EncourageTechnologies presentation

大手金融機関における証跡管理
～IT統制と業務効率を両立した事例紹介～
Reference Document
目次
Reference Document
Copyright © Encourage Technologies Co., Ltd.
2
会社紹介
エンカレッジ・テクノロジ株式会社

代表取締役社長兼CEO : 石井進也
所在地：東京都中央区日本橋小網町3-11 日本橋SOYICビル 5階
設立年月日： 2002年（平成14年）11月1日
資本金： 1億100万円

事業内容：

コンピュータシステムソフトウェアの開発、保守ならびに販売
コンピュータ運用管理に関するコンサルティング
主な株主
石井進也／NTTデータ東京SMS株式会社／NTTファイナンス株式会社／
株式会社オービックビジネスコンサルタント／キヤノン電子株式会社／
CSKベンチャーキャピタル株式会社／株式会社ジャフコ／株式会社ソルクシーズ／
日本システムウエア株式会社／日本ユニシス株式会社／株式会社ブロード

導入実績
主に金融業・製造業・通信業の大手のお客様
Reference Document
約 240社
Copyright © Encourage Technologies Co., Ltd.
3
Reference Document
Copyright © Encourage Technologies Co., Ltd.
4
考えてみていただけますか？
例えば以下のような情報漏洩事件が発生したとき、貴社のセキュリティ
施策ではどんな対応が可能なのでしょうか？
Reference Document
Copyright © Encourage Technologies Co., Ltd.
5
テキストログの限界
従来の操作記録は基本的にほぼ全て“テキストログ”でした。OSが生成するログだ
けでなく、専用の操作記録製品もテキストのログだけのものがほとんどでした。
テキストログは軽量で検索が容易です。しかしX氏の行為を証明できるでしょうか？
得られたテキストログの例
からでは....
実際の操作を把握するには
「想像力」が必要。
かならず曖昧な部分が残っ
てしまう。いくら調べても
状況証拠止まり。
X氏が徹底的に行為を否定す
れば、原因特定までの時間
を浪費。結局は原因が特定
できない可能性も。
Reference Document
Copyright © Encourage Technologies Co., Ltd.
6
動画ログの効果
動画でログを取得することで「その操作者が何をしたのか」という記録を完全に取得・
再現することができます。
動画ログだと....
④ブラウザからWeb
メールサイトへア
クセス
･
･
･
･
⑤新規メールを選び
“顧客情報.xls”を
添付
･
･
･
･
「想像力」は不要。「事実」
に基づいた判断・対応が可能。
「誰が？何を？」という疑問
を即時に解決。時間を浪費し
た挙句に原因がわからないと
いう最悪の事態を予防。
「全て見られている」意識が
抑止効果を生む。
･
･
･
･
を利用する
ことで....
⑥取引先へ送付
･
･
･
･
Reference
Copyright ©
Document
Encourage Technologies Co., Ltd.
7
Hybridログが必要
現実的には「証拠性・再現性を高める“動画”」と「容易な検索と豊富な情報を
持つ“テキスト”」の両方が必要です。
動画ログ
テキストログ
この両方の特性を併せ持つことによって「確認すべき箇所をテキストで検索し、
当該個所だけ動画で確認する」という点検・監査の効率化と詳細化の両立が初めて
当該個所だけ動画で確認する」
可能になります。
Reference Document
Copyright © Encourage Technologies Co., Ltd.
8
その操作ログは“誰”の操作のものですか？
生体認証やいわゆる二要素認証が浸透してきていますが....
administrator
root
system
Taro.T
認証
operator1
時間の経過
時間の経過
Ichiro.Y
“認証”には連続性がありません。システム的な認証後、
「操作者は誰？」を確認し続けることがシステム管理操作上
必要です。
Reference Document
Copyright © Encourage Technologies Co., Ltd.
9
Reference Document
Copyright © Encourage Technologies Co., Ltd.
10
ESS REC と
Remote Access Auditor（RAA）
～“人の操作”を記録し、詳細かつ容易な点検・監査を実現
Reference Document
Copyright © Encourage Technologies Co., Ltd.
11
ESS RECとは
Reference Document
Copyright © Encourage Technologies Co., Ltd.
