現状把握の問題点を洗い出し、改善をかける｜ITセキュリティ対策とリスクの発見を支援 SKYSEA Client View

現状把握の問題点を洗い出し、改善をかける

パイロット運用を行う前に、あらかじめさまざまな問題を想定していても、実際に行うと想定外の問題が次々と発生します。本運用に移行するためには、それらの問題を抽出して分析し、再び同じ問題が発生することがないように対処しておかなければなりません。手順書に示されていない状況が発生した場合、部門ごとに異なる対応が行われてしまうと、正しい情報を得ることができず、現状の把握が困難になります。そのため、現状把握にはすべての部署で統一した手順に沿って作業してもらうことが必須で、現場の担当者が迷った場合には必ず事務局に連絡を入れてもらい、勝手に判断しないことの徹底が重要です。また、手順書の更新は、部門ごとの対応が別々になるのを防ぎ、問い合わせを減らすことにもつながります。

ここでは、手順書や運用プロセスに改善が必要になるパターンの一部をご紹介します。

パイロット運用で発覚した現状把握の作業手順に改善が必要な例

事務局への連絡が徹底していなければ実際には問題が発生していても発覚することがなく、間違ったSAMの運用が行われてしまいます。事務局への連絡を徹底し、パイロット運用の段階で問題を発覚させることが重要です。

■保有しているソフトウェアのライセンス把握のために実施した作業手順

拠点で所有・保管しているソフトウェアについては、「名称」「バージョン」「エディション」「ライセンスキー」が確認できるパッケージやメディア、証書などをカメラで撮影し、情報システム部門が写真から確認できる内容でライセンス情報を管理し、ライセンス一覧表を作成した。

発覚した問題

各拠点で作成した台帳に間違いがないかを確認するため、事務局にライセンス情報が記載された個所を撮影して送ってもらった。しかし、パッケージの表面・裏面しか撮影していない拠点があり、パッケージにライセンス情報が記載されていないソフトウェアのライセンス情報を確認することができない。
ソフトウェアによりライセンス情報の記載場所が異なることを知らないために発生した問題だと考えられます。ソフトウェアごとに記載が異なることを事前に拠点の担当者へ周知しておきましょう。
パッケージとメディアが別々に保管されていたために、ライセンスナンバーとメディアの紐付けができない。
ソフトウェアメーカーによってはどのメディアを使用しても可としています。しかし、ライセンスナンバーとメディアとの紐付けが必要なソフトウェアでパッケージとメディアを別々に保管している場合、番号を貼り付けるなどしなければ、それぞれを紐付けすることができません。
ライセンス割当時に、原本ではなくライセンス証書のコピーを渡していた。
ソフトウェアによっては、ライセンス証書をコピーすることを禁止している場合があります。その場合、ライセンス証書をコピーしていれば違法となってしまいます。
パッケージ購入のパターンを想定した手順の記載しかなく、ボリュームライセンスの場合を想定していなかった。
パッケージ購入の場合とボリュームライセンスでの購入ではライセンスの仕組みが異なるため、管理の方法も異なります。それぞれのライセンスの確認方法を手順書に記載しておきましょう。（例えば、パッケージ購入の場合、パッケージごとにメディアと紐付けることが必要ですが、ボリュームライセンスを3本購入しているような場合には、そのうちの1本が紐付いていれば問題ありません。）
次回の棚卸時に同様の手間がかからないようにするための作業手順を考えていなかった。
ライセンス把握の作業時に管理番号のシールを貼っておく、メディアやパッケージを鍵のかかる棚に入れて紛失を防止する、などの対策をすることで、次回以降の作業にかかる手間を軽減することができます。

問題の発生原因

現状把握を始める前に、パッケージやメディアの保管ポリシーとライセンス証書の取り扱いに関するプロセスを定義していなかったため、現状把握に必要な事項を現場の担当者が正しく理解できていなかった。誤認した状態で確認した結果が正しいものと認識してしまった。

パイロット運用で発覚したSAMの運用プロセスに改善が必要な例

実施していたソフトウェア購入に関する運用ルール

ソフトウェアの購入プロセスは下記の通りとし、ライセンスの使用についても同等のプロセスを経て割り当てていた。

■ソフトウェアの購入プロセス

使用者が申請 → 部署の上長認可 → 情報システム部門に余剰がないか確認 → ソフトウェア購入 → ライセンス証書に記載のライセンス数・有効期間などを確認 → ソフトウェア管理台帳・ライセンス台帳に記入

発覚した問題1

運用ルールには、体験版のインストールについての規定を設けていなかったため、各自で勝手にインストールして使用していた。さらに、使用期限が切れた後もアンインストールが行われず、放置されていた。
ソフトウェアベンダーのキャンペーンなどで無償配布されたソフトウェアをインストールして使用していた。

問題1の発生原因

試用版・体験版のソフトウェア利用や、お客様からのソフトウェアの借用ライセンス使用に関するプロセスが定義されていなかった。

SAMは、すべてのソフトウェアが対象となるため、無償で入手したソフトウェアでも、購入したソフトウェアと同様に管理しなければなりません。無償のソフトウェアであっても、使用に関する制約を条項に含んでいることがあるため、注意が必要です。

発覚した問題2

パッケージ購入したソフトウェアをバージョンアップするためにはバージョンアップ版を別途購入しなければならないが、購入していないにもかかわらずバージョンアップされていた。

問題2の発生原因

同じソフトウェアで同じバージョンでも、購入時期や部署により、パッケージ購入したものとボリュームライセンスで購入したものが存在していた。ボリュームライセンスは、契約期間内は最新版へのバージョンアップが無償になる契約をしているためバージョンアップは自由に行える。そのため、ボリュームライセンス版をインストールした社員がバージョンアップしたのに倣い、パッケージ版をインストールしている社員も同じ手順でバージョンアップしてしまったと考えられる。

同じソフトウェアでも、パッケージ版とボリュームライセンス版では契約内容が異なるため、バージョンアップする場合には、どちらをインストールしているかが把握できなければSAMを運用していくことはできません。把握できていなかった場合、どちらをインストールしているのかを把握する作業には大変な手間と時間がかかります。そのため、対象となるソフトウェアをいったんアンインストールしてインストールし直すといった考慮も必要かもしれません。

また、ソフトウェアメーカーに問い合わせを行い、パッケージ購入分をボリュームライセンスに切り替える場合の費用を確認し、安価に押さえられるようなら切り替えを検討してみるのもよいかもしれません。ボリュームライセンスに統一するなどの対策を行うことで、管理効率の向上が期待できます。

現状把握から台帳作成までの管理をエクセルのみで行うことは、管理台数が多くなるほど精度が低くなってしまうため、自動で情報を収集できるツールを活用することをお勧めします。

▼SKYSEA Client Viewのソフトウェア資産管理(SAM)支援機能は、こちらからご確認ください。
http://www.skyseaclientview.net/function/sam/