米CyberArk Software アジア太平洋・日本地区担当副社長のVincent Goh氏
「特権アカウントは、システム担当者だけでなく経営層も含めて管理することを忘れるべきではない」――特権アカウント管理製品ベンダーの米CyberArk Softwareでアジア太平洋・日本地区担当副社長を務めるVincent Goh氏は、セキュリティ対策におけるアカウント管理のポイントをこう話す。同氏は、大半のサイバー攻撃で特権アカウントが悪用されていると指摘する。
特権アカウントの管理は、ITシステムの不正利用を防ぐセキュリティ対策の基本であり、「常識」ともいえる。まずは権限の数を必要最低限にし、利用する際にはだれにどの範囲で許可するかを決め、どのように使われたのかも記録する。利用後に放置しないことが鉄則だ。
それにもかかわらず企業や組織には、従業員数の何倍もの数の特権アカウントが存在するとGoh氏。システムの運用管理の都合から、一時的にシステム担当者へ特権アカウントを付与するケースは多いが、問題はそうした特権アカウントが放置されてしまうことにある。サイバー攻撃者あるいは悪意のある内部関係者は、さまざまな手口で管理の行き届いていない特権アカウントを入手、悪用し、システムへの不正侵入を通じて機密情報を搾取する。
このため管理すべきアカウントの対象は、システムを日常的に利用する従業員や、業務委託の場合も含めた運用管理の担当者が中心になると考えがちだ。当然ながらシステムを利用する可能性を考慮していれば、冒頭に挙げたGoh氏のコメントのように、経営層までも管理対象に含めないといけない。その必要性が理解されていても、実際には不十分なまま見過ごされてしまい、結果的に管理から抜け漏れた特権アカウントが潜在的なリスクとなっていく。
Goh氏は、「情報漏えいを防ぐ上でマルウェア感染を防いだり、Data Loss Prevention（DLP）で対象データを検出したりするなどの方法があるものの、特権アカウントを奪われて悪用されてしまうことは防げない。その意味で特権アカウントそのものを管理することは、セキュリティ対策における『最後の砦』だ」と強調する。
