Case Study

様
信用金庫業界のシステム事情を牽引する浜松いわた信用金庫
システムリスク管理の一環として重要システムの特権ID管理を実現

Profile浜松いわた信用金庫は、静岡県西部を中心に、会員である地元の中小企業や住民がお互いに助け合い、ともに発展していくことを共通の理念とする相互扶助型の金融機関です。近年は地域経済の活性化を目的に、取引先企業に対するコンサルティングや新規事業の支援、ビジネスマッチングフェアの開催といった活動にも積極的に取り組んでいます。
また、浜松いわた信用金庫は金融業界でもいち早く IT を活用し、業務のシステム化に取り組んできた信用金庫でもあります。1960 年代のコンピューター導入以降、より良いサービスの提供にむけた態勢作りに日々励んでいます。

課題と選択

浜松いわた信用金庫
設立
本店所在地
U R L
事業内容

1950年(昭和25年)4月10日
静岡県浜松市中区元城町 114 番地の 8
https://hamamatsu-iwata.jp/
地域貢献、お客様第一主義、法令等順守、企業活力の 4 つを基本理念に活動を続ける相互扶助型の金融機関。

< 導入製品 >お客様向けサービスを支える重要システムのリスクとは？

✓特権IDの利用者特定と作業内容のモニタリングが課題に浜松いわた信用金庫の庫内には、お客様に関する機密情報を保有するシステムやサービス提供にかかわるシステムなど、約 60 の重要システムが存在します。個人情報の漏洩やシステム障害によるサービスの停止など、お客様の信頼を大きく失墜しかねない事態を未然に防ぐため、これらのシステムへのリスク対策は欠かせません。
事務統括部
システム運用管理課課長 入木

利夫 氏

これらのシステムが抱えるリスクと現行の運用について、監査法人の専門的な知見も含めて、浜松いわた信用金庫が分析を実施した結果、特権 ID を使用したアクセスについて十分な対策がとられていないことが判明しました。
「システムの内容や委託先の外部ベンダー、作業の量、頻度はシステムごとに異なりますが、日常的なオペレーションは浜松いわた信用金庫の職員、定期的な保守作業などは委託先の外部ベンダーが担当しています。保守・運用作業を実施する場合、共有の特権 ID で庫内の PC から対象システムに直接アクセスすることが通例で、特権ID の利用者を記録する仕組み等はありませんでした」( 入木氏 )「また、特権 ID を使用した作業内容の記録の取得も不十分だったため、保守・運用の担当者が不正な作業や誤った作業を行った場合でも、原因の特定はおろか、担当者を特定することも困難な状況でした」( 鵜飼氏 )こうした分析結果を受けて、浜松いわた信用金庫では対応策を検討、以下の管理態勢を構築することを決定しました。
■申請・承認プロセスを経て、特権 ID を貸出すことで、誰がいつ特権 ID を使用したか確認できる状態にすること
また、特権 ID のパスワードは定期的に変更すること■特権 ID を使用した作業の内容は、ログとして記録、定期的な点検を行うこと

事務統括部
システム企画開発課
シニアエキスパート

鵜飼善彦 氏限られた人員でこうした管理態勢を実現するためには、専用のソフトウェアを有効活用する必要があると判断し、浜松いわた信用金庫ではソフトウェアの選定をはじめました。

✓なぜESS AdminControlとESS RECだったのか？
半年ほどの情報収集を経て、採用に至ったのがエンカレッジ・テクノロジの特権 ID 管理ソリューション、ESSAdminControl と ESS REC でした。
■ESS AdminControl：ワークフローに基づく申請・承認ベースの特権 ID 貸出
ESS AdminControl を利用すれば、ワークフロー上で事前に申請・承認された作業に対してのみ、特権 ID を貸出すことができます。ESS REC を使用した作業内容のモニタリングと併せて、誰が、いつ、どのシステムに対して作業を行うのかを管理し、作業者を特定できる点が採用のポイントになりました。
■ESS REC：作業内容を直感的に理解できる動画形式の記録
ESS REC の機能の中で、もっとも印象に残っているのが動画形式の記録です。誰でも直感的に理解できる動画での記録形式に魅力を感じました。作業内容のモニタリング方法を検討していた浜松いわた信用金庫にとって、作業の詳細な内容までわかりやすく確認できる動画形式の記録は、選定のポイントになりました。
また両製品とも、対象となるシステムにエージェントを導入する必要のない「エージェントレス型」である点も、事務統括部
システム企画開発課採用を決めた要因のひとつでした。

