ITトレンドがおすすめする製品・サービス
- ■管理方式別
- ゲートウェイ型（踏み台サーバ経由）：NTTセキュリティ・ジャパン株式会社の特権アクセス管理、特権アクセス管理ソリューション、SecureCube Access Check
- ID貸出・パスワード管理型（パスワードを秘匿して貸し出す）：iDoperation (アイディーオペレーション)、ESS AdminONE、ESS AdminControl、Password Manager Pro
- 必要なときだけ権限を付与（ジャストインタイム）：特権アクセス管理ソリューション、Okta Workforce Identity
- ■提供形態別
特権ID管理ツールの乗り換えで見直したい管理方式
特権ID管理ツールは、管理対象のシステムへの接続をどこで制御するかによって方式が分かれます。方式によって導入作業や対象システムへの影響が変わるため、乗り換えを機に現在の方式が適しているかを確認しましょう。
ゲートウェイ型の特徴と向くケース
ゲートウェイ型は、管理者が対象のサーバへ直接接続せず、踏み台となる中継サーバを経由させる方式です。中継サーバで接続の許可や操作の記録をまとめて行うため、対象サーバにソフトを入れずに導入できる場合があります。
対象サーバの数が多い場合や、ソフトを入れられない機器を管理する場合に検討しやすい方式です。一方で、中継サーバを経由しない接続経路が残っていると管理の抜け道になるため、ネットワーク側で直接接続を制限する設計が必要です。乗り換え前に、現在の接続経路を図にして抜け道がないかを確かめておきましょう。
エージェント型の特徴と向くケース
エージェント型は、管理対象のサーバに専用のソフトを入れ、サーバ上での操作を記録・制御する方式です。接続経路にかかわらず、サーバ上で行われた操作を把握しやすい点が特徴です。
ただし、対象サーバごとにソフトの導入と更新が必要で、OSの種類やバージョンへの対応状況も製品によって異なります。重要なサーバにソフトを入れることへの影響は、システムの保守ベンダーとも確認しておきましょう。対象サーバの再起動が必要かどうかも、作業計画を立てるうえで重要な確認点です。
クラウド型とオンプレミス型の選択
特権ID管理ツールは、管理サーバを自社で運用するオンプレミス型のほか、提供会社が管理基盤を運用するクラウド型もあります。クラウド型は管理サーバの保守負担を減らせる一方、社内システムへ接続するための中継の仕組みが必要になる場合があります。
クラウドサービスの管理者アカウントも管理対象に含めたい場合は、対応範囲を確認しましょう。社内規程で管理データの保存場所が決まっている企業は、データの保管先も確認項目です。クラウド型の場合は、提供会社の障害時に特権IDを使えるかどうかも事前に確認しておくと安心です。
移行する特権IDとパスワードの整理
乗り換えでは、現行ツールに登録された特権IDをそのまま移すのではなく、棚卸ししてから新しいツールへ登録する方法が安全です。IDの種類ごとに扱いを決めておきましょう。
共有アカウントと個人別の特権の区別
「Administrator」や「root」のように複数の担当者が共有して使う管理者アカウントと、個人ごとに付与した管理者権限は、扱い方が異なります。共有アカウントは誰が使ったかを特定しにくいため、貸し出しの記録と操作記録を結び付ける管理が必要です。
棚卸しでは、IDごとに対象システム、用途、利用者、最終利用日を確認します。長期間使われていないIDや退職者に関連するIDは、利用部署に確認したうえで削除や無効化を検討しましょう。移行対象を減らせば、新しいツールへの登録作業と確認の手間も抑えられます。
パスワード保管庫からの移し替えと変更
特権IDのパスワードを保管する機能から新しいツールへ移す場合、書き出したパスワードの一覧は漏えいすると大きな被害につながります。書き出しが必要な場合は、作業者と作業場所を限定し、作業後はファイルを削除し、削除したことを記録しましょう。
新しいツールに登録した後は、対象システム側でパスワードを変更し、旧ツールに残る情報を無効にする方法もあります。パスワードの自動変更に対応したツールなら、登録後に新しいパスワードへ切り替える作業を進めやすくなります。
