大京、CyberArk Privilege Cloud で人の善意に頼らない特権管理を実現

まとめ

特権管理に大きな課題を抱えていた大京は、子会社を含む全体のセキュリティ対策と内部統制を強化するために CyberArk Privilege Cloud を採用、クラウドサービスを含むシステムの特権 ID を統合管理できる環境を整えた。特権の利用状況が可視化され、ユーザーの善意に頼る必要がなく、間違いが発生することもなく、“安心・安全・快適”な不動産・サービスの実現をサポートしている。また将来的に事業部門からの新たな要求があっても、セキュリティ対策の準備は整っているという点で、ビジネスに貢献できる仕組みを作り上げた。

会社概要

大京およびその子会社は、オリックスグループの住宅関連事業を担い、「THE LIONS」(2023 年 4 月に「ライオンズマンション」をリブランド ) の分譲住宅開発事業をはじめ、不動産流通事業、マンション管理事業など、不動産および関連サービスを提供している。大京 情報システム部は、大京およびその子会社計 8 社の社員と不動産の管理者を含む 1 万人強のスタッフの IT 活用を支援している。

課題

大京では、すでに一般的となったディレクトリサービスなどの企業向けシステムを早い段階から導入し、IT 活用を推進してきた。昨今はクラウドサービスの活用も拡大しているが、レガシーなシステムも依然として残されており、混在した環境になっている。

「新旧の IT 環境が混在している状況では、J-SOX 対応・内部統制の取り組みに課題が残されがちです。特にシステムの特権管理やセキュリティ対策は、当社にとって重要な経営課題の 1 つでした。古いアーキテクチャを新しいアーキテクチャへ刷新していく中で、ゼロトラストベースのセキュリティ運用、境界セキュリティからユーザーベースセキュリティへの転換、すばやいインシデント対応のためのインベントリ情報・ログ管理の強化など、さまざまな強化策を検討・実践しているところです。将来的には人と物とをデジタルでつなぐことのできるクラウドネイティブな ITを実現するために、セキュリティ対策の底上げに取り組んでいます」と、大京 情報システム部 担当部長を務める小林治氏は述べる。

小林氏が振り返るように、早くから IT 活用とセキュリティ強化に取り組んできた大京であったが、特権管理には課題が残されていた。監査法人からの強化の必要性を示唆され、コンサルタントやIT パートナーのアドバイスを受けながら「CIS Control」フレームワークを採用、特権管理の強化を推進した。

「当社およびその子会社では 200 以上のサーバーを運用しており、財務諸表に影響する多数の
業務を支えています。それらの管理業務が適切かどうか、正当かどうかを保証するためにも、特権管理は非常に重要な要素です。当社の業務部門が“安心・安全・快適”な不動産および不動産サービスを提供するためにも、サーバーを含むインフラをしっかりと安定的に運用していくこと、安全性のベースとなる特権 ID を適切に管理していくことが重要だと判断しました」（小林氏）

小林氏は、CIS Control を採り入れて管理強化を図る初期の段階で手作業によるアナログ運用は継続が困難、人の手に頼る運用では必ずミスが発生すると判断し、システム化が必須と決断した。またクラウドサービスの活用を推進している同社にとって、特権管理のクラウド化も重要な選択と考えていた。多様なシステムやサービスの特権 ID を抜け漏れなく管理し、利用状況を可視化できるようになること。エンドユーザーの善意に甘えず、不慣れでも利用しやすく、一方で小規模な管理組織でも無理なく運用できるような仕組みにすることを目標とした。そこで注目したのが「CyberArk Privilege Cloud」である。

ソリューション

監査対応の課題を認識した大京は、セキュリティコンサルタントのアドバイスと伊藤忠テクノソリューションズ（CTC）の技術サポートを受けながら、特権 ID の利用実態を調査し、管理の状況を把握することから始めていった。そうして現状を知るにしたがって、CIS Control に乗っ取って管理体制を強化するには、CyberArk のソリューションが必要だという認識が深まった。

「CyberArk によって特権管理を強化し、人に頼らず間違いが起きない環境を整えられたのは大きな効果です。これでセキュリティレベルを 1 つ上げることができました。3 年後・5 年後には“この仕組みがあるから実現できた”という状況が生まれ、ビジネスへ大いに貢献するものと確信しています」
-株式会社大京, 情報システム部 担当部長小林 治 氏

「当社では多様なシステムを運用しており、クラウドサービスも積極的に活用しています。 CyberArk は特権管理に必要となる機能を網羅しており、監査のさまざまなリクエストに対応できるように作り込まれています。しかも、マルチプラットフォームに対して一貫した管理を提供できるという点も評価ポイントです。また今回採用したソリューションでは、利用ユーザーベースのシンプルなライセンス体系というのも利点の 1 つでした」と、情報システム部 横山義和氏は述べる。

