2012/7/24

エンカレッジ・テクノロジのPCI DSS関連関連ソリューションのご関連ソリューションのご紹介
ソリューションのご紹介
2012/7/25
エンカレッジ・テクノロジ株式会社
エンカレッジ・テクノロジ株式会社
マーケティング部
マーケティング部 日置 喜晴

Today’s Agenda
エンカレッジ・テクノロジ社
エンカレッジ・テクノロジ社のご紹介のご紹介
弊社製品ラインナップとDSSへのへの貢献
弊社製品ラインナップとPCI
ラインナップとへの貢献ポイント
貢献ポイント
ユニークなコントロール例
ユニークなコントロール例

Copyright © Encourage Technologies Co., Ltd.

21

2012/7/24

会社概要
社名：
社名：エンカレッジ・テクノロジ株式会社
エンカレッジ・テクノロジ株式会社
Encourage Technologies Co., LTD.
資本金：
設立 ：
事業内容：
所在地：

1億2,650万円（2012年1月現在）
2002年11月1日
コンピュータシステムソフトの開発・保守並びに販売
コンピュータ運用管理に関するコンサルティング
東京都中央区日本橋小網町3-11 日本橋SOYICビル

Value & Satisfaction
お客様の視点で新たな価値を創造し、満足いただける製品とサービスを提供します。

Happiness
社員と会社の目的を一致させ、物心一体の幸福を追求します。

Compliance
国内外の法令と企業倫理を遵守し、誠実かつ公平に業務を遂行します。
Copyright © Encourage Technologies Co., Ltd.

3

導入企業
大手金融、通信業をはじめ360社以上のお客様が弊社製品をご採用
株式会社アイ・エイチ・アイ
株式会社アイ・エイチ・アイ マリンユナイテッド
株式会社アイネス
株式会社アイネス
株式会社アイネット
株式会社アイネット
アイフル株式会社
アイフル株式会社
株式会社インテック
株式会社インテック
株式会社ウッドワン
株式会社ウッドワン
SMBCファイナンスサービス
ファイナンスサービス株式会社
ファイナンスサービス株式会社
SCSK株式会社
株式会社
NTTコムウェア
コムウェア株式会社
コムウェア株式会社
NTTコムウェア・ビリングソリューション
コムウェア・ビリングソリューション株式会社
コムウェア・ビリングソリューション株式会社
株式会社NTTデータ
データ
株式会社
株式会社NTTデータアイ
データアイ
株式会社
株式会社NTTデータ
データSMS
株式会社
データ
株式会社NTTドコモ
ドコモ
株式会社
NTTビジネスアソシエ
ビジネスアソシエ株式会社
ビジネスアソシエ株式会社
オリックス・システム株式会社
オリックス・システム株式会社
オリンパス株式会社
オリンパス株式会社
キヤノンITソリューションズ
キヤノン ソリューションズ株式会社
ソリューションズ株式会社

Copyright © Encourage Technologies Co., Ltd.

財団法人建設業技術者センター
財団法人建設業技術者センター
湘南信用金庫新日鉄ソリューションズ
新日鉄ソリューションズ株式会社
ソリューションズ株式会社
株式会社シンプレクス・コンサルティング
株式会社シンプレクス・コンサルティング
スバルシステムサービス株式会社
スバルシステムサービス株式会社
双日株式会社
ソフトバンクモバイル株式会社
ソフトバンクモバイル株式会社
第一生命保険株式会社
TIS株式会社株式会社
東京海上日動システムズ
東京海上日動システムズ株式会社
システムズ株式会社
ドコモ・システムズ株式会社
ドコモ・システムズ株式会社
日興コーディアル
日興コーディアル証券株式会社
コーディアル証券株式会社
ニッセイ情報ニッセイ情報テクノロジー
情報テクノロジー株式会社
テクノロジー株式会社
あいおいニッセイ同和損害保険株式会社
あいおいニッセイ同和損害保険株式会社
日本システムウエア
日本システムウエア株式会社
システムウエア株式会社
日本電信電話株式会社
株式会社みずほ
株式会社みずほ銀行
みずほ銀行
株式会社みずほコーポレート
株式会社みずほコーポレート銀行
みずほコーポレート銀行
三菱ＵＦＪ
三菱ＵＦＪ信託銀行株式会社
ＵＦＪ信託銀行株式会社
42

2012/7/24

ET社製品戦略
ET社製品戦略加速するビジネス
加速するビジネス、するビジネス、変化するシステム
変化するシステム環境するシステム環境、環境、一貫性ある一貫性ある運用基盤ある運用基盤ESS SmartIT Operation
Technologyfor the People

Technology
for the Business

人の業務を業務を支える技術
える技術

ビジネスを推進
ビジネスを推進する推進する技術
する技術

System Independency
システムからの独立性
システムからの独立性を独立性を確保する
確保する運用基盤
する運用基盤アーキテクチャー
運用基盤アーキテクチャー

業務システム業務システム、システム、基幹システム
基幹システムCopyright © Encourage Technologies Co., Ltd.

