ID管理における “成熟度モデル” の例

この章では、ID管理における成熟度モデルについてを紹介します。 自社の中長期的な事業計画の実行において、IT部門として欠かせないのが情報セキュリティ対策です。

なぜ今 “ID管理” が求められている？

情報セキュリティ対策の中でも、ID管理は近年重要なファクターとなっています。 なぜ、ID管理が重要になってきているのでしょうか。

近年、業務で利用するITサービスに、クラウドサービスを利用するケースが急速に増加しています。 特に、働き方改革に牽引されて導入の広がるテレワーク（リモートワーク）などでは、もはやクラウドなしでは実現不可能とも言えるでしょう。

ID管理やアクセス権限管理は、個人情報保護法や、通称J-SOX法と呼ばれる内部統制の一環で、大企業を中心に重要性は認識されています。 特に2000年台後半には、この対応に合わせてID管理システムや統合認証基盤が多くの企業に導入されたことでしょう。

ただ、セキュリティの側面では、IDよりネットワークが砦として使われていました。 当時は業務システムは社内に構築されていることが大半であったため、この頃のID管理は、境界（社内/社外）によって保護された信頼できるネットワーク内を前提として設計・構築されていました。 業務システムが企業のネットワーク内のみで完結しているため、社内ネットワークに接続できる端末を限定し、端末や情報を外に出さないことでセキュリティを確保していれば、情報は守られました。

ところが、クラウドの時代においては、データはインターネットの上を流通し、どこのサーバーに保存されるかはっきりとわからない状況となってしまいました。 クラウドサービスを業務で利用するメリットとして、インターネットがつながればどこにいても業務ができるということが挙げられますが、言い換えれば信頼できないユーザーやデバイスからもアクセスできてしまうリスクがある、ということになります。 そこで今再び、各クラウドサービスを利用する “ユーザーアカウント(ID)” に注目が集まっています。 信頼できないユーザーやデバイスからのアクセスも行われうることを前提としたセキュリティの設計として、より厳密なID管理と、IDを用いた情報へのアクセス管理の実現が必要だからです。 “ID” がないと、各サービスにアクセスすることもできないですし、アカウントごとの権限管理を適切に行うことで、アカウントが漏れたときのリスク管理も行えるようになります。 つまり、この “ID” を守ることで、企業の重要な資産である “情報” を守ることができるのです。 このようなセキュリティの考え方を、ID-Based Security と呼んだりもしています。

クラウドサービスが業務に欠かせなくなり、社員のアカウントさえクラウドサービスで管理する時代になりつつあります。 内部統制の観点だけではなく、情報セキュリティの観点からも重要ということとなり、より一層ID管理の重要性が高まっているのです。

ところで、ID管理をはじめとする、企業の情報セキュリティ対策は、自身の置かれている現状が満たせている現状の把握と、対策内容を定期的に見直し、継続的に改善を行う（PDCAのサイクルを回す）ことが非常に重要です。 このうち、自身の置かれてる現状を把握し、理想的な水準に向けて行うべきことを示す足がかりとして用いることができるのが、成熟度モデルと呼ばれるものです。

成熟度モデルとは

成熟度モデルというのは、組織のプロセス管理を最適化するための指針を体系化したものです。 有名なものとして、アメリカの情報システムコントロール協会（ISACA）と、日本のITガバナンス協会（ITGI）が提唱しているCOBITなどがあります。 日本でも、J-SOX法施行時の “内部統制成熟度モデル” などで馴染みのある方も多いのではないでしょうか。

成熟度モデルは、下記のような状態を指す大きく0〜5の6段階のレベルに分けます。

• 0.存在しない
  • プロセスが存在していないか、問題があることに気づいていない状態
• 1.初期
  • 作業工程が非公式で、プロセスが標準化されていない
  • 場当たり的な手法を用いて実施される
• 2.反復可能
  • 作業担当者が、毎回同様の手順で実施している（プロセスは存在する）
  • 作業者個人の経験への依存度が高く、伝達の過程で誤りが生じやすい
• 3.定義済み
  • 手順が標準化・文章化されている
  • 作業はチェックされていないため、手順に従っているとは限らない
• 4.管理可能
  • 作業手順がモニタリングされていて、問題点を検出できる
  • プロセスが定期的に改良されている
  • 部分的に自動化や管理ツールが利用されている
• 5.最適化
  • プロセスはベストプラクティスの域に達している
  • 作業が自動化されていて、品質が高い
  • 管理者が一貫して実行している

特に、4や5の域に一度達したときに、時代の変化（クラウド対応など）に合わせて改善を続けていくことがポイントです。

セキュリティ管理基準は、一般的なものを参考にしつつ、組織体ごとのリスク評価結果に基づいて作成する事が多いです。 現在の自社に求められているセキュリティ対策の水準を確認しながら、自分たちがいまどの段階にいて、次の段階に進むためには何をしなければならないかを、把握しなければなりません。 先程上げた成熟度モデルを使うことで、理想像と現実のギャップや、次のステップに進むために求められる要件が見えてくるのではないでしょうか。

ID管理における成熟度モデルの例

最後に、ID管理における成熟度モデルの例を示してみます。 このモデルは、情報システム部門に多くのリソースを割けない（”一人情シス” のような）規模の会社をイメージして作成してみました。 これを参考にしながら、自社に求められているセキュリティ対策水準に照らし合わせながら、理想像を描いてみてはいかがでしょうか？

ID管理の成熟度モデル例

ID連携の成熟度モデル例