横山氏は、また特権 ID に欠かせないワークフローシステムが組み込まれているという点も、 CyberArk を選択する大きな理由の 1 つだとする。すでに運用中のワークフローシステムはあるものの、他のシステムとの連携には一部が手作業になってしまうという課題があった。できるだけ人の善意や作業に頼る部分を排除したかった大京にとって、CyberArk であれば確実に特権を運用できる仕組みであると考えたのだ。

また大京およびその子会社は、Windows サーバーや Linux サーバーを適材適所で活用しており、クラウドサービスの Web インタフェースやデータベースなど多数の特権を運用している。アプリケーションも自社開発しており、あらゆる特権を適切に運用していきたいという考えがあり、CyberArk の汎用性も重要な特長であった。

結果

従来のシステム環境では、セキュリティ対応のためにモニタリングを行っており、2 名の担当者がそれぞれ半日近くを確認作業に取られていた。もちろん何かのアラートが発せられれば、ログの分析などで大きな負担が発生することは避けられない。CyberArk の導入によって、これらの日時モニタリングの 90％は削減できる見込みだ。従来の作業のほとんどが不要となり、アラートへの対応も大幅に軽減・スピードアップが図られる。

「なにより人の善意に頼り切っていた属人的な運用が解消された点は大きな効果です。抜け道がなくミスが発生しない環境、IT 管理部門として自信をもって“だいじょうぶ”と言える環境を用意 できました。特権の棚卸しについても、以前は大きな労力を割いて実施していましたが、 CyberArk によって大幅に削減されるでしょう。セキュリティ対策として、従来はインシデントをあとから追いかけるような形になっていましたが、しっかり脅威に打ち勝てる環境が整ったと感じています」（横山氏）

CyberArk Privilege Cloud はクラウドサービスであるため、運用を委任している外部の IT パートナーがアクセスしやすいという点も導入効果の 1 つだ。以前は VPN アクセスを設定し、中継サーバーにアクセス用のアカウントを用意するなど、運用ステップが煩雑になっていたためである。

こうした CyberArk の運用において、「CyberArk のパートナーである CTC のサポートが重要だった」と、横山氏は強調する。小林氏は、「CyberArk の導入に際し、CTC という強力なIT パートナーのサポートを受けられる点が、私たちにとって大きなメリットでした。さまざまな業務や経営に関わる仕組みとして、意志決定にもつながる広範な情報提供やアドバイザリーが私たちにとって大きな助けとなりました」と続ける。

大京では、CyberArk の実装について、既存の個々のシステムの運用形態から新たな運用へと移行していくため、各々の要件に合わせて適切に段階を踏みながら適用していく必要があった。そのため、大京の子会社間とも連携しながら内部の実装を拡大していきたいという意向があった。そこで CTC は、最初の対象システムへ CyberArk を導入したのち、その実装を標準化して運用マニュアルを添えて納品するという手法を採った。現在、大京とその子会社では、このマニュアルを用いながら各種システムへの適用を進めて、セキュリティと内部統制の強化を進めているところだ。

特権管理の導入と運用は、足元で実施しなければならない要素が非常に多く、「マニュアルに細かなポイントを整理してくれたおかげで、誤りなく実装・運用できる点がありがたい」（横山氏）という高評価だ。また同氏は、CTC のプロジェクトマネージャーが大京の取り組みをしっかりまとめあげ、不明な点や問題点をすみやかに解決してくれた点が印象的だったと振り返る。

大京では、すでに管理対象となっている Windows/Linux サーバーに加えて、データベースや Web サービスなども特権管理の対象に加えていく計画だ。また社内で開発しているアプリケーション群についても、開発部門や業務部門と密に連携する必要はあるものの、将来的には管理対象としていきたいとしており、大京を含むその子会社全体の特権を統合的に管理できるような体制を整えていく意向である。

小林氏は「ビジネスに貢献できる仕組みを作ることができた」と評価している。経営層にも、セキュリティは短期的・直接的な効果を生むものではなく、中長期的に寄与するものという理解を深めてもらっている。

「3 年後や 5 年後といった将来に新たなビジネスを展開したいとき、CyberArk で特権をしっかり管理していたからこそセキュリティがこれだけ担保できていると言える環境を用意できました。CyberArk は柔軟性に富んでおり、高機能で使いこなせていない部分もありますが、監査法人のさまざまなリクエストに応えるなど、やりたいことが次々と浮かんでいるところです。CTC や CyberArk のサポートや情報提供を受けながらブラッシュアップを図り、長く活用していきたいと考えています」（小林氏）

主要な効果

• 特権管理の強化に必要な機能を網羅、運用性を向上する仕組みも実装
• 200を超えるシステム・クラウドサービスの内部統制を強化、運用負荷の軽減も達成
• 人の善意や作業に頼らず、ミスが発生しない特権管理を実現