経営統合後、異なるセキュリティポリシーや運用管理ツールを統一

当社は、2012年10月に興和不動産株式会社（以下、旧興和不動産）と株式会社新日鉄都市開発（以下、旧新日鉄都市開発）の2社が経営統合し、発足しました。クライアントPCの運用は、旧興和不動産は主にシンクライアント、旧新日鉄都市開発はファットクライアントという異なる環境であり、セキュリティポリシーも異なっていました。ログ管理やIT資産管理、リモート操作などの各種ツールもそれぞれ違った製品を使用していたため、経営統合後はこれらをどのように運用するかが課題になりました。いったんは、一方で使用されていたツールでの統一を試みたものの、セキュリティポリシーに応じた運用ができないケースが散見されたことから、新しい運用管理ツールを探すことになりました。

私ども総務部は、本社や事業所、支店などの全国12拠点のほか、ビル管理を行うグループ会社の拠点、さらに管理を請け負っているビルの事務所内のPCも含めて50か所以上のPCを管理しています。これらを効率よく集中管理でき、当社の運用上の要件を満たすツールとして、システム導入等でお世話になっている販売会社から「SKYSEA Client View」の紹介を受け、試験運用による社内評価を経て、2014年10月に導入しました。

情報管理を徹底するため、ファイル書き出しの結果をログで確認

当社は、情報資産の取扱いについて情報漏洩防止等のためツールの有効活用を図ってきました。例えば、USBデバイスやDVD-Rなどの外部記憶媒体にファイルを書き出す必要がある場合は、現場上長に認可を取り、書き出しを行った後は、業務上必要なファイルのみが適切に書き出されたかを操作ログで確認しています。

以前使用していたツールでは、ファイルの読み込み時に一時ファイルが生成されただけでも「書き出し」として認識されてしまい、ログが膨大になってしまいました。また、CD-RやDVD-Rなどにマスターディスク形式で書き出した場合に、書き出しを行ったというログは残りますが、書き出したファイルまでは記録されませんでした。これでは、業務上必要なファイルのみが書き出されているかを確認できないため、当社の運用には合いません。

必要のないログまで記録されてしまうと、内容の選別に余計な手間がかかります。逆に、必要なログが記録されないと運用に支障をきたします。「SKYSEA Client View」では、実際に書き出しを行ったログだけが残ることはもちろん、書き出したファイルの内容も記録されるので、手間を減らした上で操作内容を確実に確認できます。試験運用による社内評価では、こうした点を具体的にチェックしながら、私どもが想定している運用が実現できるかを入念に確認しました。導入後は、想定どおりの運用ができ満足しています。

ヘルプデスク対応や情報漏洩リスクの検知で、社員をサポートできるIT環境づくり

当社の管理ビルの事務所に常駐している要員は基本的に少人数で、周りに聞ける人が居ないため、PC操作の問い合わせやトラブルへの対応が頻繁に発生します。これらのヘルプデスク業務は、私ども総務部が集中的に対応していますが、拠点が50か所以上と多いこともあり、迅速な対応には「リモート操作」機能が欠かせません。経営統合の後しばらくは、それぞれの会社で使用していた異なるツールを使用していたため、問い合わせ元に応じてツールを使い分ける必要があり、煩雑でしたが、現在は「SKYSEA Client View」に統一されたことで、対応開始までにかかる時間も短縮されました。

また、充電のためにPCへスマートフォンを接続するといった行為も見受けられ、こうした情報漏洩につながりかねない操作が行われていないかを、操作ログで確認しています。不適切な操作があった場合は、その都度PC使用者に連絡して注意喚起しています。こうしたユーザーに直接働きかける取り組みがITリテラシー向上にもつながっており、より安全に業務に取り組める環境をつくるという面でも効果を感じています。

マイナンバー制度開始にも備え、操作ログの監査観点を整理

現在、「SKYSEA Client View」に蓄積されている操作ログの分析を進めており、深夜のPC操作や大量のWebアクセスなど、情報漏洩につながりかねないリスクを早い段階で発見するには、どういった観点で監査すれば良いかを検討しています。また、当社の業務では考えにくい外部サーバーとの通信の有無などにも注意を払いたいと思っています。

2016年1月からマイナンバー制度の運用が開始されますが、当社ではマイナンバーに対応した人事システムやクラウドサービスを導入した上で、マイナンバーの取り扱いをその中で完結する仕組みにすることが基本だと考えています。「SKYSEA Client View」では、それらのシステムにログインできる権限を持つユーザーが適切に業務を行っているか、不適切な行為がないかという観点でログを確認し、マイナンバーを取り扱うシステムのログと、「SKYSEA Client View」のログを突き合わせながら、二重にチェックしていきたいと考えています。

今後もノウハウを確立しながら、何か問題が起きてからログを調べて原因追及するのではなく、問題を未然に防ぐためにログを活用できるようにしたいと考えています。

2015年7月取材
※2018年8月に一部内容を変更