情報処理安全確保支援士 2015年 秋期 午後1 問02

　 　Y社は、従業員数1,000名の食品製造販売会社であり、一般消費者に食品を通信販売している。Y社では、顧客情報管理システム（以下、Yシステムという）を利用し、顧客情報を管理している。Yシステムの保守作業は、開発元であるソフトウェア開発会社のS社に委託している。保守作業のために、Y社はS社に対して、特権IDの一部（以下、委託用特権IDという）について使用を許可している。S社に使用を許可した委託用特権IDには、OSのシステム管理権限をもつID、DBMSの管理権限をもつID、及びDBMS上のデータに対する操作権限をもつID（以下、それぞれ、システム管理ID、DBMS管理ID、DBMS操作IDという）の3種類がある。 　Yシステムは、4台の業務サーバ、1台のデータベースサーバ（以下、DBサーバという）及びY社とS社のPCから構成されており、業務サーバではYシステムのサービスを提供するためのアプリケーションソフトウェア（以下、業務アプリという）が稼働している。各業務アプリは、DBMS操作IDを用いて、DBサーバから顧客情報を取得してY社の従業員にサービスを提供している。Yシステムのサーバは、Y社のグループ会社が運営するデータセンタ（以下、YDCという）に設置している。Yシステムの構成を図1に示す。

　S社に委託している保守作業は、機能追加などに際しての業務アプリの更新、Yシステムに障害が発生した場合の原因調査、Yシステムの設定変更などである。保守作業は、次の手順で依頼している。 　1．Y社の管理者が作業依頼書を作成し、S社へ送付する。 　2．S社では、作業依頼書を受け取ると、S社の保守チーム責任者（以下、保守責任者という）が、保守チームメンバから作業担当者（以下、作業者という）を選任する。 　3．保守責任者が、担当する作業ごとに、作業者氏名、作業期間、作業対象サーバ及び作業内容を記載した作業計画書を作成し、Y社に提出する。 　4．作業計画書が承認されて作業期間になると、Yシステム保守用LANからサーバLANへの接続が可能となるよう、YDCに常駐しているY社のグループ会社の作業員（以下、YDC作業員という）が、FW1と接続しているネットワークケーブル（以下、ケーブルAという）をFW3に結線し、S社に通知する。ケーブルAは、保守作業時以外は結線されていない。 　5．作業者は、共用のIDを用いてS社PCにログインした後に、委託用特権IDとパスワードを用いて、S社PCから作業対象サーバにアクセスし、作業する。システム管理IDは、作業対象サーバごとに異なっている。 　6．作業終了後、保守責任者が、作業の完了をY社の管理者に連絡し、作業報告書を提出する。 　7．作業完了の連絡を受けて、Y社の管理者は、ケーブルAをFW3から取り外すようYDC作業員に依頼し、作業報告書によって作業内容を確認する。 　 　システム管理IDとDBMS管理IDのパスワードはY社が半年ごとに変更し、S社に通知している。S社PCとFW1は、S社の資産である。Yシステム保守用LANからサーバLANへのアクセスは、FW3で保守作業に必要となるプロトコルだけに限定しているが、送信元IPアドレスは限定していない。 　 〔調査の実施と対策方針の策定〕 　Y社と同業のC社で、C社の保守作業委託先の従業員が個人情報を不正に持ち出して名簿業者に売却するという情報漏えい事件が起きた。持出しに特権IDが不正に使用されたが、それを検知できなかったというC社の委託先管理の不備が連日報道された。Y社の経営幹部は、C社の事件をきっかけに、自社においても同様の問題が起きる可能性がないか早急に調査をするよう、情報システム部長に指示した。表1に示す調査結果にあるように、Yシステムにおいても委託用特権IDを用いた保守作業に問題があることが判明し、情報システム部のL主任がリーダとなって対策を検討することになった。

〔要件と実現方式の検討〕 　L主任は部下のN君に次の要件を示した上で、対策を実現する方式の検討を指示した。

　要件1：委託用特権IDの使用を作業者だけに限定すること 　要件2：委託用特権IDを使用した者を特定可能にすること 　要件3：作業対象サーバだけにアクセス可能とすること 　要件4：許可された作業内容と実際に実施された作業内容を突き合わせ、不正な作業を検知可能にすること

　N君は、要件を満たすためには、委託用特権IDのパスワードのS社への通知の停止、個人ごとに付与され特権をもたないID（以下、個人IDという）の作業者への付与、及び特権IDを管理するソフトウェアパッケージの導入から成る対策案を考えた。 　そこで、ソフトウェアパッケージとして製品P及び製品Qを候補に選び、次の案を検討した。

　案1：製品Pを利用する。製品Pは、管理用サーバにインストールするプログラム（以下、プログラムHという）と、PCにインストールするプログラム（以下、プログラムJという）で構成される。管理用サーバはサーバLAN上に設置する。作業者は、プログラムJに個人IDでログインし、プログラムJから作業対象サーバにアクセスし、操作する。作業対象サーバへアクセスする際に使用する委託用特権IDとパスワードは、プログラムHからプログラムJに転送され、ログインに際して自動入力される。 　案2：製品Qを利用する。製品Qは、管理用サーバにインストールするプログラム（以下、プログラムKという）だけで構成される。管理用サーバはサーバLAN上に設置する。作業者は、S社PCから個人IDでプログラムKにログインした後に、プログラムKから作業対象サーバへ自動ログインによってアクセスし、操作する。 　 　検討の結果、N君は、案2の方が製品の導入が容易であると判断し、案2による実現方式案をまとめて、L主任に報告した。実現方式案の概要を表2に示す。

〔実現方式案の要件の確認〕 　L主任は N君の対策案に対して、要件1と要件3について補足説明を求め、要件2と要件4について問題を指摘した。 　要件1について、N君は、作業者以外は委託用特権IDを使用できないことを説明し、L主任の了解を得た。 　要件2について、L主任は、次のように指摘した。

　指摘1：製品 Q の導入だけではこの要件を満たすのに不十分である。 　指摘2：①使用される委託用特権IDによっては、DB サーバへアクセスした者を DB サーバ上のアクセスログから特定することができない。 　 　指摘1に対して N君は、追加対策を検討すると回答した。また、指摘2に対しては、DB サーバ上のアクセスログを利用せずとも、DB サーバへアクセスした者を特定できることとその理由を回答した。 　要件3について、N君は、bからはcへのアクセスだけを許可するように FW3 の設定を変更することによって、アクセス先を作業対象サーバに限定できると説明し、L主任の了解を得た。 　要件4について、L主任は、作業者が作業対象サーバ上のアクセスログを書き換えると、作業計画の作業内容以外の操作、つまり不正操作が検知できなくなるのではないかと指摘した。これに対して N君は、②不正操作を検知できることとその理由を回答した。 　 〔追加対策の検討〕 　N君は、要件2についての指摘1を踏まえて、次の追加対策を L主任に提案した。 　・③S 社におけるプログラム K の個人IDの管理状況を Y社が確認する。 　・④委託用特権IDを使った者が特定されることをプログラム K のログイン画面に表示し、作業者に周知させる。 　 　最後に L主任は、案2を採用すべき理由を再確認した。N君は、要件を満たすためには製品を適切に運用するための資産管理が必要だが、Y社の状況においては⑤案1に比べて案2の方が必要な資産管理を実施しやすいと説明した。L主任は、案2による実現方式案と追加対策を承認した。 　 〔対策の実施〕 　案2による実現方式案と追加対策は、経営幹部に報告され、実施された。対策に よって、保守作業時のケーブルAの結線と取外しが不要となった。