プログラムが使うサービスアカウント
システム同士の連携や定期処理のために、プログラムが使う特権IDもあります。こうしたサービスアカウントのパスワードを変更すると、連携先の設定も変える必要があり、更新漏れがあると処理が止まる可能性があります。
移行前に、どのプログラムがどのIDを使っているかを洗い出し、変更の影響範囲を確認しましょう。パスワードの変更日は、関係するシステムの担当者と調整し、処理が止まった場合の確認手順も用意しておきます。
申請・承認の流れを特権ID管理ツールで組み直す
特権IDの利用申請と承認の流れは、ツールごとに設定方法が異なります。現在の運用ルールを書き出し、乗り換え先でどう再現するか、見直す点はないかを整理しましょう。
通常時の申請と承認の設定
通常の作業では、作業者が対象システム、作業内容、利用時間を申請し、承認者が確認したうえで特権IDの利用を許可する流れで運用する例があります。乗り換え先では、承認者の設定、利用できる時間の上限、承認後の自動での利用開始などを設定します。
承認者が1人だけだと、不在時に作業が止まる可能性があります。代理承認者の設定や、承認の期限を過ぎた場合の扱いも決めておきましょう。外部の保守ベンダーが使う場合の申請方法も、あわせて整理します。
障害時の緊急利用の手順
システム障害の対応では、承認を待たずに特権IDを使う必要がある場合があります。乗り換え先で、事後承認での利用や、緊急時用の手順を設定できるかを確認しましょう。
緊急利用は、通常より厳しく記録を残し、事後に内容を確認する運用が求められます。誰が確認するのか、確認の期限をいつまでとするのかを規程に定め、乗り換え前後で運用が途切れないようにします。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）で特権ID管理ツールの一括資料請求が可能です。浮いた時間で、じっくりと製品の比較検討を進めましょう。
操作記録と監査ログの扱い
特権IDの操作記録は、内部不正の抑止や監査対応に使われる重要な証跡です。乗り換えで過去の記録を参照できなくなったり、記録に空白期間ができたりしないよう、扱いを事前に決めておきましょう。
旧ツールの操作記録の保存
操作記録には、操作したコマンドのログや、画面操作を動画で記録したデータなどがあります。旧ツールの契約や保守が終わると、こうした記録を再生・検索できなくなる場合があります。
社内規程や監査で求められる保存期間を確認し、必要な記録を書き出して保管しましょう。動画形式の記録は容量が大きくなりやすいため、保管先の容量と、旧ツールがなくても再生できる形式かどうかを事前に確認しておくことが大切です。
監査で求められる記録の確認方法
監査では、特権IDの申請と承認の記録、実際の利用記録、操作内容を照合して確認する場合があります。乗り換え後は、新しいツールでこれらの記録を検索し、報告書として出力できるかを確認しましょう。
乗り換えの前後で記録が別々のツールに分かれる期間は、どちらの記録をどこで確認するかを監査担当者と共有しておきます。記録の保管場所と確認手順を文書化しておくと、担当者が替わっても対応できます。
作業を止めない特権ID管理の切り替え方
特権ID管理ツールの切り替えは、システムの保守作業や障害対応に直接影響します。一度にすべてを移さず、対象システムを分けて段階的に進めることで、影響を抑えられます。
対象システムを分けた段階的な移行
最初は、影響の小さい検証用サーバや、利用頻度の低いシステムから新しいツールへ移します。接続、申請、記録が想定どおりに動くことを確かめてから、本番の重要なシステムへ広げましょう。
移行中は、同じ特権IDが新旧両方のツールで管理される状態を避けることが大切です。システムごとに切り替え日を決め、切り替えた後は旧ツールからの接続経路を閉じるよう、ネットワークやアカウントの設定も変更します。
運用担当者への手順共有と教育
管理方式が変わると、作業者の接続手順や申請の操作も変わります。社内の運用担当者だけでなく、外部の保守ベンダーにも新しい手順を事前に案内し、テスト接続をしてもらいましょう。接続元のIPアドレスや利用する端末が変わる場合は、ベンダー側の準備にも時間がかかるため早めに伝えます。
