特権 ID&証跡管理ツールの費用対効果はじめに管理対象サーバーからのアクセスログ収集及び申請内容との照合作業は特権ID 管理システムによって自動化されるため、これ

Copyright© 2002-2017 Encourage Technologies Co., Ltd. All Rights Reserved. 1

特権 ID&証跡管理ツールの費用対効果

2017年 8月 28日

エンカレッジ・テクノロジ株式会社

はじめに

多様化・巧妙化する内外のセキュリティ脅威に対処するため、特権 IDの適切な管理の必要性が高まっています。対策

を講じる際、専用の管理ツールの導入によってどの程度効果があるのかを見極めることは重要です。

本書では、特権 IDに関わるリスク対処を目的に専用のツールを採用する際の、費用対効果の考え方と試算方法につい

て解説いたします。

尚、特権 IDおよびそのリスク要因について、対策の考え方および、要件定義をもとにした選定プロセスとそのポイン

トについては、以下のホワイトペーパーをご参照ください。

【特権 ID とそのリスク要因に関して】

システム管理者・外部委託先による情報漏えいを防ぐには

http://www.et-x.jp/download/post/id=428

標的型攻撃の内部対策の要特権アカウントの保護


【対策の考え方】

エンカレッジ・テクノロジが考える特権 ID管理のベストプラクティス


【ツール選定のポイント】

～〇×表では表せない選定のポイント～特権 ID&証跡管理製品導入のアプローチ








特権 ID&証跡管理ツールの管理工数削減効果

特権 ID&証跡管理ツールの導入効果の一つが、管理工数の削減です。専用のツール等を使わず手作業によるマニュアル

方式で管理を行うには、一定の作業工数が発生するためです。本項では、特権 IDのリスク対策について、マニュアル作

業によって行う場合の工数算出と、管理ツールを導入することで期待される削減効果の考え方と試算方法について解説し

ます。

特権 ID のリスクとその対策

下表は、特権 IDのリスクを低減するための一般的な対策内容となります。システムの内容、保持している情報の機

密性など、条件によって、講じるべき対策の徹底度合いは変わってきますが、ある程度重要な情報を取り扱うシステ

ムやシステム障害がビジネスに大きな影響を与えるシステムについては、これらの対策が必要でしょう。

リスク対策

パスワードの漏えいによるシステム

への不正アクセス

・特権 IDの定期的なパスワード変更

・アクセスログの取得による不正アクセス・アクセス試行の有無を点検

システム管理担当者の特権 ID の不適

切な使用による意図しないシステム

変更

・特権 ID の利用目的・作業内容を明確にした上での申請ベースの権限付与

（貸与）

・操作内容ログ取得と作業報告書の提出

不要/未使用の特権 IDが第三者に使用

されることによるシステム侵害

・特権 IDの定期的な棚卸

管理業務の客観的評価を受ける・定期的な監査を実施し、管理プロセスが適切に実施されているかをチェッ

ク

管理作業内容と工数算出の考え方

それぞれの対策を実施するにあたり、各管理作業で想定される工数について整理してみたいと思います。

作業内容想定される工数工数算出係数

特権 IDの定期的なパス

ワード変更

各サーバーにアクセスし、規定された頻度で複雑性を持つパス

ワードに変更。

マニュアル作業による実施の場合、

特権 ID一つにつき、1分程度の時

間が必要と想定。

アクセスログの取得によ

る不正アクセス・アクセ

ス試行の有無を点検

管理対象のシステムに対する特権 IDを使用したアクセスのログ

を収集し、申請ベースで行われたアクセス以外の不正なアクセ

スやアクセス試行（ログイン失敗履歴）が残されていないかを

確認し、確認結果を報告書としてまとめる。

1回のログ収集＋解析作業について

は、1サーバーあたり平均 20分程

度の時間が必要と想定。

特権 IDの利用目的・作

業内容を明確にした上で

の申請ベースの権限付与

（貸与）

特権 IDを使用する際に、使用期間、作業内容等を明記した申請

書を起票し、上長への回覧を実施。上長は内容を確認し承認、

