Case Study

第一生命情報システム株式会社 様
特権IDでの運用端末からの情報漏洩・不正操作防止をESS REC の操作ログ記録で実現
第一生命情報システム株式会社様（以下、DLS）は、創立以来、第一生命グループをはじめ一般のお客様に対しても、IT を駆使した様々なソリューションを提供してきました。｢お客様最適の追求｣｢ 社員・職場の活性化｣｢ 社会的責任の遂行｣を経営の基本方針に掲げ、より付加価値の高いトータルなソリューションを提供することでお客様のProfile
第一生命情報システム株式会社
設立
本社所在地
UR
L
事業内容

ニーズに応えています。また、高度な情報セキュリティを求められる金融系情報システム会社であることから、早くか1999年(平成11年)6月1日
東京都府中市日鋼町 1-9
http://www.dls.co.jp
企業のシステム基盤、各種システムの構築、運用サービスの提供、および情報処理業務の受託、受託開発 など。

らプライバシーマーク、ISO27001（ISMS）、ISO9001、ISO14001 の認証を取得し、情報セキュリティへの具体的な対応を、社内へ展開・定着させる取り組みを行ってきました。DLS では、情報漏洩や不正操作の防止・抑止を向上させるためにESS REC を採用し、今後さらにアプリケーションや部門システムへの拡大展開も検討されています。

施策< 導入製品 >ESS REC ®

特権IDで運用端末を操作することへのリスク対策■ 特権IDによる情報漏洩・不正操作対策■ 操作記録で不正操作を抑止■ 操作ログ取得ツールの検討✓高度な管理・運用体制下でのリスクへの対策

基盤システム第一部
基盤開発グループ
次席アナリスト

課題として取り組み、高いレベルの体制・管理基準を構築・維持しています。
また、それらが有効に管理・運用さ中山れているかを客観的にチェックする内部監査体制も整備しています。

豊氏

DLS では、会社設立以降一貫して情報セキュリティ対策、リスク管理、個人情報保護等を会社にとっての最重要

内部監査部門は、社内全部門に対する内部監査を実施するとともに、社外に対しても日本内部監査協会、システム監査学会、システム監査普及連絡協議会等に加入・活動し、ISMS 審査員、ISO（品質・環境）審査員、公認内部監査人（CIA）、システム監査技術者等の資格取得者を擁しています。
このような高度な体制を擁するDLS では、特権 ID で運用端末を操作することのリスクへの対応が課題になっていました。
「システム管理者は様々なリソースにアクセスする権限を持っています。
もし、システム管理者が悪意で情報漏洩などを起こせば、その被害は計り知れないものがあります。
しかし、そのようなリスクに対して、操作上の禁止項目や制限項目を設けたのでは、本来の運用業務に支障が出る可能性があります。
そこで運用業務に支障を与えずに操作記録を取得する事で、不正操作等を抑止するというコンセプトのもと、操作ログを取得するツールの選定を行いました」（中山氏）
基盤システム第一部
オープン技術グループ
アナリスト

川端下

【 セキュリティ推進体制 】

和宏 氏

康一 氏

経営会議

各部
情報資産保護管理部推進者 = 部長
各グループ
情報資産保護管理推進者 = グループ長
セキュリティ6人会議
セキュリティ推進リーダー
納品点検担当者
教育研修担当者

システムセキュリティ担当者
環境改善担当者
協力会社担当者連絡会議・進捗報告

パートナー企業責任者

情報セキュリティ向上委員会

細谷社長

情報資産保護管理責任者
セキュリティ統括部署

モニタリング

内部監査・監査役監査・社外監査

基盤システム第一部基盤開発グループアナリスト取締役会

選択

操作キーと画面のログ取得ツールを検討■ 社内ルールに基づくデータ保存量への対応■ スパイウェアとして検出されないこと✓ESS REC の選択
操作ログを取得するツール選定のポイントは、操作キーのもう一つの評価の基準として、このツールがスパイウェアとしログの取得、そして次に操作画面の取得でした。て検出されないことがあげられ、ESS REC は、この基準も満たし「既存のツールを組み合わせて、第一生命への提案をまとめました。
また、はじめにツールの仕様についてしっかり説明いたのですが、画面の取得ツールはコンソールの機能で取得すただいたこともあり、導入が非常に容易で、2 週間という短期間るもので、データ量がかなり大きくなってしまい、お客様の要求で評価を完了させることができました」（細谷氏）
ESS REC は、画面差分の取得と独特の圧縮手法を用いることに応えられるものではありませんでした」（中山氏）
そこで、再検討を行う中で ESS REC に出会い、操作キーと画で保存データ量を削減しており、通常の動画保存に比べてはるかに少ない容量で保存が可能となっています。
また、基本的に像の取得について評価を行いました。
「 評価の基準の一つは、ESS REC が動画で取得する操作画操作画面の取得という方式であることから、他社ツールに比べ像の容量でした。弊社では、ログの保管期間が決められておてウィルス対策ソフトに検知されにくいアーキテクチャが採用り、試算したところ、その基準に基づいて保存が可能という結されています。

果が出ました。

効果

ESS REC の導入効果■ 操作ログ取得を社員へ周知■ 企業ポリシーとしての操作記録取得と監査■ 誤操作原因の分析と改善へ✓高度なリスク管理体制と運用を支援
現在、ESS REC は、第一生命の基盤系システムの操作記録を使い方については、これからいろいろと考えられると思いま取得していますが、システム負荷はほとんどなく、操作上もストすが ESS REC の導入は、不正操作や誤操作の抑止機能としてレスなく利用されています。
また、操作ログを記録していること使うだけではなく、間違ったコマンドなどを後追いすることでは社員に周知され、運用担当部門のセキュリティ・ポリシーに発生した問題に対して作業内容のミスなのか、システム側の問も組み込まれています。

題なのかが分析できる効果もあります」（川端下氏）

経済産業省の提示する「システム管理基準」等でも、操作内DLS では、ESS REC の導入は、当初から一定の部門用という容についての記録の取得が例示され、今後企業における操作ことで導入検討されたものではないことから、今後の予定としログの記録取得と定期的な検査・監査活動は、企業の IT 統制て、システム基盤系のみではなく、アプリケーションや部門シス上のポリシーとしての重要性が高まることが考えられます。

テムへの拡張展開の可能性があり、同社の高度なリスク管理「ESS REC のレポート機能を利用し、週間単位で操作内容を体制と運用を支援していくものとして考えられています。

チェックしています。事前にセットした不正操作や誤操作パターンに符合した場合にアラートをあげるようにしています。

本事例に記述されている内容は 2007 年 7 月現在の情報です。
Copyright© 2002-2014 Encourage Technologies Co., Ltd.
記載の会社名・製品名は、一般的に、各社の商標または登録商標です。

エンカレッジ・テクノロジ株式会社〒103-0007
東京都中央区日本橋浜町3-3-2 トルナーレ日本橋浜町 7F
URL ：http://www.et-x.jp
Phone ：03-5623-2622
Fax：03-3660-5822<CS04-2014-09-01>