12
記録データの再生（REC Player）
動画表示
実行プログ
ラム一覧
画面表示
文字
通信先
使用ポート
一覧
キースト
ローク
PC に接続
されている
USB 機器
アクティブ
ウィンドウ
タイトル
使用ドライブ
ファイル
アクセス
リアル
タイム
再生・停止
ボタン
接続
表示場面時刻
記録開始時刻
記録終了時刻
Reference Document
Copyright © Encourage Technologies Co., Ltd.
13
REC Playerデモ（Windows操作）
Reference Document
Copyright © Encourage Technologies Co., Ltd.
14
REC Playerイメージ（Linux GUI）
Reference Document
Copyright © Encourage Technologies Co., Ltd.
15
マルチプラットフォーム対応
Terminal Service
REC Agent
REC Agent
REC Agent
記録データの送信
REC
Server
記録データの
収集と蓄積
構成管理
記録データの検索再生
REC
Administrator
Reference Document
監査レポート
記録データ
Copyright © Encourage Technologies Co., Ltd.
REC
Auditor
16
監視項目とアクション
ESS RECは操作を監視し、事前に設定したルールに該当した場合リアルタイムでアクション
を起こすことが可能です。
また、検知されたイベントは事後に監査レポートで出力されます。
※条件はAnd/Orで組み合わせ可能
Reference Document
Copyright © Encourage Technologies Co., Ltd.
17
監査レポートイメージ（REC Auditor）
9ログオン・ログオフ情報の表示
9REC Auditor による検索ルールに一致した操作
9検知ルールにマッチした情報
Reference Document
Copyright © Encourage Technologies Co., Ltd.
ログレコードのクリックで
当該場面をダイレクト再生
18
Remote Access Auditor（RAA）とは
ESS RECの操作記録能力をリモートアクセスでも実現します。
記録を残し難かった“ベンダーによるリモートメンテナンス操作”も詳細な監査
が可能になります。
ゲートウェイ
サーバ
インターネット
WAN
リモートデスクトップ接続
LAN
etc
e
e ln
t
UNIX
UNIX
サーバ
サーバ
t
ftp
エミュレータ
ブラ
ウザ
専
用
ア
プ
リ
ケ
ー
シ
ョ
ン
他
Linux
Linux
サーバ
サーバ
Windows
Windows
サーバ
サーバ
DB
DB
サーバ
サーバ
レガシー
レガシー
サーバ
サーバ
ネットワーク
ネットワーク
機器
機器
他
他
データセンタ／マシンルーム
Reference Document
Copyright © Encourage Technologies Co., Ltd.
19
RAAの特徴と導入効果
特徴
ESS RECの4つのコンポーネントを一体化したものです。検知機能や対応アクションの
一体化
機能は持ちませんが、記録内容や検索再生／レポート機能についてはESS RECと同じ仕
様です。
サーバライセンスですので、RAA（ゲートウェイサーバ）にリモートデスクトップ接続
後、RAAを中継して何台のサーバや機器にアクセスしてもRAAのライセンスには関係
ありません。
同様に、RAAを中継後のアクセス先はOSの種類や機器を選びません。RAA上での操作
の種類や機器を選びません
を完全に記録します。
導入効果
既存の運用端末からリモートデスクトップ接続し、RAA経由で操作を実施することで、
既存のリソースには何もソフトウェアを追加することなく克明な操作記録を取得するこ
既存のリソースには何もソフトウェアを追加することなく
とが可能になります。
RAAを設置すると同時に、RAA経由にアクセスルートを限定するネットワーク的な制
御を施すことによってセキュリティも強化できます。
例えばデータセンターと運用者拠点が遠隔地に配置され、かつそれぞれが複数存在する
ような“ｍ×ｎ”の状態でも、各データセンターにRAAを設置することで接続元拠点に
関わりなく全てのアクセスを記録出来ます。
Reference Document
Copyright © Encourage Technologies Co., Ltd.
20
ID Inspector（IDI）
～常時の“本人確認”で証跡の証拠性を担保
Reference Document
Copyright © Encourage Technologies Co., Ltd.