承認後、アカウント管理対象者に提出し、作業時間に合わせて

使用アカウントに管理者権限を付与。作業終了後に権限をはく

奪する。

申請書の起票と承認に、1件あたり

20分、アカウントに対する権限付

与、権限はく奪作業にアカウント 1

つあたり 2分の作業が発生すると

想定。



操作内容ログ取得と作業

報告書の提出

作業者は、自身が行った作業結果を、コマンドのログや画面キ

ャプチャなど（操作内容ログ）の添付を伴う形で「作業報告

書」としてまとめ上長へ提出。上長は報告書と添付された操作

内容ログを確認し、特権 IDの濫用・誤用がなかったかを確認す

る。

作業報告書の作成と上長によるチェ

ックで、1件あたり 30分程度の時

間が必要と想定。

特権 IDの定期的な棚卸管理対象サーバーやディレクトリサービス内に、不要なアカウ

ント、未使用のアカウントが残されていないか、管理者権限が

不適切に付与されていないかを確認する。

1回の棚卸作業および報告書作業

に、1サーバーあたり 20分程度の

作業時間が発生すると想定。

定期的な監査を実施し、

管理プロセスが適切に実

施されているかのチェッ

クを行う

特権 ID管理プロセスの監査対応として、各種申請書、報告書等

のサンプリングルールに基づく適切な数量のサンプリング（※

1）の提出を行い、管理不備等がなかったかのチェックを受け

る。

サンプリングの準備に 1サンプル

あたり 15分。面談による監査受け

入れに 1回あたり 2時間の時間が

発生すると想定。

※1. 監査の際のサンプリング数について、Cobit for SOXの基準に従うものとします。（下表参照）

統制の性質実施頻度最低サンプルサイズ

マニュアル 1日に何度も 25

マニュアル毎日 25

マニュアル毎週 5

マニュアル毎月 2

マニュアル四半期ごと 2

自動化プログラム化された統制活動ごとに、一つのアプリケーションをテストする（IT 全般

統制は有効であると仮定）

特権 ID&証跡管理ツールによる工数削減効果

前項で挙げた特権 ID に関わる管理工数が、特権 ID&証跡管理ツールによってどのように削減できるのか、以下にその

考え方、削減後の工数算定係数を示します。

作業内容期待される工数削減内容削減後の係数


ワード変更

定期的なパスワード変更作業を自動化することで確実にかつ作

業工数を発生させずに実施が可能となり大幅な工数削減が見込

める。尚、パスワードを通知しない貸与の仕組みによって、こ

れまで各サーバーのローカルに作成していた特権 IDを Active

Directoryの管理者アカウントに置き換えることにより、貸与対

象のアカウントの数そのものを削減する効果も期待できる。

必要な工数はサーバー数やアカウン

ト数に関わらずほぼゼロに削減でき

る。




管理対象サーバーからのアクセスログ収集及び申請内容との照

合作業は特権 ID管理システムによって自動化されるため、これ

らの作業自体の工数のほとんどを削減することが期待できる。

アクセスログ取得および点検作業に

係る工数は、システムの規模に関わ

らずほぼゼロに削減できる。




（貸与）

これまで紙やWORDファイルのひな形に沿って記載していた申

請書記入作業および承認手続きは、電子的なワークフローシス

テムによって置き換えられ、申請書の回覧や承認タスクの管理

などが効率化される。

申請 1件当たりにかかる作業時間

は 20分と紙ベースの申請書に比べ

2/3程度に削減できる。



承認された作業に必要な特権 IDの貸与、作業終了後の返却手続

きは自動化されることで、アカウント管理作業が効率化され

る。

作業開始に合わせたアカウント管理

作業は自動化されるため、工数は発

生しなくなる。


報告書の提出

作業中の操作内容は証跡管理ツールによって自動的に記録され

るため、報告書編纂のために別途操作内容のログを収集した

り、作業中の画面をキャプチャしたりする必要がなくなりま

す。

操作内容のログの収集の必要性がな

くなることにより、報告書編纂に係

る工数がマニュアルの 1/6程度に

削減される（1申請書あたり 10

分）

特権 IDの定期的な棚卸特権 ID管理ツールの持つアカウント棚卸データを使用すること

