疑似ユーザが大量のログを排出

Enforciveの利用開始は今年6月。ただし、最初からスムーズに運用できたわけではなく、 「スタート当初は大量にログが出てしまい、対応に追われた」（出川氏）という。

原因は、ユーザーがTelnet通信を行うと、あるモジュールがスプールファイルに作用しFAXやメールを送信する コマンドを自動的に発行してしまう点にあった。これは、全ユーザーのログを解析し、推奨値の設定を変更 （疑似ユーザーの削除）することで解決したが、出川氏は「最初は何が起きているのか、 まったく分かりませんでした。Enforciveを一段深く使いこなすには、それなりの習熟が必要と感じます。 細かいレベルでログを取るとすぐにファイルが満杯になってしまうので、 すべてのオブジェクトをログ取得の対象とするのではなく、特定のユーザーとひも付けるなどのチューニングが 今後の課題です」と語る。

クラリオンでは、米SOX法への「一次的な対応としてのログ取得環境の整備」を終えたが、 日本版SOX法に対しては「米SOX法への対応でカバーできる」(井上氏）と考えている。

「日本版SOX法施行後の監査で何を要求されるのか不明な点もありますが、ユーザーIDやパスワードの扱い、 管理者権限の管理といった基本的なポイントは米SOX法と大きく変わらないと見ています。 昨年の監査で、プログラムの変更と承認が適切にひも付いていない箇所があると指摘されましたが、 Enforciveの導入によって従来明示的に捉えることができなかった不具合のあるプロセスを明らかにし、 内部統制の整備を徹底していきたいと考えています」と井上氏は抱負を語る。

同社は2003年8月に、従来のメインフレームをPower Systems(AS/400)へ全面的に切り替え、現在、日米欧の各システムの 「3極統合」やアジア地域のプラットフォーム統合といった大がかりなシステム再構築を進行中である。 米SOX法への対応として、その一部のシステムに導入されたEnforciveは、今後、同社のワールドワイドのIT統制基盤として 利用されていくものと見られる。

 クラリオン株式会社 様

◇お客様プロフィール
  創業：1940年
  本社：東京都文京区
  資本金：261億円
  売上高：1283億円(単独）
      1810億4100万円（連結）
      (2007年3月期）
  従業員数：単独1086名
       連結：1万774名
      （2007年3月）

http：//www.clarion.com/

セキュリティツールに対する３つの要件

セキュリティツールの要件として挙げたのは、次の3点であった。

そこで、今回の導入を担当したシステム課では、IT事業を営むOA事業部に相談を持ちかけた。 その結果、提示されたのがソルパックのEnforciveである。OA事業部の吉村学氏（システムグループ主任）は 次のように振り返る。 「Enforciveは販売実績もあり内容を理解していましたが、システム課の要件を踏まえて、改めてもう1製品を 取り上げて、比較検討しました。そして、システム課の要望がGUIベースで操作しやすいこと、 操作履歴の把握や追跡を容易に行える管理機能を備えていることだったので、Enforciveが最適と考え 推薦しました。もう1製品の方は、部分的にCUIベースになるところがあり、システム課のニーズに 合わないと判断しました」

Enforciveは直観的な操作が可能で扱いが簡単

Enforciveは、モデル520の導入に続けてインストールを行った。そして2007年3月に、トラベル業務システム、 11月にオートリースシステム、燃料管理システムへの導入を終えた。順次導入を行っているのは、旧システムから520への移行が 業務システムごとに異なり、各業務システムが520に搭載された時点で導入を行っているためだ。

システム課では、Enforciveのインストールから各業務システムへの導入を自前で行っている。担当の志度谷氏は、 「各種設定方法を学習しながら作業を進めていますが、基本的な設定は難なく行えます。むしろ、Enforciveの 持っているさまざまな機能をいかに活用していくかが、運用管理者としての今後の課題になると 感じています」と言う。

管理面では、Enforciveが取得したログをCSV形式で取り出しExcelへ展開する一連の操作が「非常に簡単」という。 「Enforciveは直観的な操作が可能で、扱いが簡単です。従来は、紙にレポートを出力するには ログデータに手を加える必要がありましたが、Enforciveではそうした管理コストはほとんどかかりません。 コスト削減にもつながると感じています」（志度谷氏）