5

エンカレッジ・テクノロジの特権ID管理特権 管理ソリューション
管理ソリューション
システム操作システム操作と操作と特権ID管理
特権 管理のための管理のための共通のための共通ワークフローコンポーネント
共通ワークフローコンポーネント

ESS SmartIT Operation
ワークフロー
自動突合による自動突合による特権による特権ID利用内容
特権 利用内容の利用内容の統制

エージェントレスで実現
エージェントレスで実現する
実現する特権する特権ID管理
特権 管理

ESS AutoAuditor

ESS AdminControl
特権IDを
特権 を利用したシステム利用したシステム操作
したシステム操作の操作の証跡管理

ESS REC
本人確認ソリューション
本人確認ソリューション

ID Inspector
Copyright © Encourage Technologies Co., Ltd.

63

2012/7/24

ET特権
特権ID管理特権 管理の管理の機能概要
SIOワークフロー
ワークフロー

作業申請

承認

作業作業報告確認

特権ID自動貸出

特権ID自動返却

ログイン履歴突合
レポート

クライアント用
アカウント払出

クライアント用
アカウント抹消

操作内容突合レポート

ESS AdminControl
定期パスワード変更

ESS AutoAuditor

ESS REC&IDI
操作内容の克明な記録
本人確認

詳細点検

Copyright © Encourage Technologies Co., Ltd.

7

専用クライアントによるセキュアな専用クライアントによるセキュアな特権ID利用環境
特権 利用環境承認され作業申請の中で作業者として指定されたユーザーだけに一覧が表示される。

作業者A
作業者

作業者Aの作業者 の個人ID
個人で認証

自動ログオン機能により特権IDのパスワードは隠ぺいされたまま接続完了

Aさんのさんの作業一覧
さんの作業一覧

共有IDでも使用した個人を特定できる履歴が残る

操作対象のサービスに操作対象のサービスに自動接続
パスワードは隠ぺいされているので、直接アクセスもできない

×
作業者B
作業者

作業者Bの作業者 の個人ID
個人で認証
Bさんのさんの作業一覧
さんの作業一覧

Copyright © Encourage Technologies Co., Ltd.

操作対象のサービスに操作対象のサービスに自動接続

842012/7/24

EACによるによる共有
による共有ID使用
共有 使用の使用の個人特定
EACサーバー
サーバー
EACサーバーによる特権IＤと一般個人IDの紐付け

TanakaYamadaSato

Gyomu2
Gyomu3root

Operation Authenticator

UNIXサーバー
サーバー

リモート操作
リモート操作

Tanaka
リモート操作
リモート操作

YamadaSato

Gyomu1
Gyomu2root
UNIXサーバー
サーバー

Copyright © Encourage Technologies Co., Ltd.

9

システム証跡管理システム証跡管理のデファクト
証跡管理のデファクト ESS REC
PCやサーバーの操作内容を動画・テキストで記録・蓄積、記録データをもとに操作内容の点検・監査を効果的に行うことにより、システム操作に関わるリスク管理を実現するシス
テム操作の点検・監査ソリューション

運用オペレータ

操作記録データはサーバで一元管理

監査者
運用オペレータ

専用ツールで再生し点検
自動作成レポートで点検

ESS RECの常駐エージェントがPCやサーバーの操作を監視・記録
Copyright © Encourage Technologies Co., Ltd.

リスクの高い操作が実施されるとリアルタイムにアラート
105

2012/7/24

動画とテキストによる動画とテキストによる克明とテキストによる克明な克明な記録
使用ドライブアクティブウィンドウタイトル

キーストローク

通信先
使用ポート
一覧

PC に接続されている
USB 機器

実行プログ
ラム一覧

ファイル
アクセス

カスタム

パターンマッチ

アプリケーション

画面表示
文字

動画表示

リアルタイムウィンドウ
イベント

接続

コンピューター名IPアドレス
ユーザー名

再生・停止
ボタン

表示場面時刻記録開始時刻記録終了時刻Copyright © Encourage Technologies Co., Ltd.

