも関わらず記録が残っていた場合、誰かが不正を働いた可能性に気づけるでしょう。
強固な仕組み作り
特権IDの利用を限定するためには、単にルールを定めるだけでは不十分です。悪意ある者が積極的に動いたとしても、特権IDを使えないような仕組みを作らなくてはなりません。そこで、ワンタイムパスワードや指紋認証を利用したり、二段階認証を設定したりすることが有効です。
また、常に現状を把握し、何か異常が起きていないか分析を行うことも大事でしょう。これは予防ではなく、迅速な事後対応という観点から特に重要視されることです。IDを強固に守っていたとしても、高度な攻撃によって盗み見られる可能性は否めません。そのため、常に「インシデントは起こり得るもの」と考えて行動することが大事です。
そのほか、管理を効率的かつ効果的にするためにも、専門のソリューションを活用するのもおすすめです。近年ではさまざまな管理ツールが登場しているため、自社に適したものがないか検討してみましょう。
ID管理を簡素化するOne Identityの特権アカウントのガバナンス
IDの管理を適切にしなければならないと言われても、具体的にどうすればよいのかわからない方も多いことでしょう。そこでおすすめなのが、Quest Softwareグループ提供の「One Identity」です。ID管理を重視したセキュリティ戦略をサポートしてくれます。
従来の特権アカウント管理（PAM）システムでは、非特権アクセスの領域との統合が十分ではなく、円滑な管理が難しいという課題を抱えていました。「One Identity」であれば、この点を解決し、スムーズな管理が実現できます。
「One Identity Manager」と「One Identity Safeguard」という2つのソリューションを統合・一元化することで、コンプライアンスおよびガバナンスの簡略化も図れるうえ、冗長タスクの削減なども期待されます。
まとめ
特権IDは、通常のアカウントには付与されていない特別な権限を持つIDのことです。適切に利用すれば安全性を高められる反面、管理に不備があれば重大な事故を起こすきっかけにもなってしまいます。そのため、ツールなどを使いつつ、安全に管理運用するよう努めましょう。
