事例発表 セキュリティセッション

総合物流会社 山九のIT部門が独立して誕生したSI企業のインフォセンスは、山九が抱えていた課題である非効率なログの保管・運用に対し、情報漏洩対策も含めた統合ログ管理環境をアシストとともに構築した。

まず検討したのは、ログの収集範囲と管理方針である。ログ収集の目的を情報漏洩対策に絞った上で、不要なものは対象から外し、国内システムに限定するものの、本番、検証環境のすべてを対象とした。またサーバ、ネットワークはログ管理システムの対象とするものの、PCについては重複取得やネットワーク負荷を考慮し、資産管理システム側で取得することにした。ログ監視・検知機能については既存システムとの棲み分けを明確にし、検知には利用せず、問題発生後の追跡を重視。利用ツールは、ログ収集方式が多種多様で柔軟性に優れている点や、ログの圧縮効率、既存システムとの連携機能が豊富な点を評価し、Logstorageを採用。AWS上にログ管理環境を構築した。ログは収集するだけではなく有効活用することが重要であることから、Losgtorageのオプションである請求機能を利用。コスト配分タグを設定することで業務システム単位に請求状況が確認できるようになり、リソース変更履歴を利用することで、AWS上のシステム構成図も可視化できた。

（発表会場：福岡）

鉄道を基幹事業としながら不動産・レジャー・流通など数多くの事業を展開する地域密着企業、名古屋鉄道。個人情報漏洩に関して社会的責任が大きく求められるようになった昨今、同社で提供する交通系ICカード「manaca」やクレジットカード「名鉄ミューズカード」の利用時に貯まる「ミュースターポイント」会員（約32万人）の個人情報管理のさらなる強化が求められた。外部に会員ページを公開していることから情報が漏れる可能性が高い構造となっているためさらなる管理強化を図った。脅威分析の結果、外部脅威はNW機器等で対応することにしたが、問題は様々な経路が存在する内部脅威であった。

そこで対象をポイントシステムに絞り込み、内部脅威への対応として、データを取り出す前の対策ではなく、取り出した時点のログを取得することにより、正確に監査することを目指した。ポイントサービスという性質上、ログ取得方法はDBへの負荷を最小限に抑え、漏れなく情報が収集できるメモリー参照型のPISOを採用。また収集した複数のログを活用するために統合ログ管理製品LogReviを導入することで、既存のログ出力ツールであるCA Privileged Identity Managerを取り込むこともでき、柔軟なレポート設定と簡単なログ取り込みが可能となった。

今後もさらに運用を浸透させ、内部脅威に対して作業を一元的に管理し、個人情報の取扱い監査を徹底していく。

（発表会場：名古屋）

エネルギー、産業用部材料、電器・コンシューマ製品を製造・販売する日立マクセル。スクラッチ開発から10年が経過したID管理システムを、サーバのサポート切れなどのタイミングで、パッケージ製品であるLDAP Managerに約6ヵ月間で切り替えた。

プロジェクトでは、既存システム調査と情報の整理を同社が担当、システム設計と構築はアシスト、データ移行は両社が担当した。ID管理システムの切り替えでは、既存システムを踏襲するのではなく、イベントを減らし、できるかぎり同一ルールで処理するために、情報を事前に整理することが重要である。そのため、退職者のユーザーIDの消し忘れによる不要なデータや不整合データを徹底して整理したという。これによりデータの動きが理解しやすくなり、システム間のデータの自動連携が促進され、移行後はID管理に費やす運用時間が大幅に削減された。データ移行にあたっては、データの修正を移行前に実施すること、移行用データ作成やデータ検証を徹底的に自動化することが成功のポイントである。このサイクルを自動で回し、テストすることでリスクを低減できたという。プロジェクトの進行をアシストに任せることで、同社は既存システムの把握と整理に注力できたことも成功の秘訣だったと締めくくった。

（発表会場：大阪）