アクセス管理とは？アクセス管理の必要性やアクセス管理プロセスについて解説

様々なWebサービスを社内で利用するためには、社員に対してアカウントを発行しなければなりません。

さらには発行したアカウントに対して、適切なアクセス権限を設定しアクセス管理をすることも必要です。

誤った権限を付与してしまえば、情報漏洩や不正使用などのセキュリティリスクを増大させてしまうからです。

アクセス管理が必要な場面やアクセス管理のプロセス、アクセス管理を最適化するためのヒントを見ていきましょう。

アクセス管理とは

アクセス管理とは、各社員がアクセスできるサービスやファイルの範囲が適切になるよう、アカウントのアクセス権限を管理することです。

仕事で使うサービスやファイルの範囲は、社員の所属部署や立場によって変わります。

社員が「業務に必要なサービスやファイルに問題なくアクセスできること」、かつ「不必要なものにはアクセスできないようにすること」がアクセス管理業務の基本となります。

アクセス管理が必要な場面

まずは、アクセス管理が必要な場面を具体的に見てみましょう。

異動が生じた場合

異動は、必要なアクセス権限の範囲が変わる事例の1つです。

異動前と異動後では業務に必要なツールやファイルの種類が全く違う場合があるからです。

例えば、ある社員が経理部から営業部へ移動したとします。

異動前の部署で使っていた記帳ツールは営業部では利用しないので、ツールへのアクセス権は削除しなくてはなりません。

また、営業部にて顧客管理ツールを使うことになれば、ツールへのアクセス権を新たに付与する必要があります。

昇進など立場の変更があった場合

昇進した人のアカウントは、より広いアクセス権限が必要となる場合があります。

業務の範囲が広がり、より責任の重い仕事を任される可能性が高いからです。

例えば読み取り専用から読み取り・書き込み許可へアクセス権限を変更する必要があるかもしれません。

他にも、以前は閲覧が禁止されていたファイルにアクセスできるよう設定を変更するパターンが考えられます。

休職や出向があった場合

休職や出向などで、一時的に社内業務から外れる社員が出たときもアクセス管理を行います。

この場合は社外秘情報を守るためにアカウント権限を削除、縮小します。

なお休職や出向の場合は後日業務復帰する可能性があるため、アカウントを完全削除するのではなく、アカウントを一時ロック（一時停止）して置くと良いでしょう。

ただし有料アカウントの場合は、一時停止しても料金が発生する場合があります。

いつまで一時停止状態にしておくのか、コスト面での検討が必要になるでしょう。

退社があった場合

社員が退社する場合は、アカウントを完全消去する作業が必要になります。

これは、社外へ情報が漏れるのを防ぐためです。

退社した社員は休職や出向の場合とは違い、もう業務にかかわることはありません。

社外から社内の重要情報にいつまでもアクセスされては困るので、アカウントは完全消去しましょう。

外注が生じた場合

社内作業を外注する場合にも、アクセス管理を行います。

外注先が作業を進める際に、社内ツールやファイルを利用するケースがあるからです。

この場合、外注先にもアクセス権限を付与することになります。

しかし、社外の人間がいつまでも社内情報にアクセスできる状況は好ましくありません。

外注先には期間限定のアカウントを発行する等、配慮が必要になります。

アクセス管理の重要性

アクセス管理は社内情報を守るためにとても重要です。

アクセス管理が重要である理由を見てみましょう。

第三者からの不正利用を防止するため

アクセス管理は、第三者からの不正利用を防止するために重要です。

アクセス管理を怠り、退職者の不要なアカウントを削除しなかった場合を考えてみましょう。

普段から頻繁に使われているアカウントは、身に覚えのない編集やアクセスに気が付きやすいです。

一方で退職者のアカウントは、使われないまま放置されています。

不正利用されても正式な利用者が気づく機会がないため、非常に危険です。

不要なアカウントは適切なアクセス管理によって速やかに削除されるべきです。

社内の不正行為を防止するため

アクセス管理は社員の不正行為を防止する意味でも重要です。

広すぎるアクセス権限を持っていたり、部署を移動したにもかかわらず不要なアクセス権限を維持していたりすると、社員は業務に必要のない情報まで入手できてしまいます。

社員が社外秘情報をライバル企業に売ったり、顧客情報を持ち出したりする事件を耳にしたことがあるかもしれません。

アクセス管理が適切に行われていないと社員がアクセスできる情報が増え、その分情報漏洩のリスクが高まってしまいます。

アクセス管理のプロセス

アクセス管理の具体的なプロセスはどのようなものなのでしょうか。

アクセス管理をどうするのか確認していきましょう。

アクセス要求をユーザから受け付ける

最初に、アクセス権に関する要求をユーザーから受け付けます。

例えば、デザイン課社員Aが新製品開発概要について書かれたファイルを閲覧したいとしましょう。

Aはアクセス権要求フォームにてファイルへのアクセス権を要求します。

アクセス管理担当部署は、このフォームを受け取って次のプロセスに進みます。

要求の妥当性を検証する

次にすべきは、要求されたアクセス権の付与が妥当なものであるかどうかを検証することです。

妥当性を検証するポイントは3つあります。

• サービスやファイルとユーザーの関係性
• 管理者の承認
• なりすましが行われていないかの確認

では、妥当性検証プロセスを具体例に沿ってみていきましょう。

先の例では、デザイン課社員Aが新製品概要のファイルへアクセスを要求していました。

社員Aは新製品開発プロジェクトに「パッケージデザインチーム」リーダーとして参加しているため、ファイルへのアクセスは業務上必要な行為です。

