特権IDとは？管理する方法やポイント、リスクなどを徹底解説！

昨今、企業を取り巻くセキュリティインシデントの数が急激に増えています。インシデントの発生を防ぐ、そして発生しても軽度の問題に押さえる上で管理者権限を持つ特権IDを適切に管理する事が重要です。本記事で詳しく特権IDについてご紹介しますので、是非最後までご覧ください。

特権IDとは

情報システム上などで、一般的なユーザーが所持していない特別な権限を付与されたアカウントを意味します。また、システムを維持・管理していくために設けられたものでシステムにも大きな影響を与える権限といえ、取り扱いには十分注意することば求められます。

そもそも「特権」の意味は？

特権とは、特定の人に与えられる権限で、かつ与えられたことにより優越的な意味も付加されるものと考えられています。また、特定の資格や職務に就く者に与えられる特別な権利とも解されます。

特権ID管理の不足が招くリスク

特権IDは特段の理由がない限り、複数の者が共有していることが多いのが現症です。これは、良い面としては、１人のみしか管理していなかった場合、IDパスワードを忘れてしまった場合に対応が極めて困難となることがあるためです。そこで、最低限の人数ではあるものの、複数の者で共有するという選択がなされていると言えるでしょう。

しかし、悪い面も存在します。常に特権IDが付与されると、基本的にいつでもログインが可能です。しかし、複数であっても、母集団としては、「少人数制」であることから疑問が生じても、他者から指摘されることが少なく、申請や承認の手続きが惰性になりやすいということです。一度惰性で行われるようになってしまうと、その状態から抜け出せることが難しくなります。また、抜け出す以前に、既にリスクを孕んでいるという現状にすら気づけないことがほとんどです。

また、「いつ、誰が」は履歴を追えば確認できるものの、「何のために」という視点の確認がとれません。よって、業務とは無関係の背信的な利用をされてしまうと、そもそもログインし、確認できる人員が少人数であるために、問題発生時に追跡調査が出来る人員数にも限りがあるということです。

当然、監査時においても申請や承認の管理が杜撰な体制が放置されていると「結果的に」不正利用がなかったとしても、疑念を持たれしまうことは想像に難しくありません。また、そのような状態は企業内コンプライアンスの視点からも望ましい状態ではありません。

特権IDに関わるインシデントの事例

いくつか事例をご紹介します。

都内の某システムインテグレーター企業

システムインテグレーター企業で、利用時に他の利用者のユーザーIDを含むエラーメッセージが表示される、利用時に他の利用者のログイン画面が表示されるとの問い合わせがあり、ログなどを調査しました。そして、システムのトラフィック増大等が起因して、処理に遅延が生じた際にサービス利用中に他のユーザーとセッションの取り違えが発生する不具合が検出されました。

更に、ログ分析、脆弱性診断をしたところ、外部からの攻撃や侵入されるリスクは検出されなかったとしています。本件は、問い合わせ段階から迅速に調査に踏み切ったことが被害が広範囲に及ぶ前に食い止めた事例とも言えます。

企業は、可能であればインシデントを発生させたくなく、また、認めたくないという意識もあろうかと考えます。しかし、インシデントをゼロにすることはできませんので、一度起こったインシデントから数多くの学びを得て、次に活かすという姿勢が大切です。

データベースへのアクセスはログに残るのが通常ですが、特権IDにより修正されてしまうリスクもあり得ます。当然、日常の業務もあることから、このような不正利用をリアルタイムで発見・調査していくことは難しいと言えます。しかし、明らかに不自然な動き（例えば大容量のデータが移し替えられている）があった場合は、早期の調査が必須となります。

他の事例からの教訓として、特権IDは事実上の「フルコントロールの権限」を有したIDを必要時に選ばれた者（付与することが相応しいと認められる者）のみに使用可能とするものです。よって、サイバー攻撃や内部関係者による不正利用も通常のIDより特権IDの方が標的になりやすいということです。

このようなサイバー攻撃は年々緻密化していき、完璧に防ぐことは極めて困難と言えるでしょう。以前は、予防的な対策が主流であったものの、現在は、発見的な対策へシフトしています。

また、情報漏洩によるインシデントとして、完璧に防ぐことは難しくても、早期に気付けるかは重要なポイントです。また、発見後にも早期に事実確認できるかも重要です。また、その調査の迅速度を左右するのも特権IDの管理ということです。

近年では、情報セキュリティの脅威として、標的型攻撃による情報流出があります。対策としては、境界を突破されたとしても管理者情報を守る施策が求められます。

ベネッセ

個人情報漏洩事件として、2014年に会員からの問い合わせにより事件が発覚しました。同社が展開する教育サービスに会員登録している各家庭に全く知る由もない企業からダイレクトメールが届くようになりました。この問い合わせを受け、同社では、社内調査を開始します。結果として、登録会員約2,900万件の個人情報が漏洩していることを突き止めました。

尚、漏洩した個人情報は、以下のとおりです。

• 保護者指名
• 子供氏名
• 子供性別
• 子供生年月日
• 住所
• 電話番号

これらの情報はどのように外部へ持ち出されたのでしょうか？警視庁の捜査の結果、当時、同社東京支店に勤務していた男性の派遣社員が関与していたことがわかりました。同社では、個人情報の管理を更にグループ企業へ委託しており、そこから、複数の外部下請け企業が存在していることも分かりました。

