コロナ禍の2020年は、多くの企業や組織が感染対策の緊急措置からテレワークを導入し、それに伴うクラウドサービスの利用も急拡大したとされる。特権管理ソリューションを1999年から手がけるCyberArk Software 執行役社長の智田公徳氏は、オフィス以外の場所からシステムを利用する機会が増えたことで、「企業や組織の間でようやく特権アカウントの管理に乗り出す動きが広まり始めた」と話す。
CyberArk Software 執行役社長の智田公徳氏
例えば業務システムにおける特権アカウントは、極端に言えば、システムで可能な操作のほぼ全てを実行し得る強力な存在だ。万一サイバー攻撃者や悪意のある内部者などに使われれば、システムの乗っ取りや機密情報の窃取などの深刻な被害につながる。そのため特権管理はシステム管理の基本とされる。
しかし、こうした深刻な被害を伴うセキュリティインシデントが現実に発生していることを見ると、実際には適切な特権管理が実施されていない可能性が考えられる。よく聞かれるのは、サーバーの緊急メンテンス作業のために担当者へ一時的に割り当てられた特権アカウントが作業後も停止されることなく放置されてしまうようなことだ。それでも、特権でシステムにアクセスできるのはLAN環境などというように、ある種の条件的な要素を伴うことから、特権管理が多少緩い状況でも大きな問題になることが多くはなかったようだ。
智田氏は、「ある小売企業は、リモートワークによりどこからでも特権を使ってシステムに入れることがサイバー攻撃のリスクを高めると考えたが、既に割り当てた特権を外すと仕事ができないとクレームがあり、CyberArkを導入した。まず特権に関するポリシーを整備し、必要な時に限定した特権の申請や割り当てを行うフローを構築した。整備の必要性に気づいていたが、コロナ禍の対応が落ち着いてようやく着手できるようになったところが多い」と話す。
別の企業では、事業ドメインごとに特権アカウントの保有者やその管理がバラバラな状態で、全社的なガバナンスが効かせることが困難だったという。このため、CyberArkの特権管理基盤を導入して、まずは全社的に管理していく環境整備に乗り出したそうだ。
特権アクセスとリスク
特権管理は、長らく必要性が叫ばれながらも日本で深く浸透してこなかった。その理由を智田氏は、ID管理担当者の不在にあるとも指摘する。
「海外の企業や組織のIT部門では、基本的にIAM（アイデンティティとアクセスの管理）担当者を置いている。日本ではいろんなユーザーが特権を使う状況があり、運用で何とか対応してきた。それでは困難になると、考えを改め始めている」。智田氏によれば、特権管理の考え方を改めるのは、システムに対するセキュリティテストの結果や外部コンサルティング会社の指摘がきっかけになることも多い。
特権管理製品の“老舗”のCyberArkとしては、RPA（ロボティックプロセスオートメーション）ツールの特権管理にも対応するなど、現在のIT利用に即した変更を加えてきているという。また、製品をSaaSベースに大規模改修する作業も進め、今後はウェブアプリケーションの権限管理などの機能を提供する計画だという。
智田氏の話す特権管理の整備に乗り出す企業や組織の増加は、多様化するITの利用実態を踏まえて安全を確保していくトレンドになり得るかが注目される。
