ランサムウェアや内部不正といった脅威が深刻化する中、その重要性がますます高まる特権IDの管理方法。
今回はNRIセキュアテクノロジーズ様を取材し、同社が提供する特権ID管理ソリューション「SecureCube Access Check」を活用することでいかにセキュリティリスクを減らすことができるかお話を伺いました。
また、導入した特権ID管理基盤はセキュリティのハブとなるだけに万が一止まってしまうとシステムへのすべてのアクセスに影響が出てしまいます。
この度「SecureCube Access Check」と、「LifeKeeper」が連携することで、より安心・安全な特権ID管理基盤が提供できるようになったことをご紹介します。
組織のセキュリティ確保で重要視される特権IDの管理
組織のセキュリティを巡る状況は着実に厳しくなっている。2026年1月に発表された情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026［組織］」では、1位が「ランサム攻撃による被害」、2位が「サプライチェーンや委託先を狙った攻撃」だった。セキュリティソリューションなどを提供する立場から、NRIセキュアテクノロジーズ 統制ソリューション事業部 部長の大谷佳裕氏は、「ランサムウェアによる攻撃では、国内の大企業でも大きな被害が出ましたし、サプライチェーンを狙った攻撃も後を絶ちません」と現状を見る。
NRIセキュアテクノロジーズは、野村総合研究所（NRI）グループの情報セキュリティ専門会社として、2000年に設立された。セキュリティソリューションの提供に加えて、情報セキュリティにおけるコンサルティング、セキュリティ診断、マネージドセキュリティサービスなどを手掛けている。そうしたNRIセキュアテクノロジーズには、「特権ID」と呼ぶ特別なIDを悪用した攻撃から企業を守るソリューション「SecureCube Access Check」（セキュアキューブアクセスチェック、以下Access Check）がある。
システム管理者など一部の利用者だけが扱える特権IDには、高い権限が与えられている。Windowsにおける「Administrator」、UNIX/Linuxにおける「root」などが特権に相当し、高権限で何でもできてしまうため、特権IDを悪用されると被害が大きく拡大する。そうした中で、特権ID管理ソリューションのAccess Checkと、サイオステクノロジーのHAクラスターソフト「LifeKeeper」が連携し、可用性を担保する取り組みが一層前進することになった。特権ID管理ソリューションはセキュリティのハブになるだけに、止まらない設計が強く求められる。
ランサムウェアや内部不正への対応にはソリューションが不可欠
大谷氏は、10大脅威の1位に位置づけられるランサムウェアを例に、特権ID管理の必要性をこう説く。「ランサムウェアは、フィッシングやVPNの脆弱性などを足がかりに企業ネットワークへ侵入することから、攻撃が始まります。静かに侵入した攻撃者は、秘匿性が高い情報資産のあるシステムに到達したところでランサムウェアを仕掛け、身代金を要求します。攻撃者が社内のほかのシステムに横移動して侵入するときの探索に使われるのが特権IDであり、管理を徹底することが不可欠になってきているのです」。
統制ソリューション事業部 グループマネージャーの鈴木悠太氏は、「大企業やミッションクリティカルな事業に携わる企業では、特権IDの管理をしていないケースは少ないと考えています。特権IDを利用するときに、申請書を提出して、承認者が押印してIDを貸し出すといった手運用の管理でも、ある程度の効果が期待できます。一方でクレジットカード業界の国際セキュリティ基準であるPCI DSSなどでは、ログレビュー自動化など、高度な管理を求められることも多く、システム的な特権ID管理ソリューションが求められます」と説明する。
特権ID管理ソリューションを利用すると、特権IDのパスワードの一元的な管理や、特権ID利用時の申請から承認までのプロセスをシステム化できる。アクセス制御、ログ取得・管理、監査補助などの機能も提供することで、業界ガイドラインに対応した特権ID管理が容易に実現できるようになる。大谷氏は「Access Checkでは、特権IDによるアクセス時に申請承認が必要になるため、ログインIDが万が一流出したとしても上長がアクセスを拒否すれば接続できません。Access Checkを経由せずに特権IDを利用してログインしようとしたときも、ルールに反したアクセスとして検知することで特権IDを利用した攻撃を止めることができます」と語る。
NRIセキュアテクノロジーズ 統制ソリューション事業部 部長 大谷佳裕氏
もう1つ、特権ID管理の必要性に関与しているのが内部不正への対応である。「内部不正は件数としては多くなくても、いったん起きると被害額が膨大な額に上ります。正当な業務で特権IDを利用するときも上長の承認を得るワークフローや、ログを取って操作の状況を確認できるような仕組みを設けて、内部不正に備えることが求められています」（大谷氏）。
法令やガイドラインへの対応と豊富な導入実績
特権ID管理ソリューションには、NRIセキュアテクノロジーズのAccess Checkをはじめとして複数の製品が市場に出回っている。鈴木氏にAccess Checkの特徴を尋ねた。
