［システム管理編］●第5回　群管理の効果を試算してみた

　前回はグループポリシーを使った情報保護について取り上げた。このようにパソコン（PC）を一つの群れとして管理すると，個別管理に比べてどの程度有利なのか。今回は，Active Directoryを使った「統合管理」と，コンピュータやサービスごとに個別にアカウント管理を行う「個別管理」について，運用コスト（人件費）とセキュリティ面の試算を行い比較してみよう。

　比較に当たっては，運用コストはIDの作成と削除，パスワードの変更，監査の3項目，セキュリティ強度については簡単なパスワードのリスク，退職者アカウント管理のリスク，セキュリティ・パッチとウイルス対策システムの管理のリスクを中心に，簡単なモデルで試算を行った。

　試算の結果，個別管理から統合管理へ移行することで，アカウント管理のコストは12分の1程度となる。これは管理コストがアカウント数と比例関係にあるためである。アカウントが破られるリスクや退職者アカウントに関するリスクも大きく減少する結果となり，さらに，アカウント数とは直接的な関係のないウイルス等の感染リスクについても，減少するという結果が得られた。これは，パスワードの複雑さや，更新処理の統制を技術的に保証したことによる。

　セキュリティとコストはトレードオフの関係にあると考えられることが多いが，今回の試算では統合管理はコストを下げると同時にセキュリティ・レベルを向上させられることが分かった。もちろん，このような試算は，モデルやパラメータで大きく変わってしまうのだが，個別管理と統合管理のコストおよびリスクの違いを考察する上で，一つの判断材料にはなるだろう。

個別管理と統合管理の比較結果

アカウント管理コストの試算

　まずは，統合管理と個別管理が運用にどのように影響を与えるのかを試算するため，以下の数値を基にして年間の作業工数を試算する。

試算条件

　個別管理ではPC，サーバー，アプリケーションそれぞれのアカウントがあるものとする。また，セキュリティ・ポリシーは制定されているが，確実に実施するための技術的な取り組みは行われていないものとする。

　統合的管理は，アカウントを一元的に管理するほか，グループポリシーを使ってクライアントの設定を強制するものとし，各PCのローカル・アカウントについてはドメイン・アドミニストレータ権限を使って無効にするものとした。なお，サーバー・アカウントは，システム管理者が適切に運用するものとして，試算対象から除外している。

　これらの条件で，まず個別管理と統合管理それぞれのケースでのアカウント数を試算すると，次のようになる。

個別管理

統合管理

　次に，アカウント数がコストに与える影響を試算するため，以下の作業について年間の工数を試算した。なお，作業は一律にアカウント当たり3分かかるものとした。

　この条件で，それぞれのモデルのコストを試算した結果は次のようになる（1人日は，8時間として計算）。

個別管理

統合管理

　この試算では，統合管理を採用すると，総計で個別管理を行った場合の約12分の1のコストで運用できることになる。利用者が直接作業を行う「再設定」を除いた場合も，やはり約12分の1のコストで運用できることになる。