11

3年連続
年連続 市場シェア
1
市場シェアNo.
シェア

Copyright © Encourage Technologies Co., Ltd.

1262012/7/24

本人確認ソリューション
本人確認ソリューション
ID Inspector(IDI)① Windowsシステム認証後、一定時間端末が未使用の後再使用する場合や、操作途上操作途上にあらかじ
操作途上にあらかじめルール設定めルール設定した
設定した特定した特定のアプリケーション
特定のアプリケーション利のアプリケーション利
用や通信利用が通信利用が発生すると発生すると、本人確認画面が表すると示され、操作が一旦ロックされます。

② 本人確認要求に対し、個人のIDとパスワードまたはFeliCaカードを提示することで、現在のシステムの使用者を特定し、画面ロックを解除します。

③ 本人確認した情報を蓄積、解析し、本人確認総合レポートを出力

Copyright © Encourage Technologies Co., Ltd.

13

PCI DSSへのへの貢献への貢献

Copyright © Encourage Technologies Co., Ltd.

14

7

2012/7/24

要件別 適用ポイント
適用ポイント要件7
カード会員要件
カード会員データへのアクセスを
会員データへのアクセスを、データへのアクセスを、業務上必要な業務上必要な範囲内に範囲内に制限すること制限すること
項 番

要件

弊社製品による弊社製品による対応
による対応

7.1

システムコンポーネントとカード会員データへのアクセスを、業務上必要な人に限定する。

7.2

複数のユーザーを持つシステムコンポーネントに対して、ユーザーの必要な範囲に基づいてアクセスを制限し、特に許可されていない限り「すべてを拒否」に設定した、アクセス制御システムを確立する。

ESS AdminControlは、特権IDを承認ベースによって貸出し、承認がなければ通常は利用できない環境を提供します。
・ワークフローによる申請・承認プロ
セスの自動化・承認ベースで作業者に貸出し、作業終了後に返却する手続きの自動化
・未承認アクセスをチェックするためのログ収集とレポーティング

Copyright © Encourage Technologies Co., Ltd.

15

要件別 適用ポイント
適用ポイント
要件8
コンピュータにアクセスできるユーザーに一意を割り当てる要件
コンピュータにアクセスできるユーザーに一意の一意のIDを
項 番

要件

弊社製品による
弊社製品による対応
による対応

8.1

すべてのユーザに、システムコンポーネントまたはカード会員データにアクセスするための一意の ID が割り当てられていることを確認する

ESS AdminControlは、共有IDであっても、承認ベースで指定されたユーザーのみが利用できる環境を提供することで、一意にIDを割り当てられない環境に対して妥当な代替コントロールを提供します。
ID Inspectorは、個人IDでの利用が想定されていないアプリケーションをカスタマイズすることなく、利用者の特定を行います。

8.2

ID Inspectorは、認証機能を持たない設計の一意の割り当てに加え、以アプリケーションをカスタマイズすることな下の方法の少なくとも１つく、IDとパスワードまたはFeliCaカードを利用を使用してすべてのユーザーを認証する。
した本人確認を行うことで、一意のユーザー
1)パスワードまたはパスフの確認と代替的な認証手段を提供します
レーズ
2)2因子認証（トークンデバイス、スマートカード、生体認証、公開鍵等）

Copyright © Encourage Technologies Co., Ltd.

168

2012/7/24

要件別 適用ポイント
適用ポイント
要件8
コンピュータにアクセスできるユーザーに一意を割り当てる(続要件コンピュータにアクセスできるユーザーに一意の一意のIDをてる 続き）
項 番

要件

弊社製品による弊社製品による対応
による対応

8.3

従業員、管理者、および第三者によるネットワークへのリモートア
クセス（ネットワーク外部からのネットワークレベルアクセス）には2因子認証を組み込む。RADIUS,TACACSとトークン、またはVPNと個々の証明書などのテクノロジを使用する。

ID Inspectorは、2因子認証に対応していないアプリケーションをカスタマイズすることなく、パスワードとFeliCaカードによる本人確認を行う代替策を提供します。

8.5

すべてのシステムコンポーネント
で、以下のように、消費者以外のユーザおよび管理者に対して適切なユーザ識別と認証管理を確実に行う。
8.5.1 ユーザIDなど識別子の管理
8.5.3 初期パスワードの変更
8.5.4 契約終了したIDの取り消し
8.5.5 90日ごとの未使用IDの棚卸

ESS AdminControlは、特権IDについて申請・承認フローに従い、確実な貸出管理を行い、共有IDの利用者の識別と、利用者しか利用できない特別な認証の仕組みを提供します。 また使用されていないアカウントの棚卸しを行います。

Copyright © Encourage Technologies Co., Ltd.

