必要な人に、必要な権限だけ

アクセス管理の基本は、仕事に必要な人に、必要な範囲の権限だけを与えることです。これを最小権限と呼びます。「念のため全員に見られるようにしておく」は、最小権限に反します。

異動と退職のときに見直す

権限の付け忘れより、外し忘れのほうが問題になります。異動したら前の部署の権限を外し、退職したら退職の日にIDを止めます。人事の手続きと、権限の手続きをつなげておくことが大切です。定期的に、権限の一覧と、実際に在籍している人を照らし合わせます。

共有IDをやめる

部署の全員で1つのIDを使うと、ログには共有のIDしか残らず、誰が何をしたかが分かりません。1人に1つのIDを配ります。

ログを点検する

ログは取るだけでは意味がありません。深夜のログイン、大量のダウンロードなど、ふだんと違う動きがないかを、決めた間隔で点検します。

マルウェア対策と修正版

部門のパソコンのウイルス対策ソフトと、OSやソフトの修正版が最新かを確かめます。修正版を当てていないパソコンが1台あるだけで、そこから入られます。

事例で問われやすいずれ

「異動した人が前の部署のフォルダを開けた」「退職者のIDでログインされた」「共有IDのため誰が消したか分からない」は、どれも権限の管理の手続きが抜けていたことが原因です。再発防止は、手続きを人事の流れとつなげることです。

• 最小権限の考え方
• 異動と退職のときの権限の見直しと、定期の棚卸し
• 共有IDの問題と、1人1つのID
• ログの点検と、マルウェア対策・修正版の適用の確認