システムのアクセス権限管理の実践ポイント（後編）――効率性の向上

本コラムシリーズは前編・後編の2本立てです。アクセス権限管理を担うシステム管理部署は日々の運用負荷に対応しながら、セキュリティインシデントのリスクを抑える必要があり、「安定性」と「効率性」の板挟みでストレスを抱えがちです。
そこで、システム管理部署が抱えるストレスを軽減するために、前編ではシステムの「安定性」を図るための実践ポイントを解説しました。

後編となる今回は、「効率性」の向上について解説を行います。

本コラムシリーズでは、キーワードである「安定性」と「効率性」を以下のとおり定義しています。

アクセス権限管理業務の運用が属人的にならない仕組みをつくることが重要です。そこで本章では、著者の経験に基づく私見も交え、まず（1）「グループ化の原則」において効率性の基本的な考え方を具体例とともに示したうえで、（2）と（3）で効率性の向上を図るための実践ポイントを解説します。

以下、各項目について順に解説します。

本コラムでは「グループ化の原則」を、アクセス権限管理において個々のユーザー単位ではなく、職務や役割ごとに設定した、グループ単位での管理を基本とする考え方と定義します。利用者の異動や増減は頻繁に発生するため、個人単位で権限を管理すると運用負荷や設定漏れのリスクが高まります。そのため、安定性を維持したうえで、可能な限りグループ単位で権限を管理することが重要となります。例えば、営業担当者グループや営業責任者グループなどを設定することが考えられます。

安定性の観点から整理したアクセス権限付与方針は、効率性の向上を図るうえでも重要な資料になります。ユーザー部署とシステム管理部署の間で業務面とシステム面で必要な権限が整理されることで、権限付与の申請内容やシステム上の権限の設定内容が明確化されます。
権限の付与方針が文書化されていない場合は、申請内容に基づいてどのような権限設定を行えば良いかシステム管理部署のみでは判断がつかず、ユーザー部署との設定内容の確認に時間が掛かってしまうことがあります。

アクセス権限の設定を行う際は、事前に社内で適切な責任者によって設定内容が承認されている必要があります。そこで、申請から承認、アクセス権限設定に至る流れを、社内のワークフローシステムを利用して設計することが重要です。社内のワークフローシステム上にユーザー部署からの申請窓口を設けて、適切な承認ルートを設定し、システム管理部署によるアクセス権設定完了までのステータス管理を行い、運用を標準化することが望まれます。

システム管理部署の方はさまざまな業務を限られた人員で担当しているため、業務負荷を抑えつつ、迅速かつ正確にアクセス権限管理を実施することが重要です。
後編の本コラムでは、「グループ化の原則」をベースとして、アクセス権限の付与方針やワークフローの設計により業務を標準化するための実践ポイントを解説しました。

本コラムシリーズでは、システムの安定性と効率性を両立させるために必要な実践ポイントを前編・後編に分けて解説しました。アクセス権限管理はシステム管理部署による単なる設定作業ではなく、システムを運用するうえで不正やミスを未然に防ぐための仕組みであり、内部統制の一部です。加えて、内部統制はアクセス権限管理だけではなく、販売や購買などの業務プロセスにかかる内部統制など、さまざまな要素によって支えられています。BBSでは、アクセス権限管理を含むシステムに関する内部統制の整備・運用支援に加え、業務プロセスに対応したコントロールの整備・運用支援など、内部統制全般に関する幅広い支援を提供しています。本コラムで解説したアクセス権限管理だけではなく、各種内部統制に関するお悩みをお持ちの方は、ぜひ一度当社へご相談ください。