17

要件別 適用ポイント
適用ポイント
要件8
コンピュータにアクセスできるユーザーに一意を割り当てる(続要件コンピュータにアクセスできるユーザーに一意の一意のIDをてる 続き）
項 番
8.5

要件

弊社製品による弊社製品による対応
による対応

8.5.6 リモートアクセスのためにベンダが使用するアカウントは、必要な期間のみ有効にする。ベンダのリモートアクセスアカ
ウントが使用されている間、そのアカウントを監視する。

Remote Access Auditorは、外部ベンダーによるリモートアクセスの実施中の操作内容を監視・記録します。

8.5.8 グループ、共有、または汎用のアカウントとパスワードなどの認証方法を使用しない

ESS AdminControlは、特権IDの定期的なパスワード変更を、使用文字数、複雑性などのポリシーに従い自動的にランダム化します。

8.5.9 少なくとも 90 日ごとにユーザパスワードを変更する8.5.11 数字と英文字の両方を含むパスワー
ドを使用する。
8.5.12 ユーザが新しいパスワードを送信する際、最後に使用した 4 つのパスワードと同じものを使用できないようにする。
Copyright © Encourage Technologies Co., Ltd.

1892012/7/24

要件別 適用ポイント
適用ポイント要件10
ネットワークリソースおよびカード会員
要件
ネットワークリソースおよびカード会員データへのすべてのアクセスを会員データへのすべてのアクセスを追データへのすべてのアクセスを追跡および監視および監視する
監視する
項 番

要件

弊社製品による弊社製品による対応
による対応

10.1

システムコンポーネントへのすべてのアクセス （特にルートなど管理者権限を使用して行われたアクセス）を各ユーザにリンクするプロセスを確立する。

10.2

重要なイベントを追跡するために、すべてのシステムコンポーネントの自動監査証跡を実装する。

10.3

イベントごとに、すべてのシステムコンポーネントについて重要情報の監査証跡エントリを記録する。

ESS RECは、Windows、UNIX、Linuxのオペレーションシステムおよびアプリケーションに対する操作内容を動画と20項目以上のテキスト情報によって記録し、人の操作に関わる様々なインベント追跡を可能にします。
ESS AdminControlは、Windows,UNIX/Linuxオペレーティングシステムのログオンイベントを収集し、未許可のアクセスの有無を点検する仕組みを提供します。

10.4

変更できないよう、監査証跡をセキュリティで保護する。

ESS RECの操作記録は鍵方式によって暗号化され保護されています。

Copyright © Encourage Technologies Co., Ltd.

19

要件別 適用ポイント
適用ポイント要件10
ネットワークリソースおよびカード会員
要件
ネットワークリソースおよびカード会員データへのすべてのアクセスを会員データへのすべてのアクセスを追データへのすべてのアクセスを追跡および監視および監視する
監視する（する（続き）
項 番

要件

弊社製品による弊社製品による対応
による対応

10.5

監査証跡の履歴は少なくとも1年間は保持する。少なくとも3ヶ月はすぐに分析できる状態にしておく。（オンライン、アーカイブ、バックアップから復元可能など）。

ESS RECの操作記録はファイル形式によって保存されるため、通常のファイルに対する世代管理の考え方にのっとってバックアップ、アーカイブを行うことが可能です。

10.6

少なくとも日に一度、すべてのシステムコンポーネントのログを確認する。ログの確認には、侵入検知システム（IDS）や認証、認可、アカウン
ティングプロトコル（AAA）サーバ（RADIUS など）のようなセキュリティ機能を実行するサーバを含める必要がある。

ESS AutoAuditorとESS RECは、ログの確認作業を「要点検個所」の有無を自動的に解析する機能を提供し、ログ確認作業の工数を大幅に削減します。
ESS AdminControlは、Windows,UNIX/Linuxオペレーティングシステムのログオンイベントを収集することで、確認作業を効率化します。

Copyright © Encourage Technologies Co., Ltd.