また、IDとパスワードが本人のものであるため、デザイン課に属する社員A本人よりフォーム送信が行われたものであると確認できます。

アクセス権の要求フォームは社員A直属の上司が承認手続きを行ったこともわかりました。

これらの要件をすべて満たすため、今回のアクセス要求は妥当なものと考えられます。

アクセス権を付与する

アクセス要求が妥当なものと判断されたら、該当社員のアカウント設定を修正してアクセス権を付与するプロセスに進みます。

社員の属性や仕事へのかかわり方によっては、期間限定のアクセス権を付与すべき場合もあります。

アクセス状況を監視する

アクセス権を付加した段階でアクセス管理が終わったわけではありません。

その後、ユーザーがどのようなアクセスを行っているかを追跡監視することも大事です。

一度は妥当と判断したアクセス権の付与ですが、実際の利用状況によっては判断を撤回しなければならないケースもあるからです。

ログの確認・追跡

監視結果を振り返り、アクセス権付与の妥当性を再検証するプロセスです。

例えば監視結果を振り返る中で、付与したアクセス権がほぼ使用されていないことが分かったとしましょう。

この場合のアクセス権は、ユーザーにとって不要なものだったと判断し直すべきです。

また、仕事とは関係ないファイルに不審なアクセスを繰り返しているアカウントはないかも確認しましょう。

怪しい動きをしているアカウントは、社員自身が不正利用を企てていたり第三者に乗っ取られている可能性があります。

アクセス管理を最適化するためのポイント

アクセス権を適切に付与し、運用していくにはどうすればよいか悩ましい時もあるでしょう。

そんな人のために、アクセス管理を最適化するためのポイントを見ていきましょう。

最小特権の原則（PoLP）を守る

最小特権の原則（PoLP= Principle of Least Privilege)は、アクセス管理をする際に心がけたい原則の1つです。

簡単に言えば「必要最小限のアクセス権のみを付与する」という原則になります。

本当に必要かどうかわからないデータやファイルへのアクセス権を次々に付与すれば、それだけ情報漏洩のきっかけが増えていってしまいます。

また、幅広い権限を持ったアカウントがウィルスの標的となれば大きな損害を生みます。

誤操作、編集ミスなどで大事なデータが損なわれる危険性も増すでしょう。

様々な情報セキュリティリスクを回避するには、アクセス権の範囲をできるだけ狭く設定しておくことが重要なのです。

1人1IDの原則を守る

ひとりにひとつのIDの原則とは、文字通りIDの正規所有者1人のみがIDを利用するべきという原則です。

「アカウントを複数人で使いまわさないこと」と言い換えることもできます。

社員ごとにアカウントを発行して管理するのはとても大変ですし、社員の方でもいちいちアクセス権付与の申請を行うのは手間に感じるでしょう。

だからといってアクセス権を持っているアカウントの貸し借り行為を許してはいけません。

もし不正利用や操作ミスがあった場合に、誰が問題を起こしたのか追及するのが困難になるからです。

アカウント貸し借りの過程で本人しか知りえないはずのパスワードが漏れてしまい、アカウントが危険にさらされる可能性も無視できません。

アカウントの貸し借りは禁止されていることを、社内に広く周知してください。

責任者や承認条件を明確に

アクセス権に関する責任者や承認条件がないと、アクセス権の設定がスムーズに行えず業務が滞る可能性があります。

アクセス権を承認する人があいまいな場合を考えてみましょう。

だれがアクセスを許可するのか決まっていないため、上司AさんとBさんが自分の裁量でアクセスを承認してしまうかもしれません。

これではアクセスできる社員が誰なのか全体を把握できる人がいないことになり、アクセスできる社員の範囲が不要に拡大してしまいます。

アクセス権の承認条件があいまいな場合はどうでしょうか。

部下からアクセス権の要求があった時、承認してよいのかどうか判断がつかない上司が続出するでしょう。

アクセス権の要求プロセスがあいまいな場合は、部下の方にも戸惑いが生まれます。

仮にアクセスを許可してほしいファイルがあっても、誰にどのように許可をもらってよいのか分からないからです。

アクセス権限に関しては、明確な責任者とアクセス権付与の承認条件を明確に規定しておきましょう。

特権アクセス管理（PAM）とは

特権アクセス管理（PAM＝Privileged Access Management）とは、特権アカウントをコントロールするための戦略やテクノロジーのことです。

特権アカウントは、システムすべての操作権限を持つトップレベルのアカウントです（システムによってrootアカウントやAdministratorアカウントなど名称が若干異なります）。

これらの特権アカウントは他のアカウントを管理、設定する立場にあるため、特権アカウント自体を監視できるシステムを構築しづらいです。

また、特権アカウントはログの操作や消去など様々な操作が可能です。

それゆえにウィルスに乗っ取られれば不正アクセスの痕跡も消し去られ、異常事態にいつまでも気づけないという状況が発生するかもしれません。

一般的なアカウントだけでなく、特権アカウント管理についてもしっかり対策を考えていきましょう。

適切なアクセス管理で社内情報を守ろう

適切なアカウント管理は、社内情報を守るために重要です。

社内でアクセス管理の承認プロセスや責任者を明確に規定し、社員の状況に応じたアクセス権の切り替えを行っていきましょう。

また、アカウント管理をスムーズに行うにはサービス固有のアクセス管理機能を利用する手もあります。

無料から使えるセキュアSAMBAを一度お試しください。