「SecureCube/Access Check」
～重要情報を守れ！
内部不正時代の特権IDアクセス管理～
特権IDアクセス管理ソリューション「SecureCube/Access Check」
～重要情報を守れ！内部不正時代の特権IDアクセス管理～
1. 会社紹介
2. 求められるアクセス管理
3. 特権ID管理とは
4. SecureCube/Access Checkとは
1. 会社紹介
2.求められるアクセス管理
3. 特権ID管理とは
4. SecureCube/Access Checkとは
1. 会社紹介
会社概要 NRIセキュアテクノロジーズ株式会社
野村総合研究所グループにおける
情報セキュリティ専門の中核企業
として、最高峰の情報セキュリティ
サービスを提供します。
設立：2000年8月1日（サービス提供は1995年開始）
拠点：
東京 （本社）
横浜 （テクニカルセンター）
Irvine, CA （北米支店）
グループ会社：
株式会社ユービーセキュア
社員数（連結）：309名
資格取得者数：
高度情報処理技術者 ： のべ373名
GIAC(Global Information Assurance Certification) ： のべ97名
CISA(Certified Information System Auditor) ： 56名
CISM(Certified Information Security Manager) ： 34名
CISSP(Certified Information Systems Security Professionals) ： 32名
ISO/IEC 27001認証取得
サービス提供実績
官公庁、金融、流通、製造、製薬、 通信、マスコミ 等500社以上に運用サービスを提供
一次的なスポットサービスを含めると2000社以上にサービス提供
（2014年8月1日現在） 本社（東京サンケイビル）事業概要 NRIセキュアテクノロジーズ株式会社
技術とマネジメントの両面から企業の情報セキュリティの最適化を考え、高度セキュリティ運用・監視をはじめ、コンサルティン
グ、ソリューション導入などのサービスを
ワンストップ
で提供しています。
技術と経験に裏打ちされた調査・助言、
専門家による情報システムの安全性評価と改善提案!
システムマネジメント系コンサルテーション 情報セキュリティ監査、セキュリティリスク評価 認証取得支援 （PCIDSS, ISMS, ISO27001 など） 統合ID／ログ管理導入支援 ほか テクニカル系コンサルテーション セキュリティ診断 Webサイト探索棚卸 GR360 サイバーアタックシミュレーション セキュリティ研修 ほか
セキュリティ管理ソリューション販売、
サービスからパッケージまでニーズに幅広く対応!
ID系ソリューション販売 SecureCube / Access Check（特権ID管理）
Uni-ID、InterCollage（ID連携サービス基盤） コンテンツ・データ系ソリューション販売 クリプト便（ファイル送受信サービス） POSTUB（電子信書交付サービス） リセールソリューション販売 CACHATTO、エンドポイントセキュリティ管理サービス 他
製品の保守運用だけでなく、お客様の
システムの「安全」を最終目標とした
フルアウトソーシングサービス!
運用管理サービス セキュアインターネット接続サービス セキュアWebネット管理サービス インシデントレスポンスサービス WAF管理サービス PaloAlto PAシリーズ管理サービス Yaraiマルウェア解析サービス 標的型マルウェア検知サービス Web感染型マルウェア検査サービス Proofpointスパムメールフィルタリング Tripwire変更管理・改ざん検知サービス DLP管理サービス 端末認証サービス スマートフォン端末管理サービス ほか 国内外のさまざまな連携（一部）コンサルティング
事業
ソフトウェア
事業
運用監視サービス
事業
特権IDアクセス管理ソリューション「SecureCube/Access Check」
～重要情報を守れ！内部不正時代の特権IDアクセス管理～
1. 会社紹介
2.求められるアクセス管理
3. アクセス管理対策と課題
4. SecureCube/Access Checkとは
マイナンバー制度で求められる「技術的安全管理措置」
マイナンバーガイドラインによると、事業者は、特定個人情報等の適正な取り扱いのため、下記のような、
技術的安全管理措置を講じなければならない、とされています。
組織的安全管理措置
人的安全管理措置
物理的安全管理措置
技術的安全管理措置
基本方針の策定
取扱い規定等の策定
ａ.アクセス制御
情報システムを使用して個人番号関係事務又は個人番号利用
事務を行う場合、事務取扱担当者及び当該事務で取り扱う特