2010

2012/7/24

特長①
特長① 共有IDの共有 の使用者を使用者を特定
PCI DSSでは
では、では、基本的に基本的に共有IDの共有 の使用を使用を禁止（禁止（要件8)していますが要件 していますが、していますが、対応が対応が困難な困難な場合も場合も想定されます
想定されます。
されます。
– メインフレームなど個人IDとパスワード等で認証を必要としないシステ
ム。
– 24時間常時監視など交代勤務等でログオフ、ログオンが困難な端末

ESS AdminControlまたはまたはID
または Inspectorを使用すると、共有IDを使用しながら、利用者を特定するという代替コントロールが可能■ESS AdminControlはWindows/UNIX/Linux OSの共有IDの使用者個人を特定■ID Inspectorは、アプリケーションのカスタマイズをアプリケーションのカスタマイズを行
アプリケーションのカスタマイズを行わなくても共わなくても有IDの使用時に使用者を特定することが可能
Copyright © Encourage Technologies Co., Ltd.

21

特長②
特長② 要素認証に要素認証に対応できない対応できないアプリケーションの代替アプリケーションの代替コントロール
代替コントロール
PCI DSSでは、リモートアクセス時の認証には2要素以上の認証を要求しています。しかし、アプリケーションが多要素認証に対応いていない場合、アプリケーションのカスタマイズが必要になってしまいます。
ID Inspectorはリモートアクセス時の認証画面が表示されると、FeliCaカードを要求した本人確認を行う設定が可能です。FeliCaカードの提示がなければ、デスクトップがロックされるため、リモートアクセスのアプリケーションを利用できなくなります。
アプリケーションを一切カスタマイズせず、FeliCaカード＋パスワードによる多要素認証を事実上実現
Copyright © Encourage Technologies Co., Ltd.

2211

2012/7/24

特長③
特長③仮想環境における仮想環境における管理者操作を管理者操作を透過的に透過的に記録する記録する
仮想化環境におけるカード情報セキュリティに関して、11におよぶ固有の課題と留意点を「「Information Supplement: PCI DSSVirtualization Guidelines」」の中で定義– 「Immaturity of Monitoring Solutions」-「ログ取得などのソリューションが未成熟」– 「Lack of Separation of Duties」-「職務分掌が欠落」

仮想化環境管理者アカウント=スーパー特権
Copyright © Encourage Technologies Co., Ltd.

23

特長③
特長③仮想環境における仮想環境における管理者操作を管理者操作を透過的に透過的に記録する
記録する
解決策– ESS RECによる、仮想環境の管理者の透過的な操作記録

解決内容– デスクトップの動画記録により、仮想化レイヤ（ハイパーバイザー、仮想ネットワーク、仮想マシン、および仮想マシン上のOSやDB、アプリケーションに対する操作）を透過的に記録する– 職務分掌が未成熟である点の代替コントロールとして操作内容を詳細に記録し、モニタリング。

Copyright © Encourage Technologies Co., Ltd.

24

12

2012/7/24

トータルソリューションとしてのメリット
共通のアーキテクチャーと共通のアーキテクチャーと相互互換性のアーキテクチャーと相互互換性– 同一製品群として、共通のアーキテクチャーとコンポーネント間の連携が、設計・導入工数を抑えます。
– 機能拡張時にも、製品群としての機能連携や整合性を保証します。

ワンストップでのサービス提供
ワンストップでのサービス提供– 障害、ノウハウなどの問い合わせサービスなど、ワンストップでの提供が可能です。

Copyright © Encourage Technologies Co., Ltd.

25

まとめ
弊社特権ID管理の要件7,8および弊社特権 管理ソリューション
管理ソリューション各製品
ソリューション各製品は各製品は、PCI DSSの要件 および10のの広範な広範な要件に要件に対して、して、広くカバーするソリューションです。
くカバーするソリューションです。
特に以下のつのポイントは、以下の3つのポイントはつのポイントは、要件上、要件上、比較的対応が比較的対応が困難な困難な部分に部分について、ついて、妥当かつ妥当かつ有効かつ有効な有効な代替コントロールとしても代替コントロールとしても活用可能コントロールとしても活用可能
共通のアーキテクチャーやなどコスト共通のアーキテクチャーや機能連携のアーキテクチャーや機能連携により機能連携により、により、導入時の導入時のSIなどコストを圧縮し圧縮し、将来にわたって将来にわたって、にわたって、ワンストップでのサポートを提供
ワンストップでのサポートを提供。
提供。

Copyright © Encourage Technologies Co., Ltd.

26

13

2012/7/24

ご清聴ありがとうございました
清聴ありがとうございました。
ありがとうございました。
http://www.et-x.jp
メールアドレス：etx-mktg@et-x.jp

Copyright © Encourage Technologies Co., Ltd.

27

14