承認者が不在のまま申請が滞留し、貸出が実行されない
承認者の不在や代理承認の設定漏れにより、申請が滞留し貸出が実行されません。夜間の障害対応で特権IDを利用できず、復旧が遅れるおそれがあります。
GENZ, Inc.
第三者検証サービス
特権ID管理の
第三者検証サービス
特権ID管理の運用を第三者がテストします
検証の対象は、自社の申請承認フローと管理対象リソースの組み合わせです。GENZは第三者の視点で、テスト設計から実行、報告書の納品までを受託します。
支援事例
支援実績5,000件以上
特権ID管理ツールでよくある不具合
特権ID管理ツールの導入では、申請承認フローの分岐や貸出・返却、操作記録の取得といった動作で不具合が起きやすく、リリース後の運用停止や監査指摘につながります。ここでは代表的な不具合を挙げます。
承認者が
返却後もパスワードが変更されず、払い出し済みの資格情報が有効に残る
返却処理の後もパスワードの変更が反映されず、払い出し済みの資格情報でログインできる状態が残ります。申請の裏付けがない操作を防げません。
管理対象の一部で操作記録が取得されず、作業内容が記録に残らない
管理対象の機器によっては操作記録を取得できず、作業内容が記録に残りません。申請内容と実際の操作を照合できず、監査で統制の実効性を示せません。
特権IDの同時貸出で操作の帰属が特定できない
同一の特権IDが同時に貸し出されると、複数の作業者の操作が同じ記録に混在します。誰の操作かを特定できず、原因調査や監査への説明が成立しません。
退職・異動の情報が反映されず、権限が削除されないまま残る
退職や異動の情報がツールへ反映されず、権限が削除されないまま残ります。退職者の特権IDが有効な状態が続き、不正利用の入口となるおそれがあります。
残存した不具合により生じる問題
特権ID管理ツールの不具合が残ったまま稼働すると、運用の抜け道が定着し、監査対応や予算の面で部門全体へ影響が及びます。
静的テスト（レビュー）でおさえるべき観点
特権ID管理ツールの検証は、設定を動かす前の設計書レビューで大半の見落としを拾えます。管理対象の棚卸し結果・申請承認フロー・貸出ポリシー・緊急時の例外処理・記録設定を、実機と帳票へ照合する順で確認します。
一覧と実機の不整合が残ると、確認すべき組み合わせが定まらず、正常系だけの確認でリリース判断に至るおそれがあります。
管理対象リソースの一覧を、実機の構成と特権IDの棚卸し結果と照合する
設計書上の管理対象一覧と実機の構成が合わないまま設定が進むと、検証すべき組み合わせの母集合が定まりません。機器ごとの特権ID棚卸し結果と設計書を照合し、記載漏れと利用者の対応を確認します。
確認する資料
- 棚卸し一覧
- 基本設計書
- 機器構成表
承認者不在や権限の期限切れといった異常系の経路が未確認のまま残り、稼働後に承認滞留として表面化するおそれがあります。
申請承認フローの定義を、組織の承認権限と所管の対応と照合する
申請承認フローの定義は、組織上の承認権限と管理対象の所管に一致する必要があります。多段承認や代理承認の分岐に不整合があると、承認が滞留します。承認者と代理承認者の指定を対応表と照合します。
確認する資料
- 承認フロー図
- 権限対応表
- 所管一覧表
設定値と機器側要件の差異が残ると貸出・返却が失敗し、運用担当からの問い合わせ対応が常態化するおそれがあります。
貸出・返却ポリシーの設定値を、管理対象側のパスワード要件と照合する
貸出・返却ポリシーの設定値が管理対象側のパスワード要件と合わなければ、貸出が失敗します。パスワードの払い出しかセッション仲介かの方式差と、返却時のパスワード変更の有無を機器ごとに照合します。
確認する資料
- 貸出ポリシー
- パスワード要件
- 方式選定書
緊急時の経路が時間要件に合わないと、夜間障害で復旧が遅れ、手作業での対応となる抜け道が定着するおそれがあります。
緊急時の例外処理の経路を、障害対応手順書の時間要件と照合する
緊急時の例外処理の経路は、障害対応手順書が求める復旧時間と照合します。夜間障害で申請承認が間に合わない設計だと、手作業での対応が定着し、統制が働きません。承認手順と所要時間を確認します。
確認する資料
- 障害対応手順
- 例外処理定義
- 復旧時間目標
申請内容と実際の操作を照合できる記録がなければ、システム監査で統制の実効性を示せず、改善計画の提出に至るおそれがあります。
記録の取得設定と保存期間を、監査で求められる照合要件と照合する
操作記録の取得設定と保存期間は、監査の照合要件から逆算します。テキストログとセッション録画の取得可否は機器の種類で分かれるため、申請と実際の操作を照合できる粒度で取得範囲を確認します。
確認する資料
- 記録取得設定
- 保存期間定義
- 監査要求一覧
- 申請記録様式
動的テストの設計・実行のポイント
動的テストは、単位ごとの確認から通し運転まで段階を分けます。工程ごとに観点を分け、検証範囲の根拠を資料へ書ける状態にします。
STEP 01
ユニットテスト分岐設計の確定が前提になります