により、個々のサーバーにアカウント情報を確認する作業が効

率化される。

サーバー個別にログインしてアカウ

ント情報を確認する作業が不要にな

るため、１サーバーに係る作業時間

は 5分程度と、1/4程度にまで削減

できると試算。

定期的な監査を実施し、

管理プロセスが適切に実

施されているかのチェッ

クを行う

特権 ID＆証跡管理ツールによって統制が自動化されるため、サ

ンプリングによるチェックが不要となり、大幅に監査対応が効

率化される。

特にサンプリング資料の準備は不要

となり、監査の実施１回につき、２

時間程度の工数になると試算。

特権 ID&証跡管理ツールによる工数削減試算例（中・大規模システムの例）

前項までの考え方に基づき、比較的規模の大きなシステムにおいて、特権 ID&証跡管理ツールによる工数削減効果を試

算してみましょう。今回の試算では、システム規模および特権 IDの使用状況について、以下の通り設定しています。

管理対象のサーバー数： 50サーバー

１サーバーあたりに存在する特権 ID数： 10アカウント

１日の作業回数： 5回

１作業で使用する特権 IDアカウント数： 3アカウント

年間の監査実施数 4回

尚、工数については１人日 30,000円、１年間の稼働日数は 200日として試算しています。

その結果、マニュアル作業による５年間の管理工数は、約 7,900万円におよぶ結果となりました。これを管理ツールによ

る工数試算を行ったところ、1,400万円程度に削減できる試算結果となりました。つまり、削減費用は 6,500万円となり

ます。したがって、管理ツールを導入し、５年間で仮に 2,000万円程度の総所有コストが発生しても、4,000万円以上の

削減効果が期待できる試算となりました。



表 1. ５年間の特権 ID管理総工数（大規模システムのマニュアル方式）

タスク実施頻度5年間の

実施回数単位 5年間の工数

特権IDの定期的なパスワード変更毎月 60 1IDあたり 3 分 5,625,000

アクセスログの取得と点検毎週 260 1サーバーあたり 20 分 16,250,000

作業申請書の起票と承認申請毎 5,000 1申請あたり 40 分 12,500,000

作業に合わせたIDの貸与と返却申請毎 15,000 1IDあたり 5 分 14,062,500

作業ログの取得と報告書編纂申請毎 5,000 1申請あたり 45 分 27,000,000

アカウント棚卸毎月 60 1サーバーあたり 20 分 3,750,000

1サンプルあたり 15 分 468,750

1監査あたり 120 分 150,000

79,806,250

監査対応年4回 20

総工数

時間

表 2. ５年間の特権 ID管理総工数（大規模システムのツールによる自動処理方式）

タスク実施頻

度

5年間の


特権IDの定期的なパスワード変更毎週 260 システム全体 10 分 162,500

アクセスログの取得と点検毎日 1,000 システム全体 10 分 625,000


作業に合わせたIDの貸与と返却申請毎 15,000 1申請あたり 0 分 0


アカウント棚卸毎週 260 1サーバーあたり 5 分 4,062,500

1サンプルあたり 5 分 156,250

1監査あたり 120 分 150,000

14,531,250

監査対応

総工数

時間

年4回 20

本試算において、さらに特筆すべきなのは、定期パスワード変更やアカウント棚卸の頻度が、マニュアル作業の場合に

は月に１程度の実施で試算しているのに対し、ツールによる処理の試算では、頻度を上げて毎週実施する条件で試算して

いるにもかからず、工数の増加にはつながっていない点になります。ツールによる処理の自動化によって、システムの規

模に工数が依存しない状況となることで、対象システムの規模が大きければ大きいほど、工数削減効果が高くなることが

ご理解いただけると思います。

特権 ID&証跡管理ツールによる工数削減試算例（小規模システムの例）

一方、比較的規模の小さなシステムに対して、特権 ID&証跡管理ツールによる工数削減効果はあるのでしょうか？小規

模なシステムの例として、以下の指標に基づき試算を行ってみました。

管理対象のサーバー数： 10サーバー

