株式会社ディー・エヌ・エー 様

成長するソーシャルゲーム市場を牽引するDeNAが
個人情報の保護とIT統制強化のため選択した内部セキュリティ対策

DeNAは、1999年に設立された、プラットフォーム、ソーシャルゲーム、eコマースなどのインターネットサービスを中心に様々な事業展開をしている企業です。 ソーシャルゲームプラットフォーム「Mobage」では、多数のソーシャルゲームが日本、欧米、中国、韓国などのユーザネットワーク向けに提供されています。
また、無料通話アプリやスマートフォン向け音楽プレイヤーなど、新しいサービスも次々と立ち上げています。近年、プロ野球への参入や陸上チームの創設などのスポーツ分野を通じて積極的に社会参加も行っています。現在、世界10カ国にオフィスおよび開発スタジオを有しています。(http://dena.com)

《課題と選択》
内部統制の高度化とセキュリティ強化を検討

内部統制の高度化と内部不正に対するセキュリティ強化が課題に

DeNAでは社内系システムと呼ばれるシステムが勘定系やワークフローといった社内の業務全般を支えています。社内系システムはWindowsやLinuxをはじめ、各種アプライアンス製品など個々の業務に応じた機器で構成され、システム全体では200～300台ほどの物理マシンが稼働しています。
「社内系システムには個人情報を扱うシステムが多く存在します。そのため大きな情報漏洩など、今後起こりうる事象に対するリスクマネジメントとして、対策が必要だと感じていました」（渡會氏）

こうした課題に対応するため、DeNAでは内部統制の高度化とデータの改ざんなど内部不正に対するセキュリティ強化を目的に、システムの運用管理者が行う作業の内容を詳細に記録する製品を探していました。

与えられた権限の範囲内で行われる不正を防ぐには？

DeNAではESS RECの導入以前から内部統制や内部不正に対するセキュリティ対策の一環としてアクセス制御や操作証跡の取得などを組み合わせた複合的な取り組みを実施していました。
「ESS RECの導入以前から、運用管理者別の詳細なアクセス制御は当然の対策として実施していました。しかし適切に与えられた権限に対しては、その権限の範囲内で行う作業を禁止することはできません。そのため私たちは、与えられた権限の範囲内で不正が行われるリスクについて危惧していました」（渡會氏）
同様に操作証跡の取得に関しても、有事の際の原因究明に利用するという目的もあり、作業者や作業内容に例外を設けず、必ず操作証跡を記録するという社内的なルールが存在していました。しかし記録の精度が社内で統一されておらず、すべての作業について詳細な操作証跡を取得する必要性を感じていました。

こうした時期に紹介を受けたのがエンカレッジ・テクノロジのESS RECです。ESS REC最大の特徴である動画形式の記録は、あらゆるシステム操作の詳細な操作証跡の取得を求めるDeNAにとって非常に魅力的でした。 「社内系のシステムにはWindowsサーバーが多いため、GUIの操作をはっきりと確認できる動画形式の操作証跡が取得できるという点は大きかったです。またESS RECの動画形式の記録であれば、コマンドを打った、どこのサーバーに接続したという記録にとどまらず、コマンドに対してどのような結果が戻ってきたのか、接続したサーバーでどのような操作をして、どのような情報が取り出された可能性があるのかも確認できます。ESS REC は作業の一挙手一投足を記録したいという私たちの要件を満たしていました」（渡會氏）

また秘密鍵を利用したESS RECの記録の保存形式は、職務分掌の観点からもよく考慮されており、魅力を感じています。この仕組みを利用すれば、システム管理者がESS RECの記録に対して管理者権限を有している場合でも、秘密鍵を与えなければ記録の再生・確認を防ぐことができます。操作証跡を記録しながら、こうした職務分掌に対応できる製品はほとんどありませんでした。