21
常に“本人”を確認し続けます
例えば田中さんがadministratorユーザでログオン後、ログオフせずに操作者が山田さんに交替しても、
「データをexportしたのは田中さん」であり「ファイルをUSBメモリに書込んだのは山田さん」であることが
“本人確認”機能によって記録可能となります。
田中太郎さんが
“administrator”でログオン
（認証＆IDI確認）
操作内容
telnet実行
DBサーバ
に接続
データの
export
山田次郎さんに交替
（IDI確認）
ファイル
をftpでget
ファイルを
CD-R書込
ファイルを
USBメモ
リに書込
作業報告
書を入力
ログオンアカウント
IDI操作者確認
Reference Document
操作者は田中太郎
さんだと確認中
操作者は田中太郎さんだと確認中
操作者は山田
操作者は山田次郎さんだと確認中
次郎さんだと確認中
Copyright © Encourage Technologies Co., Ltd.
22
確認手段と確認モード
確認手段
・Felica：
Felica
・Felica：
個人に付与されたFelicaと端末のカードリーダを利用して本人確認を行います。
個人に付与されたFelicaと端末のカードリーダを利用して本人確認を行います。
・ID/PW：
ID/PW
・ID/PW：
Felicaが使用不可の場合や、リモート接続時の本人確認の場合にIDI専用のID/PWで本人確認を行います。
Felicaが使用不可の場合や、リモート接続時の本人確認の場合にIDI専用のID/PWで本人確認を行います。
確認モード
・Always：
Always
・Always：
ログオン後、常に本人確認要求が生じます。Felicaであれば常にカードをリーダにセットしている必要が
ログオン後、常に本人確認要求が生じます。Felicaであれば常にカードをリーダにセットしている必要が
あり、ID/PWであれば一定時間無操作の場合に確認を要求されます。
あり、ID/PWであれば一定時間無操作の場合に確認を要求されます。
・Condition：
Condition
・Condition：
“ネットワーク接続”や“ウィンドウタイトル”など、ルールに該当した場合に確認を要求されます。
“ネットワーク接続”や“ウィンドウタイトル”など、ルールに該当した場合に確認を要求されます。
Reference Document
Copyright © Encourage Technologies Co., Ltd.
23
IDIによる本人確認要求の例
“販売・在庫管理システム”をPC上で利用中、“商品登録”機能を利用しよ
うとするとConditionモードで本人確認要求をIDIが行う場面です。
Reference Document
Copyright © Encourage Technologies Co., Ltd.
24
REC＋IDIレポートサンプル
IDI
Reference Document
REC
Copyright © Encourage Technologies Co., Ltd.
25
導入事例
Reference Document
Copyright © Encourage Technologies Co., Ltd.
26
第一生命情報システム株式会社（DLS）様
Reference Document
Copyright © Encourage Technologies Co., Ltd.
27
DLS様ご導入事例①
背景
第一生命グループを始め、一般のユーザへもソリューションをご提供。金
融系情報システム会社であることから、“情報セキュリティ対策”“リス
ク管理”“個人情報保護”に関する取り組みには特に注力。
社内にバーチカルな内部統制委員会を設けている他、その仕組みをチェッ
クする監査体制も整備。また、プライバシーマーク及びISMSも取得し、全
社のあらゆるレベルで統制に対する意識を強く持つ。
Reference Document
内部統制委員会
内部監査
監査役監査
外部監査
Privacy
Privacy Mark
Mark
ISMS
ISMS
9すでに高いレベルの統
制対策を実施していた。
9最後のピースをはめる
ためにエンカレッジ社
をご選択いただいた。
Copyright © Encourage Technologies Co., Ltd.
28
DLS様ご導入事例②
システムの概要
マルチOSでサーバー数
約350台
運用端末室
電算室
Windows
Windows
UNIX
UNIX
基幹業務系
インターネット系
サーバー１５０台サーバー４０台
Windows
ホスト
Windows
ファイルサーバー
４０台
Windows
グループウェア
サーバー８０台
UNIX
UNIX
運用系サーバー
４０台
その他業務用
サーバー
顧客情報も多数保管
Reference Document
Copyright © Encourage Technologies Co., Ltd.