定個人情報ファイルの範囲を限定するために、適切なアクセ
ス制御を行う。
ｂ.アクセス者の識別と認証
特定個人情報等を取り扱う情報システムは、事務取扱担当者
が正当なアクセス権を有する者であることを、識別した結果
に基づき認証する。
ｃ.外部からの不正アクセス等の防止
情報システムを外部からの不正アクセス又は不正ソフトウェ
アから保護する仕組みを導入し、適切に運用する。
ｄ情報漏えい等の防止
特定個人情報等をインターネット等により外部に送信する場
合、通信経路における情報漏えい等を防止するための措置を
講ずる。
2. 求められるアクセス管理
システム運用者、管理者の観点では・・・
システム運用者や管理者の観点では、それぞれの技術的管理措置に対して、下記のようなことを気をつけ
る必要があります。
外部からの不正アクセス等の防止
情報漏洩等の防止
アクセス制御
アクセス者の識別と認証
特定個人情報を取り扱う担当者以外システムにアクセスすることができないよう適切に
制御されているか？
きちんと個人認証をかけ、「だれ」が特定個人情報にアクセスを行ったかをログ等でお
えるか？
特に、
特権ID等の共有ID
を利用した場合でも識別することが可能か？
標的型攻撃等による
マルウェア感染
、
外部からの侵入
のほか、
内部不正
によるアクセス
を防止することができるか？
情報の
抜き出しや持ち出しを予防
できる仕組みとなっているか？
昨今の情報漏洩事故はなぜ起きたか？
顧客DB
情報子会社 事務所
作業用 貸与PC 持 ち 物 検 査顧客データを取り扱う部屋
○
デバイス制御ソフトを導入済
×
記憶媒体は遮断・無効化していたが
脆弱性を有していた。
×
スマフォを充電しようとしたところ、
たまたま転送できることが判明。
この脆弱性を悪用した。
×
私物持ち込みを制限し
持ち物検査を実施 (?)
※小型記憶媒体は検知が困難 ※大量のデータ容量を小さくするため圧縮ファイ ルで小分けにして記録媒体（スマホ）にコピー していた。○ DBへのアクセスログ取得
×
当該IDで顧客情報を
ダウンロードした履歴の
モニタリング/分析はせず。
○ 関係者以外入室禁止
×
(恐らく) 単独作業可
○ 入館/退館のログ取得
×
システム開発者が本番データに
いつでもアクセス可能
顧客情報は記憶媒体（最新のスマホ）をコピーされて持ち出された
システム的な対応は高いレベルで実施していたにもかかわらず事故が起きた
犯行者は「顧客DBの開発担当」の派遣SE
個人 情報※報道よりまとめ。弊社憶測を含む
リモートアクセス2. 求められるアクセス管理
昨今の情報漏洩事故を踏まえて、対応すべき点
顧客DB
顧客データを取り扱う部屋
DB
監査製品
クライアント
[予防的統制]
・リムーバブルメディア/スマートフォンの接続制御
・USBポートの物理的封鎖
[発見的統制]
・PCの監査ログの出力設定
[予防的統制]
・申請/承認を基にした重要サーバへの認証、アクセス制限
[発見的統制]
・サーバアクセスログの定期的なモニタリング、検知
アクセスGW等
[予防的統制]
・顧客データを扱う領域の物理的、論理的な隔離。
・立ち会い統制、複数人作業。
[発見的統制]
・顧客データを取り扱う部屋の入退室モニタリング。
予防的統制
発見的統制
[予防的統制]
・ルールの策定（罰則規定含む）
・委託先との契約、誓約書
・教育、啓蒙
技術的な対応だけで100%の対応は不可能
予防的統制、発見的統制双方からのアプローチが必要
[発見的統制]
・DBへのアクセス状況のモニタリング。
※DBアクセス監査製品等
昨今の情報漏洩事故を踏まえての教訓
技術的な対応だけでは不十分。セキュアな物理環境の
ほか、申請/承認制、ログ管理、立会い統制、ルール
の徹底/教育等、運用面での対応も必要
重要サーバ/DBについては、高レベルでの特権ID管
理、アクセス管理が必要
「ログを取得している」だけでは不正アクセスは防げ
ない。モニタリングによる牽制、検知による発見的統
制、認証・アクセス制御による予防的統制双方が必要
特権IDアクセス管理ソリューション「SecureCube/Access Check」
～重要情報を守れ！内部不正時代の特権IDアクセス管理～
1. 会社紹介
2. 求められるアクセス管理
3. 特権ID管理とは
4. SecureCube/Access Checkとは
特権IDとは
特権IDとは、一般的にシステムの管理・運用を目的に利用される、高権限を持ったシステムIDを指します。
UNIX系では「root」、Window系では「Administrator」などがそれに当たります。
特権IDの制御は、アクセス管理対策で必ず問われる重点ポイントとなります。
唯一無二である
「特権」を有する
OSに対して一つしか作成できないため、利用する場合はIDを