手順書は、通常作業、緊急時、記録の確認など場面ごとに分けて用意します。問い合わせへの回答を手順書に追記し、複数の担当者で内容を共有すると、特定の人だけが手順を知っている状態を防げます。
管理方式で比べる特権ID管理ツール一覧
乗り換え先の特権ID管理ツールを、接続の方式と記録の取り方に注目して一覧にしました。現在のツールと同じ方式を続けるか、方式ごと見直すかを検討する際の比較材料にしてください。
| 製品名 | 特徴 |
|---|---|
| NTTセキュリティ・ジャパン株式会社の特権アクセス管理 | ブラウザやsshで使えるSMART Gatewayを提供。エージェントの導入が不要 |
| 特権アクセス管理ソリューション | 踏み台サーバ経由のセッション提供と、作業内容の動画記録・暗号化保管に対応 |
| SecureCube Access Check | エージェントレスのゲートウェイ方式で、申請情報とアクセスログを一元管理 |
| iDoperation (アイディーオペレーション) | 承認にもとづき特権IDを一時的に貸し出し、ログと申請を照合して点検 |
| ESS AdminONE | パスワード管理方式やSAML認証制御方式から、システムごとに制御方法を選べる |
| Okta Workforce Identity | クラウドやオンプレミスのサーバに、必要なときだけアクセス権を付与できる |
| Privileged Access Manager | 認証情報やアクセス権限を一元的に保護・監視。SaaS型とセルフホスト型を選べる |
| ESS AdminControl | 申請・承認にもとづく特権IDの貸し出しと返却を自動化する特権ID管理ツール |
| Password Manager Pro | 承認・申請のフローと操作画面の記録、パスワード管理で特権IDを守るシステム |
監査記録を引き継ぎやすい特権ID管理ツール
特権ID管理ツールを乗り換える際は、管理方式に加えて、操作記録の残し方や申請・承認の組み直しやすさも確認が必要です。ゲートウェイ型やID貸出型など、方式の違いがわかるように製品を紹介します。
NTTセキュリティ・ジャパン株式会社の特権アクセス管理
- ユーザー・特権ID管理と多要素認証、IP制限によるログイン制御
- ブラウザ/sshで特権ID利用可。端末/機器にインストール不要
- ユーザー別にコマンドの実行可否及びアクセスのURL制御が可能
NTTセキュリティ・ジャパン株式会社が提供する「NTTセキュリティ・ジャパン株式会社の特権アクセス管理」は、特権アクセス管理製品「SMART Gateway」の提供と導入作業をあわせて行うサービスです。SMART GatewayはWebブラウザーやターミナルで利用でき、利用者の端末や管理対象機器へのエージェント導入が不要です。承認ワークフロー、パスワードの秘匿化、コマンド制御に加え、操作を動画とテキストで記録できます。管理サーバーと管理対象はオンプレミスとクラウドの両方に対応しています。
特権アクセス管理ソリューション
- 著名企業でのセキュリティインシデントの頻発により需要急拡大
- CyberArkは特権ID管理の分野でのグローバルリーダー
- 川崎重工業のリアルフィールドで培った構築/運用ノウハウ
ベニックソリューション株式会社が提供する「特権アクセス管理ソリューション」は、CyberArk製品を用いて特権IDを管理・保管するソリューションです。ハードニングされた踏み台サーバを経由して特権アクセスを行うセッションを提供し、作業のログに加えて動画を記録・暗号化して保管します。パスワード等の認証情報を暗号化して保管でき、棚卸やパスワード変更の定期的な自動処理にも対応しています。日時を限った特権の付与や、想定外の利用を検知した際のセッション切断も可能です。
SecureCube Access Check
- 今求められる特権ＩＤ管理を短期間かつ低コストで実現
- 延べ700社以上に導入、市場シェアNo.1※
- 純国産・自社開発製品のため保守・サポート体制も充実