約2万台の
社内端末
29
DLS様ご導入事例③
セキュリティの概要
電算室
運用端末室
Windows
Windows
UNIX
UNIX
基幹業務系
インターネット系
サーバー１５０台サーバー４０台
Windows
ホスト
ファイルサーバー
４０台
Windows
Windows
グループウェア
サーバー８０台
UNIX
UNIX
運用系サーバー
４０台
Reference Document
その他業務用
サーバー
Copyright © Encourage Technologies Co., Ltd.
30
DLS様ご導入事例④
残ったのが“特権ID”
運用端末では特権ＩＤを使用するため、様々な資源にアクセスでき、
業務上不要なファイルの参照が可能な状態。
運用端末での操作履歴を取得できていないため、万が一問題が発生
した時の調査に時間がかかる。
Reference Document
Copyright © Encourage Technologies Co., Ltd.
31
DLS様ご導入事例⑤
要件および選定理由
「運用に影響を与えずに完全な操作記録を行うことで、不正操作を抑止す
る」ことができること。
る」
“操作画面”と“キー入力”が取得出来ること。
記録データのサイズが想定内であること。
ツールがスパイウェアなどと誤認されないこと。
ローカルファイルの操作や編集内容の履歴が取得できること。
ログ収集サーバーとの接続が断たれてもローカルにログデータを保存し続
けること。
クライアント側のエージェントプロセスをユーザーが強制的に停止させら
れないこと。
マルチOSの環境に対応できること。
比較した他製品に比べ、費用対効果が優れていたこと。
導入が非常に容易であったこと。
クライアントに負荷がかからないこと。
Reference Document
Copyright © Encourage Technologies Co., Ltd.
32
DLS様ご導入事例⑥
導入効果
ESS RECの導入告知によってインシデント発生抑止効果が得られた。
リアルタイムアラートや監査レポートで、不正操作や誤操作を検知でき
るようになった。
有事において、そのチェック作業の際に動画を確認することで、作業内
容の問題なのか、システム側の問題なのかなどの切り分けが、正確かつ
容易に実施できるようになった。
今後の展望
記録データを利用して作業の分析を行い、生産性向上などの付加価値を
持たせたい。
システム変更作業時などに証跡を残すための負荷の軽減。
問題がありそうな作業を見つけ出し、予防的な点検が行えるようにした
い。
作業内容の予定と実際の突合を行いたい。
Reference Document
Copyright © Encourage Technologies Co., Ltd.
33
＋
カブドットコム証券株式会社様
Reference Document
Copyright © Encourage Technologies Co., Ltd.
34
カブドットコム証券株式会社様ご導入事例①
＋
背景
ネット証券という特性上、セキュリティ対策には特に注力。
ISO9001:2008
品質マネジメントシステム（国内オンライン証券初）
ISO/IEC 27001:2005
情報セキュリティ管理（国内証券初）
ISO/IEC 20000-1:2005
BS25999-2:2007
ITサービスマネジメントシステム（国内金融初）
事業継続マネジメントシステム（国内金融機関初）
少数精鋭でシステム開発・運用。
システム開発（内製化）
毎月新サービスリリース、毎週なにかしらの改良でシステム改修、社内システムと取引
システムの両方を開発。
外部開発ベンダーのコントロールも。
システム運用
サーバ群450台を24×7で管理。サーバインフラ設計、N/W設計、iDCファシリティ設
計（電力・空調）やリスタートなどの日常運用の対応。
顧客からの問い合わせ対応も。
Reference Document
Copyright © Encourage Technologies Co., Ltd.
35
カブドットコム証券株式会社様ご導入事例②
商品が均一化して、
差別化が困難。何も
しなければ“体力勝
負”に。
＋
対面販売で営業担当
者が行うような“顧
客の囲い込み”が難
しい。
対応方針
“コールセンター”＋“支援システム”がネット証券においては営業担当者
（＝差別化要因）となる。
上記を支援する One To One CRMシステムを内製化し、独自性を持たせ
ることで差別化を図る。
これは弊社の想像ですが....
! One To One の実現によって顧客情報の利用拡大が進むことに伴い、情報
漏洩リスクも拡大する。
! 内製化による独自化は、顧客情報だけでなくCRMノウハウなども機密情報
化する。
Copyright ©
Encourage Technologies Co., Ltd.
