IT運用チームとセキュリティチームは常に戦争状態にあります。データセンターのセキュリティ基準は、システムを利用する人々に大きな影響を与えます。セキュリティが高すぎると、管理者の仕事がほとんど不可能になります。
アプリケーションやシステムのプログラマーは、システムを操作し、問題を検出し、修正するための権限が必要です。同時に、企業は、顧客、従業員、その他の機密情報を含む不正な情報の流出を防止する必要があります。可用性を維持するために、企業は誰もが無作為、無計画、または悪意のある変更を加えることを制限します。では、テクニカル・サポートに適切な権限を与えながら、データ保護と可用性のバランスをとるにはどうすればよいのでしょうか。
それぞれのセキュリティ対策と関連する問題を見てみましょう。
グループログインID：企業によっては、非常に高い権限を機能グループに割り当て、そのグループのメンバーであるログインIDはすべてその権限を持ちます。アクセス権を割り当てる際、技術者に承認された変更コードの入力を要求することで、このグループIDを制御できます。
このソリューションには複数の利点があります。まず、これらのIDによって実行されたすべてのアクションを簡単にログに記録し、監査することができます。また、個々のユーザーが過剰な権限を得ることを防ぎ、グループIDに基づく制御を可能にします。つまり、システムに対するいかなる変更も、十分に考え抜かれ、計画され、レビューされたものでなければなりません。
コンティンジェンシーID：コンティンジェンシーIDはグループIDに似ていますが、コンティンジェンシーIDの範囲と有効期間は限定されています。通常、通常とは異なるアクセスを必要とするプログラマーは、コンティンジェンシーIDを割り当てられるか、作成しなければなりません。追加的な管理として、コンティンジェンシーIDの有効期限を制限するワンタイムパスワードと有効期限があります。
コンティンジェンシーIDは、グループIDと同様に厳格な監査を受けることができ、IT部門はコンティンジェンシーIDの取得プロセスにさまざまなコントロールを加えることができます。さらに、緊急アクセスはグループIDよりも細かい粒度で制御できます。例えば、グループIDではシステム・データベースの更新やデータベースの再編成が可能ですが、異なる機能ごとに2つの異なる有事IDを設定することができます。
代替 ID：代替 ID の権限は、依然として個々のユーザーに固有のものです。しかし、代替IDは常にフルアクセスできるわけではありません。セキュリティ・チームは、通常の管理IDの高レベルの権限を削除した後、それらの権限を代替IDに転送して割り当てます。これにより、テクニカル・サポート担当者は通常のIDを使用してシステムを監視できるようになり、高レベルの権限が削除されるため、システムに対する変更のリスクもなくなります。そのため、管理者が何らかの変更を行う必要がある場合は、代わりに自分の代替IDにログインする必要があります。
代替IDは、グループIDや緊急IDよりも柔軟性があります。もちろん、管理は難しくなります。
緊急IDとグループIDをめぐる論争
緊急IDとグループDIには、いくつかの共通の欠点があります。第一に、両方のIDを可能な限り精査することはできますが、それでも特定の隠れた修正操作を避けることは困難です。たとえば、IBMのインタラクティブ・システムズ生産性基金は、ライブラリ・カタログのパーティション・データセットを更新する操作について、最後に操作したアカウントのIDのみを記録します。この場合、ISPFレコードは緊急事態IDまたはグループIDを保存しますが、誰がそれを使用しているかを知る方法はありません。
企業が緊急事態に緊急IDを使用することがあるため、このような場合のID取得プロセスが問題になることがあります。緊急IDの取得に時間がかかりすぎたり、必要書類や承認レベルが高すぎたりすると、短時間で解決できたはずの障害が長期化しやすくなります。
グループIDにも同様の欠陥があります。ある日停電が発生し、故障を修理するのに十分な高い権限を持つ唯一のIDが、たまたまその日に帰った誰かによってロックアウトされたとします。
データセンターのセキュリティと可用性を両立させるためのベストプラクティスをいくつかご紹介します：
アプリケーションおよびシステム開発者が本番環境を監視できるようにします。最近の開発プロジェクトがすべて自動化されているとしても、また、「自律的な」システムを使用しているとしても、最高レベルの可用性を達成するためには、コンピュータシステムを積極的に監視する必要があります。適切に割り当てられた読み取り専用のアクセス権は、可用性を脅かすものではありません。
3つのオプションすべてが機能する場合、現時点では代替IDがおそらく最良の選択です。代替IDは、グループIDや緊急IDのロギングと同じようにログに記録することができ、監査用にトレースできるトレースが常にシステムに残ります。代替IDを使用することで、必要に応じてサポートスタッフが迅速に対応することができます。
企業が緊急IDやグループIDを使用したい場合、まずセキュリティ管理と迅速なアクセス実現のバランスを完璧にとるプロセスを確立することが重要です。さらに、緊急IDを制御するソフトウェアを導入することは、組織にとって最も高い可用性の目標の1つであるべきです。
ある部門は、生産システムへのフルアクセスを許可する信頼できる数人を指定し、事態が悪化しそうになったときに窮地を救う妙な力になりたいと思うかもしれません。これは他のコントロールの抜け穴になる可能性がありますが、万が一の事態が発生した場合、問題を迅速に解決することができます。
テクニカルサポートスタッフを信頼してください。彼らもビジネスの成功のために最善を尽くしていますし、ダウンタイムはマネージャー以上に嫌なものです。
