米国SOX法への対応要求

「米国SOX法404条に対応せよ。」
トライネットロジスティクス（当時は日東ロジスティクス）に親会社である三井物産から要求があったのは2005年10月のことである。三井物産は米国NASDAQ（店頭公開市場）に上場しているため、米国SOX法404条に対応する必要があったが、子会社である同社も適用対象となるためだ。

すでに2005年7月に ISMS、BS7799-2認証を取得していた同社にとっては、「IT全般統制」については、それまでのマネジメントシステムで培ったノウハウで対応できるだろう、と見通しがつけられた。また「業務処理統制」についても要求を受けた当時、同社 IT推進部では業務効率化のため純国産ERP「GRANDIT」の導入を進めていた最中だった。GRANDITには「業務処理統制機能」が備わっており、この機能を活用すれば大部分の要求はクリアできることが分かった。

サーバーに対するPC操作ログ

しかし、アプリケーション自身ではアプリケーションサーバーに対して、誰が、いつ、どんな作業をしたのか？ということを管理することができない、という課題が残った。サーバーに対する操作の履歴管理はセキュリティマネジメントシステムでは必ず求められることである。また、ERPのシステム構築やメンテナンスはシステムインテグレータのアイディーエスに委託している。

と足立氏はログ監視、証跡管理の必要性を語る。

このような背景からログ管理ツールの製品の導入を検討することとなった。

実際製品を検討するにあたっては、システムインテグレータ2社に製品をいくつかピックアップしてもらった。操作ログ取得・管理ツールは大規模で大掛かりなシステムがほとんど。今回はアプリケーションサーバーに対してアクセスするPCの操作ログを取る、という限られた要件だったので、そのニーズをクリアするシンプルなものを探した。最終的には3製品の機能を比較し、デモンストレーションをみて実際の操作性を確認した。

AssetView HYPER をデモンストレーションで見た印象を左伴氏は次のようにコメントした。

使い勝手の良さ、そして価格面での優位性から、AssetView HYPER の導入を決めた。2006年10月のことである。

運用ルール × AssetView HYPER ＝ 的確な管理

AssetView HYPER 導入後の運用は次のように行っている。
まず、アプリケーションサーバーに対して作業をするのは決まったPCからでしか行えないようにし、そのPCを監視対象とし、AssetView HYPER をインストールした。サーバーに対して作業をする際はそのPCを使うための申請書の起票が必要なルールにした。毎月初に AssetView HYPER Mで取得したPC操作ログから先月分のログを抽出し、申請書と付け合せ、不審なアクセスがないか確認する。また、操作内容から「ファイルの削除」等の不審なログがないかを重点的にチェックする、といった運用だ。運用ルールとツールをうまく組み合わせて的確な管理を実現している好例である。

と左伴氏は言う。

AssetViewHYPER を導入し、運用し始めた今の意見を足立氏に伺った。

セキュリティ、内部統制の構築には、うまくツールを活用する必要がある。同社の AssetView HYPER の導入はこのことの事例といえるであろう。

今後の課題を足立氏に伺った。

より強固なセキュリティをめざしていくトライネット・ロジスティクス株式会社。
株式会社ハンモックは企業のセキュリティ強化生産性向上を支援するソフトウェアを今後もリリースしていく予定だ。