社内システム・クラウドサービス（IDaaS）を「チームで回せる」！持続可能な運用管理のつくり方
～ Gluegent Gate を用いた解決策：第5回 ～
- Gluegent Gate
こんにちは。Gluegent Gate クラウドコンシェルジュです。
「前任者が退職してから、設定変更に誰も手を付けられていない」「アカウントの使い回しにより、どの管理者が操作したのか追えない」。
社内システムやクラウドサービスの運用にあたって、こうしたヒヤリとする事象に直面したことはありませんか？
担当者の引き継ぎ不足や管理アカウントの使い回しによって、設定がブラックボックス化してしまうケースが多く見受けられます。さらに、近年のSCS評価制度などへの対応も含め、組織全体の統制力を高める必要性も増しています。
そこで今回は、セルフチェックやSCS評価制度を取り入れながら、組織全体で安全かつ効率的にシステムを管理するための体制づくりを解説します。
「システムの運用管理体制」に問題はないか、ぜひこの機会にチェックしてみてください。
目次
1.なぜ「システムの運用管理体制」が落とし穴になるのか？
「システムの運用管理体制」の不備は日常では目立ちにくいため、後回しにされがちです。しかし、そこには組織の継続性を揺るがす落とし穴が潜んでいます。
ここでは、体制不備によって生じる主なトラブルを3つピックアップしてご紹介します。
1.「前任者しか分からない」ブラックボックス化と業務停止リスク
引き継ぎの際に「手順」だけが伝えられ、「なぜその設定になっているのか」という意図や背景がわからないケースは非常に多くあります。
任者は「下手に変更してトラブルが起きたらどうしよう」という不安から過去の設定に手を加えづらくなり、業務の属人化やブラックボックス化が加速してしまいます。
その結果、いざという時に誰も復旧や変更ができない事態が発生し、業務に支障が生じる可能性があります。
2.管理アカウントの使い回しによる「誰が・いつ操作したか」が分からない状態
管理アカウントを複数人で使い回していませんか？
アカウントを使い回していると、設定ミスや不正操作などの事故が起きた際に「いつ・誰が操作したのか」の責任の所在が曖昧になり、原因究明も困難になります。
3.一元管理されていないSaaS（Software as a Service）からのデータ流出
社内で個別に導入された未連携のSaaSは、Gluegent Gate のようなID管理基盤（IdP）が提供する統合的なアクセス制御やセキュリティポリシーの適用範囲から外れてしまいます。
その結果、そこがセキュリティホールとなり、情報漏洩を引き起こす原因となります。
【3分セルフチェック】自社の「システムの運用管理体制」のリスク診断チェック
以下の項目にいくつ当てはまるか、自社の状況をチェックしてみましょう。
-
［ ］Q1.管理アカウントの担当者が「1名のみ」である
-
［ ］Q2.管理アカウントが共有化されていて、障害や事故が起きた際に「誰が操作したか」を特定できない
-
［ ］Q3.会社が把握していない、または統合管理されていないSaaSが社内に残っている
-
［ ］Q4.設定の意図やマニュアルが残っておらず、特定の人しか管理・変更ができない
【診断結果】
1つでもチェックがついた場合、見直す良い機会です。
少しずつ体制を整えておくことで、将来の運用トラブルを防ぎ、組織全体の安心感や業務効率の向上につながります。
2.「SCS評価制度」から見るシステム運用の重要性
経済産業省およびIPAが推進する「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の要求事項・評価基準においても、本記事で解説した「システム運用管理体制の整備」や「システム統制」は、高い重要度（★3〜★4）として規定されています。
SCS評価制度：要求事項・評価基準
|
評価基準No. |
評価基準 |
|
No. 3-1-3-1 |
（★3） |
|
No. 4-1-2-2 |
（★4） |
|
No. 4-4-3-1 |
（★4） ※クラウドサービスの利用も対象に含む。 |
|
No. 4-4-3-2 |
（★4） |
|
No. 4-4-3-3 |
（★4） |
※上記引用文は公的ガイドライン（SCS評価制度）の表記を保持するため、原文ママとして掲載しています。
3.解決策：組織全体で回すシステム運用とシングルサインオン（SSO）による統制
セルフチェックを通して、自社の課題が見えてきたのではないでしょうか。
セルフチェックやSCS評価制度の基準からもわかる通り、特定の人に依存した管理や未連携SaaSの放置は、組織にとってセキュリティリスクとなります。
「担当者しか分からない」状態から脱却し、誰でも安全に運用を回せる体制を作るには、「設定意図の可視化と管理者アカウントの個別化（1人1ID）」、そして「Gluegent Gate などのID管理基盤（IdP）へのシングルサインオン連携による全社統制」が鍵となります。
管理アカウントの「1人1ID化」と複数名体制の確立
-
1人1IDの発行：担当者ごとに個別の管理者アカウントを付与することによって、「誰が・いつ・何の操作を行ったか」のログ（操作証跡）を明確にします。
-
設定背景のドキュメント化：単なる操作手順だけでなく、「なぜそのアクセス制限を行っているのか」という設定意図やポリシーを可視化し、後任者でも安全に変更・運用できるナレッジを残します。
-
バックアップ体制（主・副の複数名運用）：唯一の担当者に頼る「属人化体制」を解消するため、主担当者と副担当者を配置します。
これにより、突然の退職や病欠、急な休職時にも管理がストップせず、全社業務の停止を防ぐことができます。
社内SaaSの洗い出しとシングルサインオン（SSO）連携
SCS評価制度のNo.3-1-3-1（外部情報サービスの利用要件確認）を満たすためにも、IdP未連携のSaaSをなくし管理下に置くことが求められます。
-
SSO連携による統制：部署や個人で個別に導入されているSaaSを洗い出し、Gluegent Gate などのID管理基盤（IdP）へ順次シングルサインオン連携していくのがおすすめです。
これにより、アクセス制限（端末制限、IP制限、多要素認証など）やアカウント管理を一元化でき、セキュリティの「抜け道」を効果的に塞ぐことができます。
4.まとめ：持続可能なシステム運用を目指して
今回は、見落とされがちな「システムの運用管理体制」の落とし穴と、チーム全体で持続的に運用を回すための対策についてご紹介しました。
SCS評価制度においても、特権IDの適切な管理や複数名によるバックアップ体制といった「システム統制」は、事業継続の観点から重視される核心部分です。
ID管理基盤であるGluegent Gateを活用し、特定の人に依存しない「チームで回せる」持続可能な運用管理体制を築いていきましょう。
ぜひこの機会に、自社のシステム運用管理体制とSaaS運用についてチェックしてみてください。
Gluegent Gate の導入やシステム運用による管理体制の見直しについてのご相談は、ぜひお気軽にお問い合わせください。
［無料相談］ Gluegent Gate をご利用のお客様は、本記事に関するご不明点等あれば、クラウドコンシェルジュまでお気軽にお問い合わせください。
