外部からの不正アクセスが心配になる
社外から利用できるクラウドサービスやリモート接続、公開中のWebサイトなどが増えると、どこが外部から接続できる状態なのか分かりにくくなってしまいます。
利用していない接続方法や、設定した理由が分からない公開範囲が残っていても、現在の構成を把握できていなければ、見直しを進めることはできません。
外部から接続できる経路、公開しているサービス、利用者、利用目的を確認し、必要な入口と見直す入口を分けて管理していくことが大切です。
困りごとが起きる背景
会社では、社外からメールや業務データを確認するために、クラウドサービスやリモート接続を利用することがあります。
外部の保守会社が機器を確認するための接続や、取引先とデータを共有するための公開設定が必要になる場合もあるでしょう。
導入時には必要だった設定でも、担当者、業務内容、利用サービスが変われば、今も必要とは限りません。
設定した人や目的が記録されていないと、使われていない接続方法が残っていても、変更による影響を判断できず、そのままになりやすくなります。
また、社外から利用できるものが複数あると、機器、クラウドサービス、アカウントごとに管理場所が異なり、会社全体の状態を把握しにくくなってしまいます。
よくあるつまずき
外部からの接続や公開設定では、次のようなことが起こります。
- 外部から接続できる機器やサービスの一覧がない
- どの接続方法を誰が利用しているのか分からない
- 利用していないリモート接続の設定が残っている
- 外部へ公開しているサービスや管理画面を把握できていない
- 取引先や外部業者へ付与した権限が残っている
- 接続を許可した理由や承認者が記録されていない
- 管理者アカウントを誰が利用しているのか分からない
- 一時的に許可した接続に終了時期がない
- 接続元や利用時間などの条件が決まっていない
- 設定変更による業務への影響を確認できない
- 変更後に必要な接続ができるか確認していない
- 誰が設定を変更し、何を確認したのか記録されていない
外部から接続できる状態をすべてなくせばよいというわけではありません。
業務に必要な接続を確認し、利用目的と管理方法が分かる状態にしておく必要があります。
整備の進め方
まず、会社の機器、ネットワーク、クラウドサービス、公開中のWebサービスを確認します。
そのうえで、外部から接続できる経路、利用者、目的、管理者、現在の設定を整理していきます。
外部から利用できるものを確認する
会社の外から接続または閲覧できる機器やサービスを確認します。
主な確認対象は次のとおりです。
- メールやクラウドサービス
- クラウドストレージ
- 業務ソフト
- 社内ネットワークへのリモート接続
- パソコンへの遠隔操作
- サーバーやNAS
- ネットワーク機器の管理画面
- Webサイトや予約システム
- 外部と共有しているファイルやフォルダー
- 保守会社や外部業者が使用する接続方法
一覧には、サービス名だけでなく、管理する人、利用者、利用目的もあわせて記録します。
現在使われているか分からないものは、未使用と決めつけず、追加確認が必要な対象として分けておきます。
接続経路を確認する
外部からどのような流れで接続しているのかを確認します。
例えば、クラウドサービスへ直接ログインするもの、専用の接続方法を使って社内環境へ入るもの、外部業者が遠隔操作を行うものなどに分けます。
同じ目的の接続方法が複数残っている場合は、それぞれの利用状況を確認します。
具体的な接続方法や設定内容は、実機、契約、現在のネットワーク構成を確認したうえで確定します。
利用者と利用目的を確認する
外部から接続できる利用者について、次の内容を整理します。
- 利用者
- 所属や役割
- 利用するサービス
- 接続する目的
- 利用する場所
- 利用開始日
- 利用期間
- 承認した人
- 管理する人
「以前から使っている」という理由だけで残さず、現在の業務で必要かを確認していきます。
外部の保守会社や取引先が利用する場合は、対象となる作業、接続できる範囲、利用期間、連絡先もあわせて記録します。
アカウントと認証の状態を確認する
外部から利用するアカウントについて、誰が使用しているのかを確認します。
主に次の内容を整理します。
- 利用者ごとにアカウントが分かれているか
- 共有アカウントを誰が使用しているか
- 管理者権限が必要か
- 退職者や以前の担当者のアカウントが残っていないか
- 追加の本人確認方法が設定されているか
- 認証情報の管理方法が決まっているか
- 利用できなくなった場合の確認先が分かるか
利用できる認証方法は、サービスの契約内容や現在の設定によって異なります。
