RACFセキュリティ維持サービス

はじめに

データ保全、アクセス制御など日本版SOX法IT統制への対応や、個人情報保護、機密情報の不正流出防止などの観点から、ITシステムのセキュリティを強化し、それを維持する必要性が高まっています。汎用機システムは縮小傾向といわれますが、残っているデータには重要性の高いものが多いため、セキュリティ対策の優先度、必要度が高いシステムです。堅牢なイメージがある汎用機システムですが、詳しく調査してみるとリソース間での設定不整合が見過ごされているなどのケースが少なくありません。

これを是正し、恒常的に維持していくためには、基本に立ち返ることをお勧めします。基本とは、明確なポリシー設定、正しいプロセスでの実施、日々のチェックおよび定期的な検査の3点です。客観的な視点から厳正にポリシーを適用するため、あるいは早さ、正確性、コスト見合いの観点から、外部サービスやツールを活用するのも一計でしょう。

貴社の汎用機システムはセキュリティを恒常的に維持できていますか ?

以下に汎用機セキュリティ管理のポイント / 勘どころと、RACFを使用したシステムのセキュリティ維持サービスを紹介いたしますので、ぜひご参考ください。

INDEX

• 1. 汎用機セキュリティ管理のポイント
• 2. 汎用機セキュリティ管理の勘どころ
• 3. RACFセキュリティ維持サービスのご紹介

このページの先頭へ

1. 汎用機セキュリティ管理のポイント

汎用機セキュリティ管理のポイントは論理面、物理面、検査の3点で捉えることができます。

論理アクセス管理

情報処理資源に対する論理アクセス管理を適切に行わないと、情報処理資源の不正流出や破壊、無許可者による情報閲覧や改ざん、不正使用、および情報処理サービス自体の中断が起こる危険性があります。データ保全や機密保護の観点から、ユーザーの識別と認証、資源定義と保護、アクセスのロギングなどの項目において適切な管理が必要です。

「論理アクセス管理」についてもっと詳しく (別ウィンドウで開きます)

物理セキュリティ管理

マシンルームにあるハードウェア類はもちろん印刷出力物、可搬記憶媒体、ネットワークなど物理的な情報処理資源の破壊や盗難、ひいては情報処理サービス自体の中断を防ぐため、入室制限エリアの管理など、情報処理資源に対する物理アクセスを適切に管理する必要があります。

「物理セキュリティ管理」についてもっと詳しく (別ウィンドウで開きます)

セキュリティ管理状況検査

セキュリティ管理を維持し続けるために、定期的にセキュリティ管理状況の検査を行う必要があります。論理アクセス管理、物理セキュリティ管理などのセキュリティ管理項目およびプロセスが遵守されていることを確認するために、日次、月次、年次などに適切に振り分けた検査を定期的に実施し、違反があれば改善計画を立案し是正することが有効です。

このページの先頭へ

2. 汎用機セキュリティ管理の勘どころ

前項で述べた管理のポイントは、汎用機に携わっている方にとっては既に馴染み深く、ある種 "当たり前" だと思います。実際に多くの汎用機ユーザーが恐らく長年にわたってセキュリティ管理を実施していますが、完璧にできていると自信を持っていえる方は少ないようです。なぜでしょうか ? アークシステムでは次の3点が、汎用機セキュリティ管理の "勘どころ" と考えています。

明確なポリシー設定

汎用機に限らずセキュリティ管理を行うためには、拠りどころとなるポリシーが必要であることは言うまでもありません。多くの企業はセキュリティポリシーを策定していると思いますが、その内容が明確でないと幾とおりもの解釈ができてしまうため、システム設定に落とし込む際にポリシーの意図とずれてしまったり、設定した担当者やプロダクトによって不整合がおきたりする恐れがあります。こういったことがないよう、まずは明確なポリシーを設定することが第一歩となります。