結果として、同社では、情報漏洩に対する謝罪として、図書カードなどのお詫びをおこない、類型費用として、約136億円の赤字を被ったということです。

特権ID管理をする上で必要なポイント・ベストプラクティス

特権ID管理の重要性やインシデントの事例を挙げてきましたが、適切に特権IDを管理するためにはいくつかのチェックポイントがあります。

1つは、フレームワークを参考にすることです。代表的なフレームワークとしてISO27000シリーズがあります。これは、情報セキュリティマネジメントシステム（ISMS）の要求事項と実践規範を記載しており、国際規格として日本でも広く使用されています。また、フレームワークを意識した特権ID管理に特化した製品も販売されています。フレームワークを適用するには、自社で行うだけでなく、専用の製品を購入し、適用負荷のかからない仕組みを導入することも検討するとよいでしょう。

特権IDの利用者を限定・承認制にする

特権IDの利用者を承認制にする企業は増えています。手順としては、申請を出発点として、権限を付与された者が承認することで、申請者に対し、どんな目的で申請するのか？といった情報を把握できる状態にします。また、申請から承認のフローも明確化しておく必要があります。そして、承認の際に、悪用防止の意味を明確に伝えて、「操作の録画」を行うことが（企業として）可能であればその旨を伝えることも選択肢になり得ます。

例えば、無告知で録画していた場合、場合によっては、プライバシー権の侵害を主張される可能性もあります。今回は業務上の必要性（故意または故意ではなくても情報漏洩が発生した場合に早急に出所を把握するためなど）を明示することで一定の抑止力にはなり得ると考えます。

脆弱なパスワードを利用しない

最も陥りやすい誤りとして、忘却防止のためにパスワードを使いまわすことです。パスワードの流出も完全になくすことは困難と言えます。また、一度流出してしまうと、当然見えないところで第三者の手に渡り、売買されるということも起こり得ます。また、流出したパスワードを分析すると、単純な数字の羅列や容易に推測できる英単語の組み合わせ、キーボード上で近接したアルファベットの組み合わせは極めて危険です。

２段階認証を設定する

２段階認証とは、パスワード入力の他にセキュリティコードの入力を追加するなど、不正アクセスを防止するための仕組みです。なぜ、２段階承認の必要性が叫ばれているかと言うと、昨今増えてきている他人のなりすましを防ぐためです。なりすましを防止するには、セキュリティ強化が必要となります。パスワードは漏洩してしまったが、セキュリティコードは漏洩していない場合、不正アクセスを未然に防ぐことは可能です。

また、2段階認証を設定するデメリットも可視化しておきましょう。それは言うまでもなく管理が煩雑になるということです。また、ログインできるまでに要する時間も（積算すると）大きな時間になると言えるでしょう。しかし、上記に述べたデメリットは、不正アクセスを未然に防ぐというメリットと比べると大きいとは言えません。よって、上記以外の2段階認証の種類を確認し、自社にあった2段階認証を導入するのも選択肢です。

音声通話

電話への着信によって、自動音声で認証コードが伝えられる方法です。特定の電話番号で着信できる環境に身を置く必要があるため、圏外となってしまう場所や、聴覚障害をお持ちの方では、選択することが難しくなります。

2.Ｅメール

使用しているメールアドレス宛に認証用のワンタイムパスワードや認証用のURLが送られてきます。しかし、プロバイダから提供されているメールアドレスを利用している場合はプロバイダを変更するとアドレスが変わってしまうことで、2段階承認ができなくなります。よって、プロバイダ変更時は認証用のメールアドレスの再設定を行うことが重要です。

また、メールアドレスによる2段階承認に関わらず、既に第三者に漏洩している場合、2段階承認であっても、情報漏洩を防ぐことが難しくなります。受け取るメールアドレスがまずは安全であるかの確認が大前提です。

アクセスログ・履歴を参照できるようにする

アクセスログとは、どのような通信が行われていたか、どのような操作が行われていたかなどを時系列で保存したものです。通信やアクセスの送信元、送信先のIPアドレスなどが対象となっています。

そして、アクセスログは障害の原因究明にも役立つもので、システムの保守や管理にも欠かすことのできないものです。障害の前後には何らかの前兆が見えるものです。それがログをでき追うことで、炙り出され、ピンポイントでの対策や、傾向の把握にも役立つと言えます。また、セキュリティ対策として、情報漏洩が起こった際の追跡調査でも威力を発揮します。そして、何より、不正行為に対する威嚇攻撃や、抑止力が担保されていると言えるでしょう。

以前は、上場企業のみが義務的に取り組んでいたアクセスログの管理も、近年は、企業規模問わず、導入するようになりました。また、世代により、情報リテラシーの格差が無視できなくなり、一定の教育と並行して、時代に則した管理方法もクローズアップされているということです。

また、アクセスログ管理は以下の3段階に分けられます。

当然、甚大な被害が及んでしまい、報道発表され、第三者機関が調査に乗り出した場合でも、保管が出来ていなければ、会社としてのガバナンスに不信感を持たれてしまいます。そのような不信感はレピュテーションリスクとなり、株価の下落や、取引先とのグリップ力の弱体化など、立て続けにデメリットを被ることにもなりかねません。

今まで手付かずであった場合でも、デメリットが可視化されると取り組みへのハードルは下がるものです。実際に事故が起こった場合でも全く対策をしていなかった場合と比べて、何らかの取り組みをしておくことで、企業に対する不信感は低くなります。この機会にまずは、できることから着手していくことが大切です。