Reference
Document
36
カブドットコム証券株式会社様ご導入事例③
職務分掌（例えば開
発と運用）の実現要
請。少人数内製化と
の矛盾。
＋
増員などコストはか
けられない。
対応方針
システム操作におけるトレーサビリティの実現（：職務分掌のために増員は
できない）。
業務効率を低下させない対策の実施（：少人数内製化の意義を失ってはいけ
ない）。
これも弊社の想像ですが....
! 企業規模拡大の途上にあることから、細かいルールや精緻なリスクマネジメ
ントプランを構築しても、組織規模や仕組みが変わってしまう可能性が大き
い。
! 変化に柔軟に対応できる統制の仕組みが必要だった。
Copyright ©
Encourage Technologies Co., Ltd.
Reference
Document
37
カブドットコム証券株式会社様ご導入事例④
Reference Document
Copyright © Encourage Technologies Co., Ltd.
＋
38
カブドットコム証券株式会社様ご導入事例⑤
＋
REC + IDI の導入イメージ
リモートデスク
トップ接続
管理ツールによ
る接続
決済端末
ターミナルサービス
サーバー
操作対象サーバー群
Reference Document
供給者
Copyright © Encourage Technologies Co., Ltd.
39
カブドットコム証券株式会社様ご導入事例⑥
＋
導入効果
“承認制＋監視カメラ＋REC＋IDI”で確実なトレーサビリティを確保
できた。
確実に自分が“本人確認”されるようになったことから、離席時のスク
リーンロックの徹底やクリアデスク（トップ）が自然に実現。
既存のアカウント（特権／共有／個人）管理体制はほとんど変更不要で
実現できた。
既存のOSやアプリケーションも全て修正不要。
z信念
「楽＝悪」ではない。
細かすぎる規制は逆に抜け道を生む。
最低限やるべきことを、まずやる。
経営の理解を得られるように進める。
複合的な施策が必要。柔軟に考える。
Reference Document
Copyright © Encourage Technologies Co., Ltd.
40
株式会社新生銀行様
Reference Document
Copyright © Encourage Technologies Co., Ltd.
41
新生銀行様ご導入事例①
背景
個人／法人を問わず、インターネットを最大限活用しつつマルチチャネルでのサービ
スを展開。そのためITへの依存度が非常に高い。
しかし観点は「システムを止めない」のではなく「事業を止めない」ことを主眼とす
る。根底には「システムは壊れるもの、人は間違えるもの」という前提。
システムインフラの冗長化のため、データセンターは東京／大阪／福岡に分散させ、
運用担当は東京とシンガポールに分散させている。
また、運用作業時も「特別な部屋」でのダブルチェックによる管理操作などセキュリ
ティ面での冗長化も取り組んでいた。
Reference Document
Copyright © Encourage Technologies Co., Ltd.
42
新生銀行様ご導入事例②
構成イメージ
東京
東京
Remote KVM
(Digital)
Current KVM
(Analog)
Remote KVM
(Digital)
Current KVM
(Analog)
大阪
Singapore
2007年
後半設置
福岡
Remote KVM
(Digital)
Reference Document
Copyright © Encourage Technologies Co., Ltd.
43
新生銀行様ご導入事例③
課題
データセンター3拠点に対して、海外を含む4拠点から相互に、かつセキュアにリ
モートアクセスを行いたい。
要件と選定理由
トレーサビリティを高めるため、リモートメンテナンス時の操作記録を克明に記録し、
インシデント発生時に遡って操作内容が検証できること。
システム管理作業の内容が申請書に記載された通りに行われたかをチェックできるこ
と。
サイトが地理的に分散していても、それを意識することなくシームレスな運用が可能
なこと。
導入効果
9 導入告知による抑止効果。RAAを導入したことにより、結果的に調査を必要とする
ようなインシデントが発生しなくなってしまった。
9 障害発生時の正確な原因調査が可能となった。
9 「特別な部屋」でのダブルチェックが必要で無くなった。
Reference Document
Copyright © Encourage Technologies Co., Ltd.
44
記載されている会社名、製品名、サービス名は、一般に各社の商標または登録商標です。
Reference Document
Copyright © Encourage Technologies Co., Ltd.
45

Download Report