アクセス管理の落とし穴

　IT統制では、「誰に情報をアクセスさせるか」というアクセス管理が重要です。

　新規の利用者は、ワークフローなどを使用してアクセス権を申請します。

　その時に、適切なコントロールができているでしょうか？

　アクセス管理には重要な２つの利害関係者が存在します。

　ひとつは、情報システム部門

　ひとつは、システムオーナー部門

　情報システム部門は、申請に対し、アクセス権の設定作業を行います。

　そのために必要な管理者権限を持ちます。

　システムオーナー部門は、システムや情報のオーナーであり、
　誰にアクセスさせるかの決定権を持ちます。

　新規利用者の申請に対し、まず、システムオーナー部門が承認し、

　その上で、情報システム部門がアクセス権の設定作業を行う。

　これが正しいコントロールです。

　ところが、ここで思わぬ落とし穴が。。。

　システムオーナー部門の承認を得ずに、
　情報システム部門がアクセス権を設定してしまうというリスクです。

　例え、ルールとして決まっていても、

　社内でシステムオーナーに対する周知が不十分であると、

　新規利用者が情報システム部門に直接、
　アクセス権の設定を依頼することがあります。

　特にシステムオーナー部門ではない、他部門からの依頼で。

　依頼を受けた情報システム部門が、
　システムオーナー部門に対する認識が低いと

　未承認でアクセス権を設定してしまう！

　情報システム部門はアクセス権を設定するために必要な管理者権限を持っており、

　設定作業はできてしまうので。。。

　理想的にはシステムオーナー部門が管理者権限を持ち、
　アクセス権の設定作業を行う事でしょう。

　しかし、一方でほとんどの組織で
　アクセス権の設定作業は情報システム部門の仕事との認識があります。

　誰にアクセスさせるかの決定権者と
　実際のアクセス権設定者が異なるという点

　ここにアクセス管理の落とし穴があります。

　このような落とし穴への対策が、エビデンスを残すことです。

　システムオーナー部門の承認が必須の申請書やワークフローを制度設計し、
　運用で承認の証跡を残す。

　IT統制では、やたらと証跡が求められ煩わしいと感じることもありますが、

　それは統制の落とし穴に陥らないためのリスクコントロールなのです。
　　

　ルールだけ決めて、適切な制度設計をせず、

　電子メールなどでアクセス権の申請を受け付けたりしていると落とし穴に陥ります。
　

　*********************************************
　孫子の兵法　軍形篇
　善く兵を用うる者は、道を修めて法を保つ
　*********************************************