どう確かめるか
ユニットテストで、申請区分・承認段数・貸出期限の境界値を確かめる
申請区分・承認段数・貸出期限について、分岐の境界値で動作を確かめます。多段承認や代理承認の経路、期限切れの前後といった条件で、設計書どおりに振る舞うかを確認します。
- 01申請区分ごとの承認経路の境界値を洗い出す
- 02承認者不在と代理承認の分岐を網羅する
- 03貸出期限切れの前後の挙動を確かめる
OUTPUT承認経路の境界条件の確定
STEP 02
統合テスト機器ごとの取得可否を確認します
どう確かめるか
統合テストで、ツールと管理対象リソース・外部連携の接続を確かめる
サーバー・データベース・ネットワーク機器との接続と、ITSMツールとの連携を確かめます。機器の種類によって操作記録の取得可否が分かれるため、対象ごとに確認します。
- 01管理対象リソースとの接続設定を確認する
- 02ITSMツール連携の通知と起票を確かめる
- 03機器の種類ごとの操作記録の取得可否を確認する
OUTPUT接続構成の不整合の検出
STEP 03
システムテスト異常系を含めて通します
どう確かめるか
システムテストで、申請から返却・記録確定までを通して確かめる
申請から承認、貸出、ログイン、操作記録の取得、返却までを通して検証します。返却漏れや権限の期限切れ、緊急時の例外処理も意図的に発生させて検証します。
- 01申請から返却までの正常系を通して検証する
- 02返却漏れと期限切れを意図的に発生させて検証する
- 03緊急時の例外処理の経路を確かめる
OUTPUT記録の一貫性の確認
STEP 04
受け入れテスト監査の照合要件で判定します
どう確かめるか
受け入れテストで、運用担当の手順と監査の照合要件を確かめる
運用担当の実際の手順に沿って操作し、申請内容と操作記録が照合できることを確認します。システム監査で求められる水準を判定基準に置き、残存不具合を整理します。
- 01運用担当の申請と返却の手順の実態を確かめる
- 02申請内容と操作記録の照合ができることを確認する
- 03リリース判断の資料へ残存不具合を整理する
OUTPUT照合要件の実効性の確認
GENZが代行する特権ID管理ツールのテスト
固定費を抱えない人日単位のアサイン、監査にも使える独立した検証の記録、育成期間なしに活かせる専門ノウハウなど、第三者へのアウトソースには複数のメリットがあります。
OUTSOURCING RATIONALE
THIRD-PARTY VERIFICATION
01
必要な時に必要な分だけ
人日単位のアサインで固定費を抱えず、繁忙期に増減できます。
02
独立した視点で品質を底上げ
独立した検証で偏りを排し、監査に使える客観的な記録を残せます。
03
専門ノウハウを即戦力で
JSTQB認定エンジニアが在籍し、対象領域固有の検証知見を育成期間なしに活用できます。
専門知識を持ったテストエンジニアが、第三者の視点でテストするメリット
- 管理対象と申請承認フローから検証範囲を絞り込めます
- 異常系のテスト観点を項目書として入手できます
- 監査で提示できる粒度の検証記録が残ります
- 第三者の視点で確認された事実がリリース判断を支えます
構築側とは別の視点で、検証範囲から引き受けます
特権ID管理ツールの検証で詰まるのは、自社の管理対象リソースと申請承認フローの組み合わせの確かめ方です。GENZは構築側とは別の視点で、検証範囲の定義からテスト設計、実行、報告書の納品までを引き受けます。
自社の構成からテスト設計を起こす
機能一覧ではなく、貴社の管理対象リソースと申請承認フローの組み合わせから検証対象を絞り込み、テスト項目書として提示します。
異常系や緊急時の対応も検証する
承認者不在・権限の期限切れ・返却漏れ・操作記録の取得失敗といった異常系の観点を、テスト設計の成果物として提供します。
既存の工程と品質保証の役割を保ったまま入る
テスト設計のみ、実行のみの部分的な委託にも対応し、ベンダーの工程と社内の品質保証の役割はそのまま維持されます。
監査の照合に使える粒度で報告書を納品する
実施した検証の範囲と結果を、システム監査で統制の確認手続きとして提示できる粒度の報告書として納品します。
ご相談から納品までの流れ
ご相談から報告書の納品まで、貴社のテスト体制に合わせた段階を踏んで進めます。
ヒアリング
管理対象リソースと申請承認フローの構成、検証の目的と期限を確認します。
テスト設計と見積もり
検証範囲とテスト項目を設計し、範囲と費用が対応した見積もりを提出します。
テストの実施と結果の共有
検証環境でテストを実施し、不具合票と進捗、再テストの計画を共有します。
報告書の納品と再確認
照合に使える粒度の報告書を納品し、読み方と監査での使い方を確認します。
テスト計画の段階からのご相談
特権ID管理ツールの検証範囲と優先順位から、GENZへご相談ください
製品の機能比較では、貴社の申請承認フローと管理対象リソースに対する検証範囲は定まりません。ご相談では検証範囲と優先順位を整理し、見積もりの前提となる材料をお渡しします。