１サーバーあたりに存在する特権 ID数： 5アカウント

１日の作業回数： 1回

１作業で使用する特権 IDアカウント数： 1アカウント

年間の監査実施数 4回



結果、表 3、表 4に示す通り、小規模なシステムであっても、５年間で 1,000万円以上の削減効果が期待できる可能性

があることがご理解いただけると思います。年間 100万円程度の所有コストであれば、十分工数削減の効果が得られる試

算となります。

表 3. ５年間の特権 ID管理総工数（小規模システムのマニュアル方式）



特権IDの定期的なパスワード変更毎月 60 1IDあたり 3 分 562,500

アクセスログの取得と点検毎週 260 1サーバーあたり 20 分 3,250,000


作業に合わせたIDの貸与と返却申請毎 1,000 1IDあたり 5 分 312,500


アカウント棚卸毎月 60 1サーバーあたり 20 分 750,000

1サンプルあたり 15 分 468,750

1監査あたり 120 分 150,000

13,393,750


総工数

時間

表 4. ５年間の特権 ID管理総工数（小規模システムのツールによる自動処理方式）



特権IDの定期的なパスワード変更毎月 260 システム全体 10 分 162,500

アクセスログの取得と点検毎週 260 システム全体 10 分 162,500


作業に合わせたIDの貸与と返却申請毎 1,000 1申請あたり 0 分 0

作業ログの取得と報告書編纂申請毎 1,000 1申請あたり 10 分 625,000

アカウント棚卸毎月 60 1サーバーあたり 5 分 187,500

1サンプルあたり 5 分 156,250

1監査あたり 120 分 150,000

2,693,750


総工数

時間



特権 ID&証跡管理ツールによる残存リスクの削減効果

特権 ID&証跡管理ツールの導入効果に関するもう一つの側面は、マニュアル管理では、避けることができないミスの発

生によって起きかねない残存リスクの削減効果です。

特権 IDの管理をマニュアル（人手による作業）でおこなった場合に、どのようなリスクが残存するのか、また管理ツー

ルを利用することによって低減される内容を表 5に整理してみました。

表 5. 特権 ID管理のマニュアル作業による残存リスクとツール利用によるリスク低減のポイント

作業内容マニュアル管理のリスク自動化によるリスク低減


ワード変更

・人の作業によって起きる作業ミス（変更し忘れ

等）の発生する場合がある。

・パスワード変更を行うために特権 IDを使用す

る必要があり、特権 IDを用いてパスワード変更

以外の作業を行う可能性がある。

・定期パスワード変更を自動処理するため、人的

な作業ミスの発生をなくすことが可能。

・人が特権 IDを使用して行う必要はなくなるた

め、その不正使用・濫用のリスクがなくなる。




・アクセスログ収集時に意図的にログを改ざん、

隠蔽される可能性がある。

・目視等による不正アクセスなどのチェックが漏

れる可能性が想定される。

・ログ収集から不審なアクセスの抽出までをソフ

トウェアで自動処理し、定義された不正アクセス

の判定基準に基づき確実に処理されるため、ログ

の改ざんや隠蔽が発生する可能性はなく、チェッ

ク漏れが発生する恐れがなくなる。




（貸与）

・作業終了後のアカウント抹消手続きを忘れるこ

とにより、有効な特権 IDが残り、不正に使用さ

れる可能性がある。

・アカウント貸与・返却処理を行うために特権 ID

を使用する必要があるが、その特権 IDを必要な

アカウント管理作業以外に不正に使用される可能

性がある。

・使用後のアカウント返却処理がソフトウェアに

よって自動処理されることで、作業ミスが発生す

る可能性がなくなる。

・アカウント返却作業で人が特権 IDを使用する

必要性がなくなるため、その不正使用のリスクが

なくなる。


報告書の提出

・操作内容のログ収集時に意図的にログを改ざ

ん、隠蔽される可能性がある。

・目視等によるログ確認作業において、チェック

すべきログの内容を見落とす可能性がある。

・ログ収集から不審なアクセスの抽出までをソフ