正しいプロセスでの実施

定められたプロセスどおりにセキュリティ管理を実施する---ごく当たり前の話ですが、意外とできていないケースが多いようです。セキュリティポリシーを適用する場合においても、自社内では慣習や馴れ合いによる例外がどうしても発生してしまい、厳正な適用を妨げる事態を招くことがあるようです。これではせっかく策定したポリシーに穴があき、システムのセキュリティを守ることはできません。承認ルートを含めたプロセスが正しく確立されているなら、これに沿って実施していくことが肝要です。

日々のチェックおよび定期的な検査

大事だとわかっていても日々チェックするのは大変だからと疎かにしているうちに、システムのセキュリティ状態がどんどん "あるべき姿" から乖離してしまい、気がついたらポリシーから大きく外れてしまったという経験はないでしょうか ? 自社で手が足りないなら、外部サービスを利用するなりツールを活用するなりして定められた検査を行い、"あるべき姿" を維持しなければセキュリティ管理の意味がありません。

この3点が実現できれば、下図のように、汎用機システムのセキュリティを、ポリシーどおりに、恒常的に維持することが可能となるのです。

このページの先頭へ

3. RACFセキュリティ維持サービスのご紹介

RACFを使用したz/OS、OS/390、MVSシステムにおける論理セキュリティの設定を、セキュリティポリシーに準拠する状態にし、維持するためのサービスを提供いたします。

まずセキュリティポリシーにかなっているかどうかを診断し、改善すべき点が見つかった場合は、ご要望に応じて論理アクセス管理の適正化 (設計、実装) を支援いたします。適正化された状態を維持するためにお客様にて日々チェックする際にご利用いただける検査ツールもご用意しております。

利用メリット

ノウハウがあるので早くて正確

アークシステムは長年にわたって多くのメインフレームユーザー企業に利用技術を提供してまいりました。そのノウハウが当サービスにも活きているため、ユーザーが自社で実施するよりも早く、しかも正確に実施することが可能です。また自社で行うよりも短期間でコストパフォーマンスよく実施できます。

客観的立場から実施するのでポリシーに忠実

セキュリティポリシーの適用を自社で行う場合、どうしても慣習や馴れ合いによる例外が発生し確実な適用がなされないことが多いようです。専門的な第三者が提供するサービスを利用すれば、客観的な立場からセキュリティポリシーに忠実で厳格な適用が可能です。

セキュリティ管理の恒常的な維持が可能

当サービスを利用して管理プロセスを改善 / 確立し、日々のチェックと年単位など定期的な検査を行うことで、汎用機システムのセキュリティを、ポリシーが正しく適用された状態のまま、恒常的に維持管理することが可能となります。日々のチェックには検査ツールもご利用いただけます。

対象システム

RACFを使用したz/OS、OS/390、MVSシステム

サービス項目

• セキュリティ診断
  論理セキュリティの設定が、セキュリティポリシーにかなっているかどうかを診断いたします。
• 論理アクセス管理適正化
  • セキュリティ診断の結果、下記項目に改善すべき点が見つかった場合、その設計、実装を支援いたします。

    システム初期設定	RACFパラメーター (SETROPTS) 設定など、システム設定を設計、実装
    システム制御	プロダクトひとつひとつについてセキュリティ関連のパラメーター設定を設計、実装 監査ログにロギング設定を設計、実装
    アクセス制御	各クラスのプロファイルおよびアクセス権限を設計、実装
    不整合の検出	カタログ、ALIAS、データセットとプロファイルの不整合を検出 アクセス制御に反映して是正
    管理プロセス	各種管理プロセスの策定

    「論理アクセス管理適正化」の提出レポート例 (別ウィンドウで開きます)

  • 状況の調査と診断を定期的に実施し、セキュリティ状態の維持を可能にします。
• 検査ツールの提供
  適正化された論理アクセス管理が保たれているかを、お客様にて日々チェックする際にご利用いただける検査ツールを提供いたします。

このサービスを通じて、RACFを使用したシステムの論理セキュリティの状態をポリシーに準拠する状態で維持することが可能になります。汎用機システムのセキュリティ維持に課題をお持ちの方はぜひご相談ください。