ファイルサーバ管理のススメ

昨年の内部情報漏えい事件の発生や「マイナンバー法」の施行を2016年1月に控えて、ファイルサーバの情報セキュリティ対策の重要性が増してきています。

ファイルサーバのアクセス管理の方法の一つとして、アクティブ・ディレクトリ（以下AD）との連携が考えられます。実際、多くの組織ではADとの連携で、以下の様なアクセス権付与を行っているものと思います。

• 部門別のアクセス権
  部門メンバーだけにアクセスできる部門毎の領域をファイルサーバに設ける。
• 職位によるアクセス権
  職位によってアクセス制御を行う。例えば、管理職だけがアクセスできる領域を設ける。
• プロジェクト単位のアクセス権
  組織にまたがるプロジェクトを立上げ、プロジェクトメンバーだけがアクセスできる領域を設ける。

これらのアクセス権の設定はよくあるパターンだと思います。ADを使えば、これらの設定は組合せを含めて比較的容易に設定することが可能です。

組織変更・異動に伴うアクセス権の維持・管理

最初は部門単位でアクセス権を付与していたとしても、組織の変更・人事異動等が繰り返されるとこれをADで維持・管理するのは困難になります。

例えば、人事異動時、機械的に一定期間で元部署へのアクセス権限を切ることができればよいのですが、引継ぎの関係で前部署のサーバが見られないと困るだとか（私も経験があります）、兼務で複数部署に所属だとか、そもそも部署が解体して複数の部門に分割したり消滅することもあります。
情報システム部門も、個別対応やイレギュラーな対応が重なると対応の漏れや遅れが頻発することになります。

利用者側としては、「見られない」場合には必ず申告します（まず、文句が来ます）が、「まだ見える」場合には申告しないのが一般的だと思います。

中には、ADでアクセス制御を行っていたが、維持できず全社員同一のアクセス権を付与していた例も見たことがあります。
これでは、内部漏えい事件に対する抑止にはなり得ませんし、不正競争防止法における営業秘密の保護（※1）を受けることも難しいと思われます。

全社員同一のアクセス権を付与していた場合、秘密として管理されていることを満たすことは困難だと思われます。

ログの取得とチェック

「重要な」ファイルへのアクセス状況は記録し、定期的にチェックすることが求められます。
特に、2016年1月に施行される「個人番号法（マイナンバー法）」では「個人番号」を含む「特定個人情報ファイル」へのアクセスを制限し、アクセスの記録を取ることが求められています。「特定個人情報ファイル」は、いわゆる人事・給与系のシステムにだけ存在するとは限りません。

まず考えられるのは、「本人確認の証跡」を保管する場合です。
多くの組織では「マイナンバーカード」もしくは「通知カード」＋αで本人確認を行うことになると考えられます。この際、本人確認を行った証跡を紙媒体もしくは電子化したデータとして保管することが想定されます。

実際には、PDF等で電子化してファイルサーバに保管することを検討している企業も多いのではないでしょうか。
この場合、「本人確認の証跡」を保管するサーバは「特定個人情報ファイル」を保管するサーバとなります。

従って、アクセス者を限定し、アクセス記録を残す、また、定期的にチェックする必要があるということになります。
ところが、サーバが出力する記録（生ログ）は非常に理解し難く、読み解くにはインシデント対応の専門家クラスの知識と経験が要求されます。

また、設定によってはログの量が膨大になり、そもそもログが一定期間で上書きされ、残っていない場合もあります。これでは一般的な情報システム部員では、何があったのか、無かったのかを判断することすら困難です。

アクセス権の維持・管理が不徹底で、アクセスログの取得・確認が困難だとするとファイルサーバに対するセキュリティ対策は不備なものとならざるを得ません。
重要な情報を保管するファイルサーバとしては重大な問題となります。

情報セキュリティ対策とアクセス権管理（その2）へ続く