共有せざるを得ない
作成・更新・削除・実行の権限など、システムに対して
絶対的な権限
を有します。
特権IDの特長
3.特権ID管理とは？
特権IDを制御するとは
絶対的な権限を有する「特権ID」が共有された場合、次の状況は極めてリスクが高く、対応が必要です。
利用者個人を特定できない
利用時の作業内容を把握できない
絶対的な権限を有する「特権」を複数の作業者で共有する
利用者個人を特定できない
利用時の作業内容を把握できない
！！高リスク！！
不正なアクセス・作業を防止、または、検知できない
事前に特権IDの利用者と利用時
間を管理者へ連絡（
申請
）する
特権IDを利用した作業の
記録
を
取得し、検証（
確認
）する
特権IDを制御するための3ステップ
特権IDの利用許可を得て、利用時の作業内容を記録し、その妥当性を検証する、この3ステップを一貫し
て実施することが重要です。
ログだけとっても意味がない。
3ステップが紐付きで管理されていることが重要！
２．作業内容の記録
１．利用の承認
1の承認記録と併せて、一連の作業内容を記録し、保存・管理
職務規定された承認者による、「特権ID」を利用する作業の（事前）承認
特権ID管理の3ステップ
３．妥当性の確認
確認者は、１の承認記録と2の作業記録を突合せて、作業の妥当性を判断
3.特権ID管理とは？
特権IDの管理状況
全体の4割強の企業で、特権IDを利用した操作ログが取得されていません。
操作ログを取得している企業のうち4割弱の企業で、操作ログの確認が行われていません。
Q48. 貴社において、重要情報を取り扱うシステムの特権IDに対し、どのような管理方法を導入していますか。
不
正
追
跡
特権IDの管理状況
不
正
検
知
56.9
57.4
2.7
4.3
9.2
10.6
16.7
14.3
14.6
13.3
0%
20%
40%
60%
80%
100%
特権IDの利用者特定のための記録を取得している 特権IDの操作ログを取得している60.7
2.3
15.1
10.2
10.9 0.8
0%
20%
40%
60%
80%
100%
特権IDの操作ログを確認、または分析している 導入済み 導入予定 検討中 導入予定なし 未検討 無回答 N=666 N=669 N=3844割強
の企業が
不正を追跡
できていない
4割弱
の企業が
不正を検知
できていない
特権IDの操作ログを取得している企業のみで分析
出所： NRIセキュアテクノロジーズ 2013年 「企業における情報セキュリティ実態調査」～重要情報を守れ！内部不正時代の特権IDアクセス管理～
1. 会社紹介
2. 求められるアクセス管理
3. 特権ID管理とは
4. SecureCube/Access Checkとは
特権ID管理システムにおけるアクセス方式の違い
特権ID管理システムは、大きく４つのアクセス方式に分類されます。
アクセス方式の違いを押さえることが、特権ID管理システムを導入するうえで重要なポイントとなります。
本番サーバ 開発者、運用者ID棚卸・貸出方式
本番サーバの特権ID棚卸（不正／不要IDチェックなど）と貸出管理で制御する方式。 アクセス制御用にクライアントエージェントを必要としたり、認証用サーバを別途立てる 必要がある。IDが少ない場合や、統合ID管理システムが稼動済みの場合などに最適。ゲートウェイ方式（完全エージェントレス型）
ユーザと本番サーバの間に関所（ゲートウェイ）を設置して、一元管理する方式。 関所上で個人ID管理、アクセス制御、及びログ管理を統合するためシステムがシンプル。 対象サーバが多い場合や、既存環境への影響を最小限にしたい場合などに最適。クライアント・エージェント型
アクセス元のクライアントごとにエージェントをインストールする方式。 クライアントごとで、本人認証（特権ID利用者の特定）とログ取得を行う。 ログを詳細に取得したい場合や、本番接続用端末が特定されている場合などに最適。サーバ・エージェント型
アクセス先のサーバごとにエージェントをインストールする方式。 サーバごとに個人ID管理、操作制御、ログ取得を行う。 物理コンソールでの接続を含めたアクセス制御とログを取得したい場合などに最適。SecureCube/AccessCheck 概要①
今までの運用（共有IDはそのまま）でのセキュリティ強化が可能です。
本番の入口に関所（ゲートウェイ）を設置し、関所上で
個人の識別が可能なIDとログを一元管理
します。
関所上で、申請・承認データとアクセスログを一元管理することで、
突き合せ監査の負荷を軽減
します。
ID/PW管理 ログ管理 ID/PW管理 ログ管理 ID/PW管理 ログ管理 ID/PW管理 ログ管理 対象システム UNIX系サーバ Linux系サーバ Windowsサーバ ネットワーク機器等 開発者・運用者個人ＩＤと操作ログを
