「今後はリスク管理の自動化が必要になっていく」——米CA・デイビッド・アーバイタル氏

エンタープライズその他

2008年9月12日（金） 06時53分

注目記事

米CAセキュリティ・マネジメント事業部プロダクト・マネジメント担当バイスプレジデントのデイビッド・アーバイタル氏

　日本CAは11日、「CA Identity and Access Management r12」(以下、CA IAM r12)を発表した。同製品はアクセス管理、権限の委譲管理、フェデレーション、レポーティングなど3製品から構成される総合アイデンティティ/アクセス管理製品群。日本で提供されるのは「CA Identity Manager r12」「CA Access Control r12」「CA SiteMinder Web Access Manager r12」となる。今回発表されたのはアイデンティティ管理ソリューションの最新版「CA Identity Manager r12」だ。

　会見では米CAセキュリティ・マネジメント事業部プロダクト・マネジメント担当バイスプレジデントのデイビッド・アーバイタル氏が登壇し、セキュリティーに対する企業と市場の動きを紹介した。氏は「これまでセキュリティーは予防策ととらえられていたが、現在では多くのビジネスアプリケーションがウェブ化され、アプリケーションにセキュリティーが組み込まれた状況になり、ビジネスアプリケーションが規制に準拠しなければいけない状況だ。将来的には、リスク管理の自動化が必要になっていくだろう。セキュリティーニーズのドライバーとなるのはコンプライアンスだ。幅広いユーザーに対して拡張性ももたなければいけないくなる」と話した。

　セキュリティーマネージメントを見た場合、Identity Lifecycle Management、Secure Web Business Enablement、Server Resorce Protectionといった3つがキーとなる。Identity Lifecycle Managementでは、企業はユーザーをプロビジョニングし、またビジネスプロセスに基づいた形で役割設定を行う。またセキュリティーポリシーに基づいた形でのコンプライアンスを示していく。Secure Web Business Enablementでは、企業は企業の枠を超えた形でWEBアプリケーションを展開していく。Server Resorce Protectionは、基幹系にアクセスできる特権ユーザーの管理だ。これらの要素に対して、同社の製品が網羅しているとした。

　同社の製品群は、技術的に4つの分野に切り分けられる。Identity Management、Acess Management、Security Informaton Management、Security Compliance Managementだ。それらの各ジャンルにおいて下の写真のようにプロダクトを配置することができる。アーバイタル氏は「これら製品群は統合することもモジュラーとして使うことも可能。まずインストールおよび展開が簡素化されており、また一元化された形で管理が可能となっている。ウェブインターフェースのみかけが統一されているのでトレーニング要件も低くなり、レポートテクノロジーの標準化された形で盛り込まれている。また、セキュリティーコンプライアンスマネージメントをとっており、コンプライアンスを自動化するこが可能だ」とアピールした。

　導入事例としては、ペンシルバニア州、Sony Pictures、Europ Assistannce、MasterCardが挙げられた。ペンシルベニア州の例は、多くの企業が経験している典型例といえる。多くのレガシーアプリケーションのWEB化ニーズ、そして社員や顧客を含む非常に広範なユーザーコミュニティーに対するアイデンティティー管理をコストコントロールしていく必要があった。ここではIdentity Manager r12、Identity Lifecycle Managementを用いて、ユーザーのプロビジョニングおよびディプロビジョニングを実装することに成功した。また、Sony Picturesでは、監査に対してコンプライアンスを示さなければならなかったが、新しいアプリケーションをプロビジョニングをするのに時間がかかりすぎるとの不満をユーザーがもっていた。同社ではCAのIdentity Managerを使い、ビジネスポリシーに一致した形でユーザーがアプリケーションにアクセスすることができるようにし、監査人が確認できるように見える化も実現したという。Europ AssistannceはヘテロジニアスなITインフラのなかで、セキュリティーポリシーに一致した形でコンプライアンスを提示していかなければならなかったが、アクセスコントロールを実装し、特権ユーザーのアクセスを拡張した形で管理していくことができるようした。

　日本市場はどうかというと、日本CAセキュリティ・ソリューション営業部部長の佐藤輝幸氏は、日本市場への販売戦略の一貫として本年度セキュリティーソリューション営業部を新設したと説明。その直下に技術部門（Pre-Sales）も配置したという。また、日本ではCA Access Controlというサーバーリソース制御製品が多く使われているが、同製品をデファクトスタンダード化する動きを進め、シンプルなライセンス体系をとっていくとした。さらに、内部統制、ITガバナンス実現にむけIAM（Identity Access Management)製品群を投入していくとした。

　IT全般統制を実現するという意味でいうと、特権ユーザーのアクセス管理、統合アイデンティティ管理という大きな2つの問題がでてくる。ルートユーザ、アドミニストレートユーザなどのユーザー管理は企業にとっては必須になっており、JSOXの監査対応でも必要なものとして挙げられているところだ。これら統合アイデンティティ管理というのはIdentity Managerという製品が担うことになる。「企業のIDを統合的に管理すること。つまり人事異動、パートナー企業との契約、入社、退社など、増え続けるID、ゴーストIDをしっかりと管理していく必要がある。ここでIAM（Identity Access Management)製品群を販売していく」と紹介した。なお、「CA Identity Manager r12」の詳細については別記事で紹介する。

《小板謙次》