特権ID管理と特権ユーザ管理－その違い（CA Security Reminder）

管理者アカウント制御の市場は、特権ID管理と呼ばれることも特権ユーザ管理と呼ばれることもあります。どちらを使用するかによって、我々が対処しようとしている問題のとらえ方が特徴づけられる可能性があります。

特集特集

2012.9.10 Mon 8:00

CA Security Reminder は、コンシューマライゼーションが進行する企業情報システムの情報セキュリティとアイデンティティ管理について考えます。

「特権ID管理」と「特権ユーザ管理」。このふたつの用語は区別せずに使われることも多い。しかし、ネットワークセキュリティの分野に詳しい CA Technologies の Russell Miller氏は、3つの理由で「特権ID管理」を使用することを勧める。

--

管理者アカウント制御の市場は、特権ID管理（Privileged Identity Management: PIM）と呼ばれることも特権ユーザ管理（Privileged User Management: PUM）と呼ばれることもあります。セキュリティ分野に関わる人の多くは、この2つの言葉を区別せずに使用していますが、どちらを使用するかによって、我々が対処しようとしている問題のとらえ方が特徴づけられる可能性があります。主に次の3つの理由により、前者（特権ID）を使用することを強く推奨します。

1. 「特権ユーザ」という言葉を使用するときには、人物を念頭に置いている傾向があります。「PUM」という言葉がほのめかす、全般的に特権を与えられた人物というものは存在しません（存在するべきではありません）。特定のシステムまたはアプリケーションで特定のタスクを実行するために特定のアクセス権を必要とする個人は存在します。「全能の」管理者の存在が許されるのは、極めて限られたケースのみです。

2. 「特権ID」という言葉を使用すると、IDをツールとして考えることが容易になります。特権IDとは、特定のユーザが特定のタスクを実行する能力を手に入れる手段なのです。また、特権IDという言葉を使用することにより、これらのIDが外部の「ハッカー」による悪用につながる潜在的な道であり、防御の対象は内部の脅威だけではないと考えることが可能になります。

3. 特権IDを人格のないツールとして位置付けることにより、セキュリティ管理を実装するための政治的環境への対処がはるかに容易になります。管理者に対して、彼らが使用するツールのセキュリティを確保する手段を実装していると説明する方が、彼ら自身を対象とする管理手段を実装していると説明するよりも、はるかに容易です。これは細かい区別かもしれませんが、多くの場合、メッセージは現実と見なされます。実際のところ、ユーザのアクティビティを報告するPIMツールは「誰が何をしたか」を証明できるため、違反が起きたときに管理者を守ることができます。

アカウンタビリティから、最低限の特権と職務の分離という原則を実施できることまで、管理アカウントの制御によるあらゆる利点を踏まえれば、人々に伝えるメッセージの作成には時間をかける価値があります。「特権ID」について語ることが、良い出だしとなるでしょう。

（Russell Miller）

筆者略歴：CA Technologies において、ネットワークセキュリティの分野で倫理的ハッキングから製品マーケティングまで様々な役割を務める。現在、CA ControlMinder および CA ControlMinder for Virtual Environments のマーケティング活動を統括