係長 中「既に稼働中のシステムに新たなアプリケーションを導入する場合は、既存システムへの影響を慎重に考慮する

良介 氏必要があります。そのうえ、保守･運用を担当する委託先の外部ベンダーに了解を得たうえで、導入作業を依頼する必要があり、そのための費用も別途必要になります。こうした作業が対象システムすべてで発生するため、導入は現実的ではありません」( 鵜飼氏 )こうした経緯を経て、浜松いわた信用金庫では 2013 年 3 月に特権 ID 管理の第 1 段階として、重要度の高い20 システムを対象に ESS AdminControl と ESS REC の導入を決定しました。

導入と効果

特権ID利用者の特定と操作内容のモニタリング態勢を実現✓導入に合わせて運用方法も変更
浜松いわた信用金庫では製品の採用決定後、2013年4月か

また副次的な効果としては、特権IDの棚卸の実現が挙げら

ら約3ヶ月で設計・構築を完了、試験運用を経て11月から本格

れ ま す。特 権 I D 貸 出 の 仕 組 み を構 築 するに あたり、E S S的な運用を開始しています。

AdminControlを利用して、IDの棚卸を実行。

「導入後は庫内のPCからサーバーへ直接アクセスすること現状では用途不明の特権IDが多く存在するということを認を禁止、新たに設置した『中継サーバー』を経由して作業を識しました。これらのIDについては、削除可能かどうかシステ実施する運用方式に変更しています。この変更により、以下のムへの影響を調査しながら、今後対応を検討していきます。

特権ID管理態勢を構築しました」(中氏)

現在は特権 ID の貸出管理の他に、ESS AdminControl のレポートを基に、事前の申請・承 認 がない 作 業について、■ ESS AdminControl：特権IDの利用者特定を実現
ESS AdminControl を利用することで、当初の方針通り、担当者から作業内容の説明を受け、不正がないことを確認

事前に申請･承認を得た作業に対してのみ特権IDを貸出すして検印するという運用も実施しています。

態勢を確立しました。これにより、いつ、誰が、何のために「信用金庫のように限られた人員で必要な管理態勢を実現

特権IDを使用したのか、確認ができる状態になりました。

するにはソフトウェアの有効活用が欠かせません。ソフトウェ
ア活用のメリットは作業を自動化することによる省力化以外■ ESS REC：作業内容のモニタリングを実現
ESS RECを中継サーバー上に導入することで、そこで行われるに、ソフトウェアの提供するベストな管理を享受できる点があ

すべての作業を記録することが可能になりました。また、ESSります。たとえば、共有アカウントを使用しながら、適切なパスRECの導入時には、作業者全員に対して、作業内容を記録

ワード管理と承認ベースでの貸出を行うという管理方法は、することも説明しています。特に委託先の外部ベンダーに対マニュアルでは実現が困難です」( 入木氏 )して、ESS RECの動画形式の記録は大きな牽制効果を発揮すると期待しています。
事前の作業
申請・承認

作業内容の記録

未承認作業の洗い出し

未承認作業の確認

印

サーバールーム

庫内の職員
中継サーバー

管理者

作業担当者

ESS AdminControl のレポートを基に未承認作業の洗い出し

管理者

作業担当者に作業内容を確認

委託先の外部ベンダー展開

対象システムの順次拡大など、更なる特権ID管理態勢の強化も検討

浜松いわた信用金庫では、ESS AdminControl の対象システることのないようネットワーク的な制御についても検討したいと考えています」( 入木氏 )ムを順次拡大していくことを計画しています。さらに、庫内の運用が安定した後は、委託先の外部ベンダーが専用線を利用

こうした取り組みを通して、より良いサービスを提供できるして行っている保守･運用作業についても ESS AdminControl

体制作りを進める浜 松いわた信用金庫 様 。と ESS REC の対象にすることも計画しています。

エンカレッジ・テクノロジはこれ からもこうしたお 客 様 の「全システムに対する特権 ID 管理態勢の強化を一度に実サポートに努 めてまいります。

施することは難しいですが、システムの柔軟性も考慮しつつ、ESS AdminControl の利用拡大も含め、順次実現していければと考えています。またアクセス制御については、現在の仕組みに加え、中継サーバーを経由せず直接サーバーへアクセスされ本事例に記述されている内容は 2014 年 1 月現在の情報です。
Copyright© 2002-2019 Encourage Technologies Co.,Ltd.
記載の会社名・製品名は、一般的に、各社の商標または登録商標です。

エンカレッジ・テクノロジ株式会社〒103-0007
東京都中央区日本橋浜町3-3-2 トルナーレ日本橋浜町 7F
URL ：https://www.et-x.jp
Phone ：03-5623-2622
Fax：03-3660-5822<CS24-2019-09-01>