昨今、企業におけるICT関連の環境は大きく変化し、かつてはさまざまなシステムを独自に構築したり、ツールを個々に購入して導入したり、グループウェアの創出、膨大なデータの管理など、業務に応じた仕組みを内部に開発して設置することが当然でしたが、いまやこれらの多くがクラウドサービスで容易に導入・実現可能となり、多くの現場業務でクラウドを活用することが当たり前になっています。
物理的なリソースへの初期投資がほぼ不要で、業種業態・企業の規模にかかわらず自由に利用することができるほか、ビジネスの目まぐるしい変化にも適応させやすく、かなえたいことをすぐに、低コストで実現させられるといった点で、非常に優れた側面をもつクラウドサービスの数々ですが、ビジネスでの利活用に課題がないわけではありません。
利便性の高さから、利用するクラウドサービスが増えれば増えるほど、非常に大きく深刻な問題として立ちあがってくるのがID管理の問題です。
クラウドサービスは通常、個々のユーザーごとにIDとパスワードを発行して割り当て、本人認証を行った上で利用するものとなっています。さまざまなサービスを業務で使う場合に、毎回IDとパスワードを使い分けて入力し、認証するというログイン作業を繰り返すのは大変な手間とロスになりますし、セキュリティ上定期的にパスワードも変更すべきことを考えれば、多くのIDとパスワードを個々のスタッフが記憶し、利用するのは難しくなるでしょう。覚えきれなくなったスタッフが、パスワードを使い回したり、メモをとったりするようになると、情報漏洩リスクが高まり、大きなセキュリティ上の問題が発生してしまいます。
情報システム部門の管理者も、スタッフの個々におけるクラウドサービスのIDを管理し、適切な利用となるよう権限の制御などを行っていく必要がありますが、多種多様なクラウドを用いている現状の管理は、ユーザー数と利用サービス数の乗数的に煩雑さを増し、次第に手に負えないものとなってしまうでしょう。
いつでもどこからでもすぐ利用できるというクラウドならではのメリットも、管理不十分な状態でスタッフが用いれば、大きなセキュリティホールとなります。人事異動による役職の変化や入退社があれば、その都度適切にアクセス権限を変更したり、アカウントを新規追加・削除したりすることも欠かせません。こうした管理にひとつひとつ人力で対応している状態では、情報システム部門にかかる負荷は計り知れず、従来の内部システムやサーバ運用の設計・管理における手間が削減されても、このID管理に忙殺される日々となりかねません。
個々のスタッフや部署が、私用で用いている無償のクラウドサービスなどを、便利だからと業務シーンでもバックグラウンドで勝手に援用し、社内データをアップロードしてしまうケースなど、管理者が把握していないクラウド利用によるサイバー攻撃や情報漏洩リスクの発生も大きな問題となっており、これらにどう対応していくかも早急に対策が必要なポイントとなっています。
これら低コストで利便性の高いクラウド化によって生まれた新しい問題をどう解決していくか、具体的に考えてみましょう。利用のたびにログインが必要で、複数のIDとパスワードを管理しなければならない問題に対しては、クラウドサービスにも対応したシングルサインオンを実現するID管理サービスを活用することで対処できます。ひとつのIDで複数のクラウドサービスをシームレスに使いこなせるように、ID管理と認証管理をワンストップ化するこうしたソリューションは、多数提供されていますから、その信頼性と可用性、管理のしやすさなどで機能を比較検討し、導入するとよいでしょう。
このソリューション自体もID管理クラウドサービスとして提供されるものが増えており、導入も手軽で、オンプレミス製品などとは異なり、更新作業やパッチ管理作業なども不要ですから、情報システム管理担当者の負荷も大幅に軽減できると考えられます。
ただし、入り口をひとつにするシングルサインオン環境を作る場合、よりその統合された部分における本人認証が確実で信頼性の高いものである必要がありますから、通信経路を通じたデータ盗聴などの心配がないセキュアな方式が採用されているものを吟味しましょう。多要素認証の導入なども効果的です。
アクセス権限やアカウントの追加・削除管理については、ID管理サービスの機能で対応できます。多くの企業向けサービスが、複数システムのアクセス権限や、外出先、自宅といった環境に応じてのアクセス制御、コンプライアンス監査などを一貫して行える機能を搭載していますから、これによる運用管理を進めることで、安心・安全にクラウドの利便性を引き出し、社内システムとあわせて使いこなす効率の良い業務体制を支えていくことができるようになります。
近年はスタッフの就業形態として、正社員、アルバイト・パート、契約社員の別だけでなく、在宅勤務などリモートワーカーも加わっています。個々がシーンに応じて利用するデバイスの多様化もあわせて進んでいますから、より細やかな制御が高い透明性をもって行えるツールを選定することをおすすめします。
さらに管理者の把握しないところで、別の承認していないクラウドサービスが利用されるリスクに対しては、利用するクラウドサービスをその目的とともに申告してもらうことを徹底するとともに、操作ログ収集機能をもったツールでネットのアクセスログを確認、申告内容と照合するといった対策が考えられます。
ほかに、対象とするデバイスがどういったクラウドサービスを利用しているか、可視化して示す機能をもったクラウドセキュリティツールも登場してきており、これを導入すると、承認済みのクラウドしか利用できないようにする、私物デバイスへのクラウド上にあるデータダウンロードを防止するといったことが可能となります。ID管理とセキュリティ水準維持の観点から、これらの活用も検討したいところです。
（画像は写真素材 足成より）