J-SOX/PCIDSS対応 導入事例 株式会社NTTデータ アクセス監査対応への課題【CAFIS®への適応の難しさ】 前述の課題の通り、アクセス監査対応をせまられていましたが、日本最大のカード決済システムであるだけに、適 応には以下の通り課題がありました。 ① CAFIS®内には、様々なシステム・多くのプラットフォームが存在するが、一部のシステムで個々の仕組 みによりログ監査を実施していた。 ② 将来的にシステム毎にログ監査の対応を進めていく場合、トータルでは検討や開発にかなりのコストがか かる。 ③ 一部システムでは監査運用を人手で実施しているため、労力がかかっているとともに、リリース作業を行 う開発担当が監査作業も行うなど、相互牽制が十分に働いていない。 株式会社ＮＴＴデータ カード＆ペイメント事業部様 では、CAFIS®を中心として、クレジット中継を核と したカード決済総合サービスの提供をされています。 CAFIS®は、クレジットカード会社、金融機関、企 業を幅広くオンライン接続する日本最大のカードビジ ネス・ネットワークサービスです。約1500社の加盟 店と約120社のクレジットカード会社、約1600の金 融機関とを繋ぎ、月間3億件を超えるカード決済データ を処理されています。 この個人のプライバシーと財産に直結する重要デー 上記課題を解決すべく、CAFIS®内で統合的なログ監査システムを導入し、共通的な運用手順を、リリース自体を 行っていないシステム運用担当に移管することが大きなテーマとなりました。 タに 対 し、 アクセス 監査対 策の「標 準化と自 動化」 「既存セキュリティ対策との連動」「汎用性」など多 共通化したツールにて、監査実施担当が日々一子てきる運用を構築できるか？ 角的 な 視点 から検討 した結 果、同社 が選択し たのが 対応方針 「ＷＥＥＤＳ Ｔｒａｃｅ Ｓｅｒｉｅｓ」でした。 導入前 の課題 様々なプラットフォームが 監査作業の標準化と自動化 存在するため、一部の監査 既存のセキュリティ対策との連動 証跡しか取得ができない。 による監査対象ログの絞り込み 全てに対応するためにはコ ストが大幅にかかると想定。 プラットフォームカバー率の高い 導入後 の効果 ツールの導入 導入背景 【決済システムの重要性】 日本最大のカード決済システム「CAFIS®」は、以下の通り重要な情報を取り扱っているため、Ｊ－ＳＯＸなら びにＰＣＩＤＳＳへの対応を迫られていました。 解決策 数十のサブシステムが存在し、大量のアクセスロ グの監査に耐える監査システムの構築 ⇒ 監査作業の標準化と自動化 1システムあたりの監査作業の負荷低減 ⇒ 既存のセキュリティ対策との連動による 監査対象ログの絞り込み 使用する監査ツール自体の管理・運用負荷を低減 する ⇒ プラットフォームカバー率の高いツールの導入 WEEDS選定理由 ①監査対象システムのカバー率が高い ⇒各種Windowsサーバ、各種UNIX,Linux系サーバ、Windowsクライアントに対応。 ⇒Oracle8～11、SQL Server、DB2、Teradataに対応 クレジット決済データの処理および中継を行う国内最大の決済システムであり，個人のプライバシーと財 産に直結するデータが流れている。 重要性 取り扱う決済データには，クレジット決済による送金指図の処理を行う内容が含まれるため，個人情報 が漏えいした際に利用者へ経済的損失や精神的苦痛を与える。 決済データの漏えいや内部者の目的外利用により，取引信用の失墜，財産の侵害，プライバシーの侵 害，生活の妨害，サービス享受の妨害などの影響が想定され，賠償責任が発生する可能性がある。 ②ログ監査や、操作内容の監査だけでなく、構成情報の変更監査も可能 ⇒本番環境のプログラムが追加、変更されたのかをログ取得。プログラムの変更検知においては、DBプロ グラム（ストアドプロシージャ）も変更記録が可能。 ③レポート出力機能があり、必要なログのみ取得・監査することが可能 ⇒Excelでのレポート出力であるため、カスタマイズが容易にできる ④サービス提供システムへの影響が少ない ⇒システムへのログイン中のみエージェントが動作する （WEEDS WinSever-Trace、WEEDS UNIX-Trace、WEEDS Windows-SecureControl） ⑤導入コストが、比較他社並みである。 J-SOX/PCIDSS対応 導入事例 問題の解消 課題 解決策 ① ・バラバラな監査運用 ・様々なプラットフォーム ② システムごとの監査対応によるコ スト増加 評価 ・統合的なログ監査システムの構築 ・プラットフォームカバー率の高いWEEDSの 導入 ・監査作業の標準化と自動化 ・監査運用に対する相互牽制 ・リリース作業と監査業務の役割分担が実現 するWEEDSの導入 ・監査にかかる運用負担 ・既存のセキュリティ対策との組み合わせ ・プラットフォームカバー率の高いWEEDSの 導入 ③ 監査運用の概要 「CAFIS®」では、既に実施中のセキュリティ対策も踏まえ、WEEDS Trace Seriesを用いたログ監査（アクセ ス監査）の日次運用・月次運用を以下のように構築され、運用を実現されています。 No. ログ監査業務一覧 実施タイミング 詳細 A ログイン・ログオフ ログ監査 日次 ①ログイン・ログオフが許可された時間に実施 さ れていることを監査する。 ②共用アカウントが使用されていないことを監 査する。 B ファイル変更ログ監査 日次 申請内容以外に、変更されたファイルやDBモ ジュールがないことを監査する。 C ログイン失敗ログ監査 月次 失敗ログインを監査し、連続的な不正アクセス がないことを監査する。 D 操作ログ監査 A～Cの監査NG時で、 詳細な監査が必要と判 断された場合 以下に示す具体的な操作を監査する。 ・アプリケーション操作 ・エクスプローラによるファイル操作 ・FTP接続によるファイル操作 ・コマンドによる実行操作 等 必要に応じて開発担当が立会いを行う。 CAFIS®センター 入退出管理 マシン室内 入室 マシン室受付 入退出ログ収集 アクセス監査ログサーバ 操作 WEEDSエージェントでログ収集 ログ収集 監査報告書 監査ポリシー登録 監査担当 ログとポリシーの 自動突合 ログサーバ 入退出ログ 操作ログ リリース情報 必要時に エスカレーション プログラム変更ログ 図 ： NTTデータ「CAFIS®」のアクセス監査システム概要図 責任者
© Copyright 2024 Paperzz
