Case Study

株式会社エヌ・ティ・ティ・データ 様Profile基幹システム「INFOGRID」に対するシステム操作の統制レベルの均一化と効率化を実現

株式会社エヌ・ティ・ティ・データ
設立
本社所在地

株式会社エヌ・ティ・ティ・データ（以下 NTT データ）は、旧日本電信電話公社のデータ通信部門が独立して1988年 (昭和63年) 5月23日
東京都江東区豊洲3-3-3
豊洲センタービル
http://www.nttdata.co.jp
システムインテグレーション事業
ネットワークシステムサービス事業
その他これらに関する一切の事業

U R L
事業内容

設立された日本を代表するシステム・インテグレータです。
中央省庁や地方自治体など公共分野のシステムから、金融、製造、流通、通信、医療・ヘルスケアなどの法人向けシステム、さらには業界横断的な社会インフラサービスまで、人々の暮らしや社会を支え、そして変えてい< 導入製品 >く、さまざまな情報システムやサービスを提供しています。

®

社内情報システムへの戦略的 IT 投資も積極的に行われており、2006 年 4 月に基幹系システムを刷新し、新基幹システム「INFOGRID」の稼働を開始しました。

背景

米国SOX法と日本版SOX法への対応

NTT データは東証一部上場企業であるとともに親会社が米国市場に上場しているため、米国 SOX 法および日本版 SOX 法 ( 改正金融商品取引法 ) が適用されます。財務会計処理を行う基幹系システムである INFOGRID
はこれら法の対象システムとして IT 統制の強化が求められました。INFOGRID のシステム運用を担当する IT マ
ネジメント室では、IT 全般統制強化の一環として以下のような取り組みを策定しました。

■ 職務分掌の仕組み：開発と運用部隊の組織の分離■ アクセスコントロール：特権アカウントを利用する際の運用手順とルールの見直し
ITマネジメント室
システム開発担当
システム管理担当 兼務
部長 中島雄作 氏

・作業内容に対する事前承認に基づく作業者への権限付与の徹底
・体制表とログイン履歴の突き合わせ分析をすることで不正アクセスの有無の点検を実施
・作業申請内容と実際の操作ログの突き合わせによる不正操作・誤操作への対処
・定期的なアカウントの棚卸しによるアカウント管理不備によるリスクの低減

課題

正当性を確認するログ分析のための大きな負荷

ところがこれらの取り組みを実際に運用してみると、いくつかの課題が顕在化しました。

ワークフローによるコントロールと実作業に矛盾職務分掌をコントロールするワークフローとアカウント発行・作業等の実作業が独立しているため、実際には承認作業が事後になるケースもあり、作業申請のワークフローの承認日時と実際の作業日時に矛盾が発生することがあった。

突き合わせ作業の負荷と点検レベルの属人性
ITマネジメント室
システム管理担当課長 髙橋正明 氏

本番環境に対して作業をする都度、その操作内容のログを収集し、正しい操作であるかモニタリングする作業が想定以上に稼動のかかるものであった。
さらに、人による突き合わせ作業では点検レベルにばらつきが発生していた。

ESS AutoAuditor 導入前のシステム操作の統制の流れ
管理者

GUIを中心に操作を行うWindowsサ作業の稼動が負担になっていた。

3

4

チェックリストによるログ承認および作業結果承認

1

作業申請書提出がないか定期的なアカウントの棚卸

2

認
承施
実作業の都度発行する ID の削除忘れ

印

請申アカウント管理の負荷印

印

GL（承認者）

作 業 内 容 チェック・承 認

作業の完全性が不十分であった。

作業報告書

困難であり、操作内容のモニタリング

作業申請書の操作をログとして取得することが

印

作業申請書

ーバーでは、OSの機能だけはすべて作業申請書

Windows GUI 操作の記録が不完全

6

5 作業の実施

操作内容の記録
作業者

開発者 / 運用者

選択

エンカレッジ・テクノロジの手厚いサポートもあり、ESS AutoAuditorを採用

これらの課題を解決するために選択されたのがエンカレッ

ント管理といった予防的統制とログ突き合わせという発見的統

ジ・テクノロジの自動突合製品「ESS AutoAuditor」でした。

制が組み合わされた製品であることに加え、当社の要件をESS

製品選定の経緯についてNTTデータ ITマネジメント室 システ

AutoAuditorの仕様に反映しながら開発を進めていくといったム管理担当課長の髙橋氏は「ログ分析を行う製品は他にも多数対応をはじめとするエンカレッジ・テクノロジ社の手厚いサポーあり、機能的には一長一短でした。」と述べています。