トウェアで自動処理し、定義された不正アクセス

の判定基準に基づき確実に処理されるため、ログ

の改ざんや隠蔽が発生する可能性はなく、チェッ

ク漏れが発生する恐れがなくなる。

特権 IDの定期的な棚卸・作業ミスや管理不備等によって、正しい棚卸結

果が得られず、不正アクセスの温床になるような

消し忘れのアカウントが放置されてしまう可能性

がある。

・各サーバーのアカウント棚卸データの抽出を自

動化することで作業ミスによる棚卸結果の誤りが

発生する可能性が削減される。

リスク低減の内容については、コスト削減効果のような定量的な試算をすることは困難ですが、管理ツール（ソフトウ

ェア）による自動処理によって、低減可能なリスクの範囲は広く、導入効果の定性的側面として評価すべき点です。

特に特権 IDのパスワード変更、貸与・返却手続きを行うには、その作業の性質上、アカウント管理を行う権限＝特権 ID

に属する特別な権限の一つを使用する必要があるため、その作業自体が管理対象となるなど、いたちごっこ的様相を呈し

ていることが、管理の難しさを増長させる原因となっています。

また、システムの規模や作業頻度が高いほど、リスク低減効果も高い性質であることも特徴と言えます。



弊社の特権アカウント管理ソリューション

弊社では、様々なリスク要因の対処のための特権アカウントおよびその使用内容の適切な管理を実現するソフトウェア

を開発し、重要インフラを担う事業者に対し、安全で安定的なサービス提供を実現するためのご支援を行っております。

小規模システム向けオールインワンパッケージ ESS AdminGate VA

ESS AdminGate VAは、比較的小規模なシステム対し、特権アカウント＆証跡管理を実現するパッケージです。

ワークフロー、アカウント貸与、操作証跡の取得、ファイルの入出力管理などの必要機能をオールインワンで提供、

仮想アプライアンス方式によって提供されるため、導入・設定が容易ですぐにご利用いただけるのがメリットです。

大規模で細かな要件に対応できる ESS AdminControl＋ESS REC

特権アカウント管理を担う ESS AdminControl、証跡管理を実現する ESS RECとそれぞれの機能に特化した専

門製品を組み合わせ、必要な対策を講じる中・大規模システム向けのソリューションです。それぞれの製品は細か

な要件に応えられるよう高機能であり、環境に応じて柔軟にシステム構成を変えることも可能です。

弊社ソリューションによるコスト削減/リスク低減効果

弊社ソリューションを使用して特権 ID 管理を実施することで、前項までに解説した各管理作業を自動化・作業工数を

削減することで、コスト削減と残存リスクの低減効果が期待できます。

表 6. 弊社特権 ID&証跡管理ソリューションによるコスト削減・リスク低減効果の内容

作業内容 ESS AdminGate ESS AdminControl/ESS REC

コスト削減効果リスク低減効果コスト削減効果リスク低減効果

特権 IDの定期的なパスワード変更 N/A N/A ◎ ◎

アクセスログの取得による不正アクセス・

アクセス試行の有無を点検 ◎ ◎ ◎ ◎

特権 IDの利用目的・作業内容を明確にした

上での申請ベースの権限付与（貸与） ◎ ◎ ◎ ◎

操作内容ログ取得と作業報告書の提出 ○ ○ ◎ ◎

特権 IDの定期的な棚卸 N/A N/A ○ ○

監査対応 ◎ ◎ ◎ ◎





2017年 8月 28日発行

エンカレッジ・テクノロジ株式会社

〒103-0007東京都中央区日本橋浜町 3-3-2

トルナーレ日本橋浜町 7F

URL : http://www.et-x.jp/

Phone : 03-5623-2622

Fax : 03-3660-5822

* 文中に記載されている会社名、商品・サービス名は、それぞれ各社の商標または登録商標です。

Documents

特権 ID&証跡管理ツールの費用対効果 はじめに管理対象サーバーからのアクセスログ収集及び申請内容との照 合作業は特権ID 管理システムによって自動化されるため、これ

特権 ID&証跡管理ツールの費用対効果はじめに管理対象サーバーからのアクセスログ収集及び申請内容との照合作業は特権ID 管理システムによって自動化されるため、これ