「セキュリティの専門企業が作っていることが最大の特徴です。特権ID管理ソリューションをはじめとしたセキュリティソリューションは、導入が目的ではなく、お客様の課題を解決することが目的です。NRIセキュアテクノロジーズには社内にセキュリティの専門家が多くいます。法令やPCI DSSのような業界ガイドラインに対して、セキュリティの観点から設計して対応に問題がない仕様であることを確認した上で提供していることが強みです」（鈴木氏）。
製品そのものの特徴としては、特権ID管理を2つに大別した方式の中で、導入や運用が容易な「ゲートウェイ型」を採用することで、導入のハードルが低いことがある。また、クライアントソフトなど既存環境を極力変えずに導入できるという特徴もある。「対応する環境やプロトコルも多く、市場でも大きなシェアをいただいています。幅広い業種で多くの導入実績があることも、製品選択時のポイントにしていただいています」（鈴木氏）。
Access Checkの特徴を生かした導入事例の中で、Access Checkの拡張性と柔軟性、実効性を評価いただいている事例がある。約10年にわたりAccess Checkを継続利用していただき、利用規模は数万台のデバイスに上る。「大規模環境でも長期にわたり安心して継続して活用してもらっています」（鈴木氏）と、拡張性と実効性を示す。さらに、柔軟性では「対象機器やシステムが多くなると、厳しく統制を取りたい対象と、緩いポリシーで運用性を重視したい対象が混在します。Access Checkでは、企業が求めるセキュリティレベルに応じて、柔軟なポリシー運用ができ、その点も評価されています」（鈴木氏）。
セキュリティのハブになるシステムに要求される可用性
特権IDがシステムにおける最も強い権限を持つだけに、特権IDのアクセス制御をする特権ID管理ソリューションは組織のセキュリティの中核をなす。大谷氏は「特権ID管理ソリューションはすべてのアクセスを管理するセキュリティのハブになります。すなわち、特権ID管理ソリューションが止まると、システムへのすべてのアクセスに影響が出ます。NRIセキュアテクノロジーズとしては、ソリューションを利用される多くのお客様が可用性を意識して冗長構成を採用することを推奨しています」と語る。これまでもAccess Checkと組み合わせてクラスターソフトを利用するケースはあったが、サイオステクノロジーと協業することで新たにLifeKeeperを活用できるようになった。
「止まると問題があるAccess Checkに、LifeKeeperを一緒にお届けすることで安心感を提供できると考え、協業に至りました。クラスターソフトは一定のシェアの棲み分けがあり、一方で1つの組織で複数のソフトを導入することは稀です。シェアが高いLifeKeeperをAccess Checkと組み合わせて使えることで、LifeKeeperをすでに導入している組織がAccess Checkの可用性を担保しやすくなると考えています」（大谷氏）
実際に、Access CheckにおけるLifeKeeperとの連携は、「2026年2月末に公開した最新バージョンから利用可能になりました。LifeKeeperのパートナー企業などとも連動して積極的に展開していきたいです」と鈴木氏は説明する。
NRIセキュアテクノロジーズ 統制ソリューション事業部 グループマネージャー 鈴木悠太氏
Access CheckとLifeKeeperの間で、大谷氏は検証段階で非常にスムーズな連携ができたと語る。「LifeKeeperには特定アプリケーション向けに個別設定せずにクラスター環境を構築できるApplication Recovery Kit（ARK）が用意されていて、容易に可用性が担保できます。また自前のプロセスなどで特定のARKがないケースでも、Generic ARKを使うことでLifeKeeper連携が可能です。ユーザーからすると、非常に便利に使える環境が用意されています」（大谷氏）。
可用性の高いセキュリティソリューションを協業で拡張
組織のセキュリティの対策について、鈴木氏は、「サーバー、マシンツーマシン、アプリ間通信など、今後はノンヒューマンIDも含めた幅広いIDを管理していく必要性が高まります。Access Checkも、他の製品と連携しながら守らなければならないIDの範囲を拡大していく必要があります」と環境の変化を語る。
そうした環境変化への対応に、サイオステクノロジーとの協業が功を奏すると見ているようだ。Access CheckとLifeKeeperの連携が可能になったことで、今後NRIセキュアテクノロジーズが新しいソリューションを提供するときにもLifeKeeperを活用する間口が広がるためだ。特にミッションクリティカルな領域では、可用性はオプションではなく必須条件になる。「可用性担保の部分はLifeKeeperに任せて、新しい価値をNRIセキュアテクノロジーズが作り上げるといった連携の広がりに期待したいと思います」（大谷氏）。
「LifeKeeper」を用いた「SecureCube Access Check」の冗長化構成のイメージ図
NRIセキュアテクノロジーズは「豊かな未来づくりのために、挑戦を続けるお客さまとともに、誰もが安全に安心して、ITの魅力を自由に楽しめる社会をつくる。」ことを使命に掲げる。そうした使命を持つ企業の主要製品の1つであるAccess Checkについて「誰もが安心して安全にITを楽しめるようにするため、サイオステクノロジーとの協業で安心安全なソリューションを幅広く提供します。それをお客様に届けることで、世の中をより良くしていきたいです」（大谷氏）と、LifeKeeperとの連携による社会への貢献の方向性を語った。