一元管理
認証・IP制御・ ワークフローアクセス制御
アクセスログ・ 操作ログ取得ログ管理
関所（ゲートウェイ）上で
対象システム UNIX系サーバ Linux系サーバ Windowsサーバ ネットワーク機器等 開発者・運用者 特権IDの 利用者を 特定できない 誰でも いつでも アクセス可能 各サーバの ログの監査 も大変 各サーバの ID棚卸し作業 が大変制御情報 申請情報 ログ情報 アクセスログ 制御情報
4. SecureCube/Access Checkとは
SecureCube/AccessCheck 概要②
予防的統制（アクセス制御）
＋
発見的統制（ログ管理）
で強力な監査を実現します。
① アクセス申請を登録（Web画面） ② アクセス申請を承認（Web画面）③ SecureCube / Access Checkへログイン
④ 接続したい対象システムを指定してアクセス ⑤ 申請情報とアクセスログを確認（Web画面）
• 個人IDによる認証により利用者を識別
• 個人IDごとに適切なアクセス権限を付与
• アクセス申請と承認に基づいたアクセス制御
• 特権IDパスワードを隠匿した自動ログイン(OP)
• アクセスログ（操作ログ）を取得
• 取得したアクセスログの検索・閲覧
• アクセス申請とログの自動突き合わせ
• アクセスログ監査の補助（日次レポートなど）
予 防 的 統 制
発 見 的 統 制
運用者・開発者（申請者） システム管理者（承認者） 運用者・開発者（利用者） 対象システム 監査者SecureCube/AccessCheck 概要③
SecureCube / Access Checkは、主に下記の
5機能
を備えています。
それぞれの機能の詳細については、次頁以降で説明します。
アクセス中継対応プロトコル：Telnet, SSH, SCP, SFTP, FTP, RDP, HTTP(S), CIFS, DB, その他TCP アクセス中継対象システム：UNIX系サーバ、Windows系サーバ、ネットワーク機器 など 外部システム連携対象システム：LDAPサーバ、特権IDパスワード管理システム、ワークフローシステム アクセスログ 制御情報 運用者・開発者（利用者） 対象システム 監査者Gateway Server
Gateway Manager
運用者・開発者（申請者） システム管理者（承認者）アクセス中継・制御
アクセスログ取得・保管
アクセス申請・承認
アクセスログ監査補助
連携 外部システム外部システム連携
4. SecureCube/Access Checkとは
SecureCube/AccessCheck 利用の流れ
ブースにて、デモンストレーションを覧いただけます。
運用者・開発者
（申請者)
管理者
（承認者）
管理者
（監査者）
日時指定の
事前作業申請
作業申請の承認
（または却下）
本番サーバ
作業
運用者・開発者
（申請者)
申請書と
ログ（操作ログ・
アクセスログ）の
突合、確認
承認され、かつ、指定時刻になる
まで、通信ポートが開かない。
本番サーバに入る前に、
AccessCheckにて個人認証。
申請書とログ（アクセスログ、
操作ログ）の自動紐づけ。
ログ確認を実施したことの証
跡も残せる。
SecureCube/AccessCheck 主要画面
申請書とログの紐づけ機能が、主要機能の一つです。
AccessCheck上で各重要サーバへのアクセスログと申請書を紐づけるため、監査業務を効率化できます。
確認時にコメントを入力することも可能 当該申請に紐づいた サマリーログの一覧が表示4 SecureCube/Access Checkとは
【新機能】重要情報検知機能のご紹介
取得した操作ログを自動分析し重要情報※1の持ち出しを検知した場合には、監査者へ通知※2します。
自動分析では、製品に組み込まれている固有辞書（氏名、住所、電話番号、クレジットカード番号な
ど）による完全一致での検索※3を試みます。
情報システム
SecureCube / Access Check
利用者
監査者
情報を取得
情報を取得
メール通知
! !
情報を取得
情報を取得
情報を取得
情報を取得
社外秘 公開 公開取得した情報を
操作ログとして保存
操作ログに重要情報が
含まれるか自動分析
重要情報を検知した
ことを監査者へ通知
※1 検知対象となる重要情報は後述を参考ください。
※2 パスワード付ファイルなど分析ができなかった場合
にも、その旨を監査者へ通知します。
※3 検索対象は、下記プロトコルの通信に限ります。
TELNET/SSH/FTP/SFTP/SCP/CIFS
アクセス制御 ＋ ログ取得
SecureCube / Access Check
経由で情報を取得
03-6706 03-6716 03-6606