《導入と効果》
ESS RECの操作証跡が内部統制の高度化とセキュリティ強化を実現

動画形式の詳細な記録と高い検索性を活かして効率的な原因究明を実現

トライアル期間も含め、ESS RECの導入から運用開始までかかった期間はわずか4 カ月でした。2012年11月にESS RECのトライアルを開始し、証跡の取得にかかわる部分を中心としたテストに2ヵ月、運用方法の変更に伴う社内の調整に2ヵ月をかけ、2013年2月からESS RECの運用を開始しました。導入前にトライアル期間を設けたことやエンカレッジ・テクノロジの営業から頻繁にフォローを受けたこともあり、導入後は問題なく稼働し、期待通りの効果を発揮しています。
「動画形式で作業を記録しているため、作業結果もはっきりとわかります。ヒューマンエラーが生じた際に、ESS RECによる動画形式の記録を見返すことで、ミスの原因がすぐに判明し、迅速な原因究明につながったこともありました」（谷口氏）
ESS RECの動画形式の記録は、特定の文字列やオペレーションを検索し、該当箇所だけを確認することが可能です。こうした機能を利用すれば膨大な操作証跡も効率的に内容を確認することができます。

また万が一、内部不正などによってセキュリティ上、重大な問題が生じた場合にはESS RECが記録した詳細な操作証跡を警察などの機関に提供することも考えています。

ESS RECを内部不正の抑止力としても活用

ESS RECの動画記録は作業内容の確認以外に、内部不正の抑止力という部分でも役立っています。
「ESS RECの導入にあたり、システムの運用管理者には全ての操作証跡をESS RECで記録することを伝えています。ESS RECで詳細な操作証跡が取得されていると意識することで、内部不正の抑止力になればいいと考えています」（鳥越氏）

また現在は、有事の際の原因究明のために利用することを主な目的として動画形式の記録を取得していますが、いずれはESS RECの検知ルール機能も活用していきたいと社内で検討を重ねています。検知ルールは、あらかじめ特定の操作を指定することで、その操作が実行された際にシステムの監視者に対してアラートを上げるESS REC独自の機能です。この検知ルールの活用ですが、現在はアラートの精度や効果を最大限高めるためのポリシー策定を社内で進めている段階です。

たとえば、Active Directoryに対する不要なアカウント作成や不用意なシステム再起動といった操作に対してアラートをあげるよう設定することで、動画形式の記録を利用した従来の発見的統制だけでなく、予防的統制や、障害発生時の即時的対応が可能になると期待しています。

《展開》
さらなる内部統制の高度化やセキュリティ強化を目指して

社内の別システムへの展開も模索

DeNAには社内系システムのほかに、ソーシャルゲームなど実際のサービスを提供するための事業系システムが存在します。業務系システムでも個人情報を扱っており、内部統制やセキュリティ面では社内系システムと同等の対策をとる必要性を感じています。

社内系システムと比較するとLinuxが圧倒的に多いシステムですが、ESS RECはLinuxOSにも対応しており、Linux特有のコマンドライン主体のオペレーション内容も詳細に記録することができます。したがって、WindowsやLinuxといった異なるプラットフォームに対しても、共通の仕組みが活用できるという点は、適用範囲を拡大していく上で大きなメリットだと感じています。

内部統制の高度化やセキュリティ面の強化に注力するDeNA様。エンカレッジ・テクノロジはこれからもこうしたお客様のサポートに努めてまいります。

※本内容は、2013年4月時点のものです。

PROFILE：株式会社ディー・エヌ・エー 様

設立年月日	1999/03/04
本店所在地	東京都渋谷区渋谷2-21-1 渋谷ヒカリエ
URL	https://dena.com/jp/
事業内容	DeNAは1999年に設立された、Mobageなどのインターネットサービスを展開している企業です。
導入製品	ESS REC

関連資料はこちら

本事例のPDF

本事例のPDF版リーフレットは以下よりご覧いただけます。

PDFを表示

製品ご採用事例集

企業名は非公開となりますが、お客様が当初抱えていた課題・弊社製品のご選定理由をまとめた資料です。

事例集はこちら

製品の詳細はこちら

ESS REC 6

システム操作と作業環境の可視化、常時本人確認を実現

詳しくはこちら