日本版SOX法（金融商品取引法）の施行まであと9ヵ月を切った。業務プロセスの洗い出しや改善を着々と進めている企業も多いことだろう。しかし、内部統制はそれだけでは済まない。リスクマネジメントの一環として、ITシステムを含めたセキュリティ統制が必須である。そこで、セキュリティ統制を実現する富士通の統合運用管理ソフトウェア「Systemwalker」を担当する、富士通 ソフトウェア事業本部 ミドルウェア事業統括部 堀江隆一氏に、セキュリティ統制を行う上での具体的なポイントについて話を聞いた。

　企業にとって内部統制は、もはや必須要件となっている。そして、内部統制を行う上で、避けて通れないのが、ITシステムにおけるセキュリティ統制だ。富士通は、セキュリティ統制には、「認証・アイデンティティマネジメント」「証跡管理」「アクセスコントロール」「集中管理」4つの要素があると考えており、富士通の安心安全ソリューション「SafetyRing」で体系的に提供している。
　本特集では、この中でも特に統制の観点からの取り組みで重要となる証跡管理と集中管理の1つであるプロセス管理について考えてみる。なお、この2つの管理の概要は次の通りである。

◇証跡管理
一般的に言われているログの収集・検索に加え、システムの運用ルールを定め、ルール外のログを詳細調査することで、システムが正しく運用されていることを監査する。

◇運用プロセス管理
システム変更作業を始めとする運用プロセスを標準化し、作業履歴の見える化を実現する。

　従来の証跡管理は、ログを取得しておき、何か問題があった場合に検索をして、問題を追跡する程度の運用だった。しかし、それだけでは十分でないと堀江氏は警鐘を鳴らす。
　「従来のような事後対応では、セキュリティレベルの向上は望めません。事前に運用ルールを決め、確実に運用し、さらに必要に応じてルールの見直しを行うという、PDCAサイクルを廻していくことで、セキュリティの段階を徐々に引き上げることが可能になります」
　富士通の統合運用管理ソフトウェア「Systemwalker」は、このような考え方に基づいて設計されており、運用ルールの策定から、対策、チェック、問題への対応、ルールの見直しと、PDCAサイクルを廻し、システムやプロセスを進化させていくことが可能になる。

　例えば、証跡管理を運用する場合、サーバの操作ログを保管するだけでなく、あらかじめ決めたルールに則って操作されているかどうかを確認することが可能。ルールを外れる時間外の運用管理コンソールの利用など、不正な操作につながりかねないログを抽出し、個々の操作のチェックを行うことで問題行動を把握でき、改善につなげることができる。

　証跡管理にはPCの証跡管理とシステム全体の証跡管理がある。PCの証跡管理は、従来のログ収集に加え操作の監査までを行うことでPCでの操作を統制するものである。さらに、サーバやネットワークを含めた統制を行うのがシステム全体の証跡管理である。今回はPCの証跡管理について、富士通のクライアント管理ソリューション「Systemwalker Desktopシリーズ」を中心に説明する。

　これまでの証跡管理はログ収集が中心であったが、これでは統制が十分とはいえない。ログからルール通りにPCが使われているかをチェックすることが重要。そのキーとなるのが「ファイル追跡」と「原本保管」だ。

　PCの証跡管理は、内部の不正利用によりデータの改ざんや外部への漏えいが発生しうることをリスクとして捉え、クライアントPCの操作記録を確実に捕捉し、管理することが大切。管理していることを社員に周知することで、不用意な行動を起こさないようにする抑止効果もある。
　とはいえ、PCの操作ログは1日に約1000ログ発生すると言われており、単にログを保管しておくだけでなく、取得したログを確実に追跡できる機能が大切だ。「Systemwalker Desktop Keeper」のファイル追跡機能は、問題となるファイルの操作履歴を検索可能。「たとえば、ある人がファイルサーバからファイルをコピーしてきて、そのファイルの名前を変えて保存し、外部記録媒体に保存したといった履歴を確実にたどることができます。ログの一覧から、これらの行動を探し出すのは至難の業ですが、「Systemwalker Desktop Keeper」ならログの関連づけが容易にできるので、簡単に操作履歴を確認することができます」（堀江氏）

　ファイルを持ち出されてしまった場合、従来はファイル名まではわかっても、その中味まではわからなかった。
　「Systemwalker Desktop Keeper」の持ち出しファイルの原本保管機能は、持ち出したファイルの原本をコピーして保管する。
　ログと共に原本が保管されるので、過失や故意で持ち出され紛失した情報の内容が確認でき、情報が流出してしまった場合の影響範囲が明確になる。
　堀江氏は、「例えば“飲み会.doc”といったあまり重要そうでないファイル名でも、中には個人情報が書き込まれているといったことは、珍しいことではありません。したがって、ファイル名だけで判断するのは危険。ファイルの原本を強制的に保管する機能は、「Systemwalker Desktop Keeper」オリジナル機能で、確実な情報把握に有効です」と語っている。次回は、システム内のサーバやネットワークを含めたログを横通しで監査するシステム全体の証跡管理について紹介する。