NRIセキュアテクノロジーズ株式会社が提供する「SecureCube Access Check」は、特権IDの利用に必要な機能をまとめて提供する特権ID管理ソリューションです。申請・承認のワークフロー、ID・パスワード管理、アクセス制御、ログ取得・管理を備えています。エージェントレスのゲートウェイ方式のため、既存システムへの影響を抑えて導入できます。作業申請とアクセスログ・操作ログを一括管理し、相互の照合がしやすい点も特徴です。AWS上のマネージドサービスとして利用できる「Cloud Auditor by Access Check」も用意されています。
iDoperation (アイディーオペレーション)
- 特権ID管理に必要な機能をすべて提供します。
- 純国産・使いやすいUIで、監査対応実績100%を実現します。
- OS、DBからクラウドまで幅広い管理に対応します。
NTTテクノクロス株式会社が提供する「iDoperation (アイディーオペレーション)」は、特権IDの管理・貸出・利用点検を行う特権ID管理ツールです。承認にもとづいて許可された利用者にだけ特権IDを一時的に貸し出し、貸出時はパスワードを秘匿したまま利用させます。管理対象システムからエージェントレスでアクセスログを収集し、申請のない不正アクセスを自動で検出します。オンプレ版に加え、SaaS型の「iDoperation Cloud」も選べるため、提供形態ごと見直したい企業も比較しやすいでしょう。
ESS AdminONE
- 特権ID管理のあるべきプロセスを実現！必要十分な機能を搭載
- あらゆるシステムをパスワードレスで一元的に管理可能！
- 安心してお使いください！サポート期限を設けない永久サポート
エンカレッジ・テクノロジ株式会社が提供する「ESS AdminONE」は、申請承認のワークフローやID・パスワード管理、証跡管理を備えた特権ID管理ツールです。アクセス制御は、パスワードを製品が掌握して代行入力するパスワード管理方式と、SAML認証制御方式からシステムに応じて選べます。申請承認ベースとポリシーベースのアクセス許可を併用でき、特権操作は動画とテキストで記録されます。各種監査用レポートをCSVで出力し、統合ログ管理に取り込むことも可能です。
Okta Workforce Identity
- 特権アクセスへの申請自動化、特権アカウントの保管と保護
- 統合プラットフォーム上で特権ID管理やアクセス管理等一元管理
- 監査ログおよびセッション録画でより安心に
Okta Japan株式会社が提供する「Okta Workforce Identity」は、アイデンティティ管理と特権アクセス管理を一つのプラットフォームで扱えるクラウド型のサービスです。クラウドやオンプレミスのサーバに対して、必要なときに必要なアクセス権をJust-In-Timeで付与でき、特権アクセスポリシーには多段承認や申請理由、承認期限の設定を組み込めます。サーバ操作の記録にも対応しているため、ID基盤とあわせて特権アクセスの管理をクラウドへ移したい場合の候補です。
Privileged Access Manager （CyberArk Software株式会社）
- 統合プラットフォームとして特権アクセス管理を実現。
- 認証情報の適切なアクセスと説明責任を確保。
- SaaS型またはセルフホスト型で展開可能、導入形態を選びやすい。
ESS AdminControl （エンカレッジ・テクノロジ株式会社）
- 1000台以上のサーバーがある大規模な環境にも対応可能
- 業務特性による複雑な運用上の要求にも柔軟に対応
- さまざまな点検、監査のレポート・テンプレートを標準装備
Password Manager Pro （ゾーホージャパン株式会社）
- 特権ID管理に必要な機能を網羅
- 年間98万円からの低料金
- 30日間すべての機能をサポート付きで無料おためしができる
まとめ
特権ID管理ツールの乗り換えは、ゲートウェイ型やエージェント型、クラウド型やオンプレミス型といった方式の選び直しから始めると、移行範囲を見積もりやすくなります。特権IDとパスワードを棚卸しし、申請・承認の流れと緊急時の手順を組み直したうえで、旧ツールの操作記録を保存しましょう。切り替えは対象システムごとに段階的に進めると安全です。資料請求で特権ID管理ツールの管理方式や記録の機能を比較し、自社に適した製品を選んでください。
