内部統制に立ち向かう企業に、
鉄壁のアイデンティティ管理基盤と効率を！

コンプライアンスに効くアイデンティティ管理ソリューション
HP IceWall SSO

※IceWall SSO は株式会社SCCとの共同開発製品です。

（Last Update : 2006.9.8）

≫ 1.IT への対応の鍵を握る「アイデンティティ管理」

	アイデンティティ管理の構成要素と構築ステップ

	信頼できる「アイデンティティ管理」の仕組みはどのように取り入れればよいのでしょうか？

「アイデンティティ管理」のスタック構造

	アイデンティティ管理は IT ソリューションベンダーによって、さまざまな構造をとっていますが、 HP ではスタックとして捉えています。（図2参照）

	＜図2：アイデンティティ管理の構成要素と望ましい構築ステップ＞

「アイデンティティ管理」は、 AM(アクセス管理) から地盤を固めよう

	アイデンティティ管理は、ディレクトリサービスやアクセスコントロール、パスワード管理をするアクセス管理、アイデンティティ管理を自動化するプロビジョニングや認証連携までをカバーする IDM(ID管理), 企業間での認証連携する GSSOの3つのスタックに分けられます。すべてのスタックを実現すれば、より内部統制を補強するアイデンティティ管理を実現することができます。ここで注意しなければならないのが、アイデンティティ管理は無計画に進めるとカオス化してしまうということです。 ID や認証 DB 数を削減するアクセス管理 ⇒ ID や認証 DB を同期する ID管理 ⇒ 企業間で ID 連携をする GSSO の順に構築していくのが効率的です。

アクセス管理はアクセスコントロールの4A を提供し、かつ統合します。

< アクセスコントロールの4A >

例えば
「個々のサーバが独自のユーザ管理や認証構造を持っている」状態はアクセスコントロールの4A がシステム毎にサイロ化している状態であり、管理はアプリ任せに行われている状態アクセスの実態が把握は困難を極めます。

つまり、アクセスコントロールの4A が適切に行われていなければ、法令が求める内部統制の実現ができないことになります。よって、「アクセスコントロールの4A を統合管理して、セキュリティ上のリスクを削減する」ことが必要になります。

したがって、 2007 年 4 月までにという時間が限られた状況でも、まず整備したいのはアクセスコントロールの4A と言えるでしょう。

アクセスコントロールで求められる要件を考える際に、先を行く米国 SOX 法の運用報告書等は大変参考となります。そこで出た課題と、日本版 SOX 法における対応を踏まえると、アクセスコントロールとしては、次の3要件を満たしていることがポイントとなるのではないでしょうか。

アクセスコントロール4A 統合の3要件

米国版 SOX の課題	日本版 SOX 法での対応	アクセスコントロールに求められる3要件
・IT 活用の問題 IT 部門の関与が低く、業務統制の正当性の担保となるアクセスコントロールの不備などが指摘され、混乱が生じた。	・構成要素に「 IT への対応」を明記。 IT 部門の早期関与を促す。・同じく目的に、「資産の保全」を明記。	・要件１「セキュリティ上のリスク削減が可能か？」（「 IT への対応」の「全般統制」として）
・コストの問題※ 3 過度で重複が多いことによるコスト増加（開発・運用・保守・セキュリティ・監査）	・ IT への対応とトップダウンアプローチの明記。対応コスト、作業負荷に配慮。	・要件2 （標準化・統合管理により）「 SOX 法対応コストを低減できるか？」・要件3 「業務効率の維持が可能か？」