管理者用アカウントの監査で示せるようにしておく記録

管理者用アカウント(特権 ID)の監査で示すのは、利用の記録と、権限の記録です。利用の記録は「誰が・いつ・どのアカウントで・何をしたか」がつながっているもの、権限の記録は権限を付けた・外した・見直したものを指します。金融庁、内閣官房、IPA の文書は、対象も言葉も違いますが、求める中身はこの範囲に収まります。

4 つの文書が求める記録

「—」は、その文書にその項目の直接の記述がないことを表します。日時の記述がない文書でも、操作の記録には日時が含まれます。

「誰が」を共有アカウントでどう残すか

金融庁と内閣官房のガイドラインは、使った人を特定できることを求めています。金融庁は「アクセスしたユーザを特定できる措置」、内閣官房は「事象の主体を示す識別コード」の記録です。IPA の内部不正防止ガイドラインは、共有 ID や共有のパスワードを使わないことを求めています。管理者ごとの ID を個別のパスワードで認証しなければならない、としています(対策 7)。共有 ID だと、内部不正のときにアクセスした人を識別できないためです。分けられずに残る共有の管理者アカウントについては、IPA の中小企業向けガイドラインが「共有 ID を利用したユーザーを特定可能とするような仕組み」を勧めています。内部不正防止ガイドラインの対策 19 も、システムから記録を集められない場合の扱いを書いています。管理者の作業内容を文書に記録し、上司または総括責任者が定期的に確認する、という形です。台帳の貸出記録がこれに当たります。仕組みで人を特定する方法は管理者用アカウント(特権 ID)の管理の表にあります。

何を記録するか

内閣官房のガイドライン 7.1.4 は、記録する項目の例を 10 挙げています。そのうち管理者用アカウントに関わるのは 7 つです。事象の主体を示す識別コード、識別コードの発行などの管理記録、情報システムの操作記録、事象の種類、事象の対象、正確な日付と時刻、試みられたアクセスに関わる情報です。同じ 7.1.4 は、記録する目的をシステムごとに決めたうえで、対象の機器、項目、保存期間、扱い方を定めるよう求めています。金融庁のガイドラインは、特権アカウントの管理の例として、多要素認証、操作のダブルチェック、アカウントの時間制限を挙げています。ダブルチェックや時間制限を置いた場合、その承認や期限の記録も利用の記録の一部になると考えられます。

どれだけ残し、どう守るか

保存期間について、内閣官房のガイドラインの解説は、標的型攻撃の経緯を初期から確認する観点から、1 年間以上の保存が望ましいとしています。金融庁のガイドラインは、記録の取得・監視・保存のための手続を定めるよう求め、手続に含める事項の例に保存期間と保存方法を挙げています。IPA の内部不正防止ガイドラインは、保存期間はリスクとコストのバランスで決めるとしています。改ざんの防止は、4 つの文書すべてに共通します。消去まで挙げているのは内閣官房と IPA の内部不正防止ガイドラインです。金融庁のガイドラインは、同じ手続に含める事項の例にログの改ざん防止を挙げています。内閣官房のガイドラインは、記録への不正な消去・改ざん・アクセスを防ぐ保全方法を定めることを求めています。IPA の内部不正防止ガイドラインは、管理者の記録を改ざんまたは不正な消去ができないよう、暗号化などの対策を取ることを求めています。IPA の中小企業向けガイドラインは、記録の改ざん防止を行ったうえで定期的に見直すことを勧めています。

誰が点検するか

記録は残すだけでなく、定期的に見ることが 4 つとも求めています。点検する人を管理者以外と明記しているのは IPA の内部不正防止ガイドラインです。管理者の記録を定期的に管理者以外が確認しなければならないとし、確認する人の例に上司または総括責任者を挙げています。内部監査の項目にする方法も挙げています。金融庁のガイドラインは操作履歴のレビューと定期的なアクセスレビュー、内閣官房のガイドラインは記録の定期的な点検または分析を求めています。点検した記録そのものが、監査で「見直しの記録」として提出できるものになります。委託先の保守担当者が管理者用のアカウントを共用していた事案では、記録は残っていたものの点検する運用がありませんでした。持ち出しは約 10 年間続いています(管理者アカウントを共用していた事案)。