システムのアクセス権限管理の実践ポイント（前編）――安定性の確保

アクセス権限管理を担うシステム管理部署の皆様は、日々増加する業務負荷に対応する一方で、つねにセキュリティインシデントのリスクにも向き合われているのではないでしょうか。例えば、営業部署などからシステム管理部署に対して「すぐにアクセス権限を付与してほしい」という要望が寄せられた場合、迅速に対応するための「効率性」が求められます。一方で、誤ったアクセス権限の設定は情報漏洩や不正利用といった「安定性」を脅かすリスクにつながるため、一つひとつ慎重な判断が求められます。その結果、システム管理部署は相反する要請の狭間で大きなストレスを抱えがちです。そうしたシステム管理部署のストレスを軽減するために、前編・後編にわたる本コラムシリーズをお役立てください。今回の前編では「安定性」の確保、次回の後編では「効率性」の向上を図る実践ポイントを解説します。
本コラムシリーズでは、キーワードである「安定性」と「効率性」を以下のとおり定義します。

アクセス権限の設定を行う前に、業務フローとシステムの両面を考慮した適切な権限付与方針の作成が必要です。本章では著者の経験に基づく私見も交え、まず（1）「必要最小限の原則」で安定性の基本的な考え方を具体例とともに示したうえで、（2）から（5）にかけて安定性の確保を図るための実践ポイントを順に解説します。

（2）から（5）の各実践ポイントは、検証すべき順に記載しています。
その流れを図示すると以下のとおりです。

以下、各項目について順に解説します。

本コラムでは「必要最小限の原則」を、業務上必要な権限のみを付与し、「業務上不要な権限」または「過剰な権限」は付与しないという考え方と定義します。

以下、見積情報を登録する営業部署の担当者への権限付与を例に考えます。

このケースで次のような権限付与を行うことが適切かどうかを考えてみましょう。

このような権限付与は、職務分掌の観点から適切とはいえません。登録者による自己承認が可能となり、牽制機能が働かないリスクが生じます。不要な承認権限は付与しないのが「必要最小限の原則」の考え方です。

業務部署のユーザーは「システムのアクセス権限」の内容が複雑であるために、具体的に権限が及ぶ範囲を十分に把握できていないことがあります。
一方、システム管理部署は「業務部署の業務フロー」を把握できていないことがあります。システムのアクセス権限は、その業務を担うユーザーに対してのみ付与されるべきであり、「業務フロー」と「システムのアクセス権限」のいずれか一方の観点しか把握できていないと、「必要最小限の原則」から逸脱した権限付与が発生するリスクがあるので注意が必要です。両観点で重要な事項について次の（3）と（4）の項目で解説します。

アクセス権限を適切に設計するためには、実際の業務フローを把握することが重要です。業務フローを把握する際の出発点として、まずは社内の規程類を確認しましょう。例えば、部署ごとの役割分担などを定めた職務分掌規程や役職ごとの権限責任などを定めた職務権限規程などが考えられます。社内の規程類や業務フローが文書化されていない場合は、改めて文書の作成を検討ください。
もっとも、規程類だけでは各担当者が実際にどのような業務を行っているかまでは把握できないことがあります。そのため、現場の業務フローの確認や業務担当者へのヒアリングを通じて実態を把握する必要があります。

システムは、自社の商流に合わせる形でデータベースの構成やデータの流れをカスタマイズしているケースが多く見られます。カスタマイズの作業自体は外部ベンダーに委託する場合もありますが、アクセス権限が必要最小限になっているかどうかは自社で最終判断する必要があります。

事前にアクセス権限の付与方針を作成することが望まれます。また、事後的であってもアクセス権限の付与方針を取りまとめて文書化することが望まれます。

昨今、報道などでシステムの誤使用や不正利用が引き金となって金銭的な被害や情報漏洩が発生した事例を度々目にします。「必要最小限の原則」に基づき業務上必要な権限を過不足なく設定することで、そのような事例が発生するリスクを軽減することができます。今一度、貴社のシステムのアクセス権限管理を見直してみてはいかがでしょうか。
後編では、システム管理部署が抱える業務負荷を軽減するための「効率性」の向上について解説します。