設定変更の可否は、対象サービスを確認したうえで判断します。
公開している範囲を確認する
外部へ公開しているWebサイト、ファイル、共有フォルダー、管理画面などについて、誰がどこまで利用できるのかを確認します。
公開範囲は、次のように分けて整理します。
- 誰でも閲覧できる
- 接続先を知っている人が利用できる
- 指定した利用者だけが利用できる
- 社内の利用者だけが利用できる
- 管理者だけが変更できる
公開している情報と、管理や設定を行う画面は分けて確認します。
必要性が確認できない公開設定が見つかった場合も、業務や外部サービスへの影響を確認しないまま変更することはしません。
接続できる範囲を確認する
外部から接続した利用者が、どの機器、データ、機能を利用できるのかを確認します。
業務に必要な範囲を超えて、ほかのデータや管理機能まで利用できる状態になっていないかを整理します。
主に次の権限を分けて確認します。
- 閲覧
- 登録
- 編集
- 削除
- 共有
- 利用者の追加
- 権限の変更
- 契約や設定の変更
管理者権限や削除を伴う権限は、一般の利用権限と分けて扱います。
必要性を確認できない権限は、推測だけで変更せず、業務責任者や承認者へ確認します。
必要な入口と見直す入口を分ける
確認した接続経路や公開設定を、次のように分類します。
- 現在の業務に必要なもの
- 一定期間だけ必要なもの
- 必要性を確認できていないもの
- 使用していないと確認できたもの
- 設定変更による影響確認が必要なもの
- 外部業者や取引先が利用しているもの
一時的に利用するものには、終了時期と見直す日を設定しておきます。
必要性を確認できていないものは、確認する人と期限を決めておきます。
設定変更前に影響を確認する
外部接続や公開設定を変更すると、社外から業務データを利用できなくなったり、外部サービスとの連携が止まったりする場合があります。
変更前に、次の内容を確認しておきます。
- 変更する対象
- 現在の利用者
- 利用している業務
- 変更する理由
- 影響を受ける範囲
- 変更を承認する人
- 変更後に確認する操作
- 問題が起きた場合の確認先
- 実施する日時
複数の入口をまとめて変更せず、対象と確認方法を分けて進めていきます。
変更後の状態を確認する
設定変更後は、不要な接続ができなくなったことだけでなく、必要な業務を継続できることも確認します。
外部の利用者がいる場合は、必要な範囲で接続結果を確認します。
確認できていない項目がある場合は完了扱いにせず、未確認事項として残しておきます。
なお、具体的な安全性や不正アクセスの有無は、設定画面だけでは確定できない場合があります。確認できた状態と、追加調査が必要な内容を分けて記録します。
変更内容と結果を記録する
確認や設定変更を行った後は、一覧と作業記録を更新します。
記録には、必要に応じて次の内容を残しておきます。
- 対象となる機器やサービス
- 接続方法
- 利用者と利用目的
- 変更前と変更後の設定
- 変更理由
- 承認者
- 作業した人
- 実施日時
- 変更後の確認結果
- 未確認事項
- 利用終了日
- 次回の見直し時期
設定した担当者の記憶だけに頼らず、後から現在の状態と変更理由を確認できるようにしておきます。
整備後に目指す状態
外部から接続できる経路が整理されていれば、どの機器やサービスが社外から利用できるのかを確認しやすくなります。
利用者、目的、接続範囲が分かれば、業務に必要な入口と、見直しが必要な入口を分けて判断できます。
一時的な接続や外部業者の利用についても、期限と確認方法を決めておくことで、そのまま残り続ける状態を防ぎやすくなります。
変更内容と確認結果が記録されていれば、担当者が変わった場合も、現在の構成や判断理由を引き継げます。
大切なのは、不安を感じるたびに設定を追加するのではなく、外部から接続できる場所を把握し、必要なものだけを管理できる状態にしておくことです。
その場限りで終わらせないために
外部からの接続や公開設定は、一度確認したら終わりではありません。
担当者の変更、外部委託の開始や終了、新しいクラウドサービスの導入、機器の入替などに合わせて、一覧と設定を見直していきます。
一時的に許可した接続には終了時期を設けておき、現在も必要かを確認します。
利用していない入口や、目的を確認できない設定が見つかった場合は、その場で変更するだけでなく、なぜ見直しから漏れていたのかを記録し、次回の確認項目へ反映していきます。
アーテック福岡では、外部接続の設定変更だけでなく、接続経路、利用者、利用目的、公開範囲、承認、変更結果、次回の見直しまでを会社のIT環境整備として整えていきます。