Enforciveへの目下の要望は「PDF化まで一連の操作で行えること」だが、ソルパックによれば、このPDF化は 2008年度初めにリリース予定の次期バージョン(Enforcive5.5)で対応するとのことだ。

顧客DBの操作・更新履歴へ監視対象を拡大

ここで、同社のセキュリティへの取り組みについて触れておきたい。

同社では、年2回、システム課が中心となって「情報セキュリティ報告書」をまとめている。 これは、ウイルスの感染量やサーバーの停止時間などの実態を半期ごとにレポートするもので、 「実情を示すことによってセキュリティ意識を高めてもらうのと同時に、事故や不正の抑止力とする」（川上氏） のが狙いだ。スパム対策では、実態の公開と対策ツール導入の両面作戦によって「97％の防御に成功している」(川上氏）という。 Enforciveの採用は、こうした高いセキュリティ意識の下でツールの選択が行われ、進められたというわけだ。

現在は、日次でログを取り、データベースへのログオン／オフを中心に監視している。この点だけでも 「セキュリティ周りの運用管理時間は大きく短縮されている」と川上氏は評価する。

今後は、その他の業務システムへの適用のほかに、顧客データベースに対する操作や更新履歴へ監視対象を拡大し、 さらに「きめ細かいアクセス制御を行う計画」（志度谷氏）。しかし、設定を細かく行えば管理工数はそれだけ増加する。 「そのバランスを見ながら、より緊密なセキュリティ対策を立てていく方針」という。そして、その先には 「内部統制への対応がある」(川上氏）。Enforciveが同社のセキュリティ基盤となったようだ。

四電ビジネス株式会社 様

◇お客様プロフィール
  業種：不動産
  システム：i5-520(V5R3)X2
  年商：1,490億
  利用者数:1,500

1.Enforcive　導入の狙い

ユーザー個々のアクセス制御とその状況を見たい。
ファイル・アプリケーションへのアクセス制御。
個人情報保護法、日本版SOX対応につなげたい。

2.Enforcive　活用機能

監視、ロギング、レポート機能
セキュリティ違反履歴の取得
ＦＴＰ使用制御

3.導入効果

ユーザー別アクセス状況が把握でき､不適切なユーザーアクセス防止につながっている。
セキュリティの基礎ができ、安心してアプリケーション・メニューのアクセス制御の開発を進められる。

◇お客様プロフィール
  業種：不動産
  システム ：i5-520(V5R3)X2
  年商：450億
  利用者数：600(含関連会社)

1.Enforcive　導入の狙い

ユーザー個々のアクセス制御とその状況を見たい。
不正アクセス検知時の警告メッセージの表示
個人情報保護法、日本版SOX対応につなげたい。

2.Enforcive　活用機能

監視、ロギング、レポート機能
不正アクセスへの警告メッセージ機能

3.導入効果

ユーザー別アクセス状況が把握でき､更に不適切なユーザーアクセス検知時の警告メッセージは、より有効に不適切なアクセスの防止につながっている。
日本版SOX、個人情報保護法へのシステム対応ができ、今後は、セキュリティ保護への管理の仕組に力を入れて行きたい。

◇お客様プロフィール
  業種：保険
  システム ： 270(V5R2)
  年商：450億
  利用者数：300(社内）

1.Enforcive　導入の狙い

ユーザー個々のアクセス制御とその状況を見たい。
不正アクセスの可能性を知りたい。
個人情報保護法対応につなげたい。

2.Enforcive　活用機能

監視、ロギング、レポート機能
不正アクセスへの履歴取得機能

3.導入効果

ユーザー別アクセス状況が把握でき､更に不適切なユーザーアクセス検知情報は、今後のセキュリティ対策に大変役立つ。
FTPの使用等使われていないと思っていた機能が動いており、ログ取得によりシステム全体の動きが見渡せ、システム運用面でも大いに役立つ。

◇お客様プロフィール
  業種：書籍販売
  システム ：i5-520(V5R3)

1.Enforcive　導入の狙い

Power Systems(AS/400)での誤操作・不正操作を抑制、防止したい。
Pマーク、ISMS認証取得対応のベースにしたい。

2.Enforcive　活用機能

監視、ロギング、レポート機能
セキュリティ違反履歴の取得

3.導入効果

誤操作・不正操作履歴に基づく利用者への警告を通して、防止効果が出来てきている。
監視ログレポートを通して、全社的な意識が向上している。