IPA「組織における内部不正防止ガイドライン」第 5 版のアカウント管理項目

IPA の「組織における内部不正防止ガイドライン」は、IPA の公開ページで配布されている現行版が第 5 版(2022 年 4 月改訂)です。対策は 10 の観点・33 項目あります。そのうち、アカウントとアクセス権(誰がどこまで使えるかの設定)を主に扱うのは、(5)(6)(7)(18)(19)(24) の 6 項目です。共有 ID を使わない、不要になった ID をただちに消すなど 5 つを「しなければならない」とし、利用の記録を残す 1 つを「望ましい」としています。内部不正の定義と 10 の観点は内部不正とはにまとめています。

6 項目と、求める強さ

各項目は、枠で囲んだ「対策の指針」、リスク、対策のポイントで書かれています。項目名は原文のままです。文末の意味は、ガイドラインの用語の節が定めています。「ねばならない」「します」「必要です」は必須と考えられる対策、「望ましい」「望まれます」はより強化したい場合の対策です。

(18)(19) の「ログ・証跡」は、アクセスや操作の記録のことです。

ガイドラインは法律ではなく、33 項目すべての実施も前提にしていません。事業への影響が小さく、リスクを受け入れられると判断した対策は、必ずしも行う必要はない、と書いています。一方で、資産管理(4-2)・人的管理(4-6)・コンプライアンス(4-7)のリスクには、何らかの対策が要ることが多いとします。不正のあとの法的な手続きで、非が組織ではなく本人にあると示すためです。6 項目のうち (5)(6)(7) は資産管理に、(24) は人的管理に入っています。

共有 ID の扱い

(7) は、共有 ID と共有のパスワードを使わず、一人ひとりの ID を個別のパスワードなどで認証するよう求めます。理由として、共有 ID では不正があったときに重要情報にアクセスした人を見分けられず、そのことが持ち出しやすい環境を作る、と説明しています。ID やパスワードを他の人に貸すことも禁じています。

同じ IPA の中小企業の情報セキュリティ対策ガイドラインは、共有 ID をなるべく使わないとしています。やむを得ず使う場合は、使った人を特定できる仕組みを整えるよう書いています。(7) には、この条件つきの例外の書き方がありません。

サービスの側で ID を分けられない場合も、判断の基準は前の節の事業への影響の大きさです。ガイドラインが判断の基準に置くのは事業への影響で、ID を分けられるかどうかではありません。また、(7) は個別の ID と認証を求めているので、使った人を記録で見分けられても (7) を満たしたことにはなりません。記録で見分けることは、リスクを受け入れたうえで影響を小さくする手当てです。

アクセス権を付けるとき、見直すとき

(5) の対策のポイントは、手続きの形まで書いています。

• 登録・変更・削除に、承認の手順と設定が終わったことの報告を置く。重要情報へのアクセス権は、その情報の管理責任者の許しを得る
• 権限を付ける人、付ける権限、付ける期間を、それぞれ必要最小限にする
• 手続きの漏れを防ぐため、人事異動などの人事の手続きと連携させる
• 定期的に見直す。人事異動の時期に一斉に見直すことが望まれ、権限が集まっている人は特に確かめる

委託先の従業員に権限を付ける場合は、契約上の措置が要るとしています。その措置は (17)「業務委託時の確認(第三者が提供するサービス利用時を含む)」の項目にあります。(5) の脚注は例として、委託先で異動や退職があったときに体制の変更を報告させ、アカウントの削除漏れを防ぐことを挙げています。

退職・異動のときの削除

(5) は、異動や退職で不要になった ID とアクセス権を「ただちに削除しなければならない」とします。(24) は、雇用と契約の終了時に ID と権限を削除するよう求めています。元の従業員については、削除されたことの確認も求め、テレワーク用の権限も含めるとしています。削除は雇用終了の直後に速やかに行うことが大切だ、とも書いています。日数で区切った期限は書かれていません。

(5) の脚注は、ID を消すと記録も消えるシステムについて書いています。その場合は ID をロックして入れない状態にし、記録を残すことが必要だとしています。(24) はさらに、雇用終了の間際は持ち出しが起きやすいとし、一定期間前から PC などを管理部門の管理下に置くことが望まれる、と書いています。この時期の事案は退職の直前に顧客情報を持ち出された事案で扱っています。

共有 ID では、退職のたびにパスワードを変えて、残る人に伝え直す手間が生じます。ID は他の人が使い続けるので消せず、辞めた人はパスワードが変わるまで入れるためです。ガイドラインの事例集(付録 I)には、元の従業員が退職後に社内のシステムの機密情報に不正にアクセスした事例があります。原因の一つは、退職後も共有アカウントのパスワードが変えられていなかったことです。関連項目には (5)(7)(23) が挙がっています。

利用の記録と、管理者の記録

(18) の文末は「望ましい」ですが、記録する中身は具体的です。重要情報へのアクセス履歴と利用者の操作履歴に加え、クラウドなどの外部サービスにログインしたときの認証と操作の履歴も挙げています。失敗したアクセスだけでなく成功したアクセスも残すと、後日の確認に役立つとしています。

管理者については強さが変わります。(19) は、管理者の記録を管理者以外が定期的に確かめなければならない、とします。記録を集められないシステムでは、管理者の作業を文書に残し、上司などが確かめる方法を挙げています。

自社の運用に当てはめて確かめる点

1. 業務で使うクラウドサービスごとに、ID の一覧と、使ってよい人の一覧があるか。一覧がなければ、(5) の見直しも (24) の削除の確認も、対象を数えられません。
2. 1 つの ID とパスワードを複数の人で使っているサービスがどれか分かっているか。残すなら、リスクを受け入れる理由を記録します。中小企業向けガイドラインの条件にならって、使った人を見分ける方法を決めておくのが、決め方の一例です。
3. 退職・異動の手続きに、サービスごとの ID の削除と、共有のパスワードの変更、その確認が入っているか。(24) は、辞めた人について削除だけでなく、削除の確認も求めています。
4. クラウドサービスのログインと操作の記録を、誰がどの間隔で確かめるか決まっているか。共有 ID では、サービスの記録に残るのは共有 ID の名前なので、誰が操作したかは記録だけでは分かりません。
5. ID を消すと、そのサービスの記録も消えるかを確かめたか。消えるなら、(5) の脚注のとおり、ロックして記録を残す方法を選びます。