特権IDの「アクセス管理」がIT全般統制のカギ

IT部門等でIT全般統制において不備を指摘されやすいのが、職務分掌とそれに基づくアクセス管理である。

IT業務においては開発と運用で職務を分け、開発・運用者といえども誰もが本番環境へ勝手にアクセスできない仕組みが必要だ。

しかしながら、1人で何役もこなしがちな開発・運用現場へ厳格な職務分掌を適用するのは難しい。システム開発者・運用者が各サーバの特権IDを共有している場合、通常の改善方法では、導入期間、工程、コストともに負荷が大きすぎてしまう。

そこで、開発者・運用者が本番環境へアクセスする際、統制上問題になりやすい「共有・共通の特権ID」を使いながらも、利用しているシステムを変更することなく個人を特定したログを取得することができ、現在の業務形態のままでも迅速かつ費用対効果高く日本版SOX法に対応したアクセス管理を確立できる手法を、出光興産株式会社の具体的な事例も交えて紹介する。