トがあったからです。」（髙橋氏）「しかしどの製品もログを収集し分析する機能が中心で、ログ分

NTTデータでは2009年7月 正式にESS AutoAuditorの導入を

析と同時に権限管理などを行う予防的統制機能を備える製品決定、2009年10月より稼働を開始しました。インフラ設計についは見つかりませんでした。」(髙橋氏）ては、新規製品と言うことでエンカレッジ・テクノロジの提案がNTTデータが導入検討している時点では、実はESS AutoAudi-採用され、システムの柔軟性と可用性を考慮し、仮想化技術をtorは企画・開発段階でした。

用いて構築しました。現在、日々ESS AutoAuditor の申請承認ワ「実績のない製品を選択する不安もありましたが、それでも当ークフローと自動突き合わせ機能を利用し、100台を超えるサー社がESS AutoAuditor を選択した理由は、ワークフローとアカウバー群のシステム操作に対する統制活動を実施しています。

効果

開発・運用業務におけるセキュリティガバナンスを維持しつつ効率化を実現

髙橋氏は、ESS AutoAuditor により統制レベルの均一化と統らない。今回、INFOGRIDのシステム運用に、ESS AutoAuditor を制活動の効率化の両立を実現できたと、導入効果について評価導入することにより、統制レベルの向上と、統制活動の「効率化」しています。具体的には以下のような改善がみられました。

「省力化」という両立が困難な課題を一度に解決することができた。今後もINFOGRIDの内部統制について、より効果的な方法をワークフローによる申請・承認が確実な権限発行のコントロールを実現模索しながら、お客様の信頼を勝ち取り、企業価値の向上を追求していきたい。」

承認を得なければ作業用ゲートウェイサーバにログインできないため、確実な事前承認手続きが実行されるようになり、後付けで申請を行うことによる日時の矛盾を解消できた。

ESS AutoAuditor 導入後のシステム構成

Windows GUIの操作も確実に記録

オペレーター室

課題だったWindows GUI 上操作も確実に記録を取得、記録するだけでなく、ESS AutoAuditor のブラックリスト定義により要注意操作を容易に検出できるようになった。

人事給与系用
端末

会計系用
端末

Firewall

データセンター

ログ分析・突き合わせ作業の効率化と点検レベルの均一化
ログの分析作業は、ブラックリスト定義により検出された要注意操作を中心に確認するだけになり、操作ログの確認工数の削減を実現できた。

アカウントの管理の自動化を実現
ESS AutoAuditor の承認ベースで発行され、作業終了後に削除されるアカウント管理機能により、人によるIDの発行・削除および定期的な棚卸作業の必要性がなくなった。
NTTデータ ITマネジメント室 システム管理担当部長の中島氏

EAA
サーバー

は、今後の取り組みについて以下のように語っています。

会計系
中継サーバー

人事給与系
中継サーバー

ゲートウェイサーバー「健全な企業経営を実現するために内部統制の確立と維持は

会計系
本番
サーバー

人事給与系
本番
サーバー

運用管理
サーバー

サービス用サーバー

重要な課題である。特に継続した統制活動を行うにあたり、人海戦術による力技ではコスト面で壁に突き当たる。内部統制レベルを高い水準で維持しつつ、PDCAサイクルを繰り返し行うことで、常に「効率化」「省力化」を意識した改善をしていかねばな
本事例に記述されている内容は 2010 年 11 月現在の情報です。
Copyright© 2002-2013 Encourage Technologies Co., Ltd.
記載の会社名・製品名は、一般的に、各社の商標または登録商標です。

エンカレッジ・テクノロジ株式会社〒103-0007
東京都中央区日本橋浜町3-3-2 トルナーレ日本橋浜町 7F
URL ：http://www.et-x.jp
Phone ：03-5623-2622
Fax：03-3660-5822<CS13-2013-11-01>