現行の勤務管理システムでは対応できないアクセスログを取得し、抜けのない内部統制基盤を構築。

KDDI株式会社では、金融商品取引法（いわゆる「日本版SOX法」）の施行を受けて内部統制の強化を進めています。その一環として2007年から、IT統制の充実に取り組んできました。この中で、勤務管理システムに対するアクセスログ取得についても統制の対象となりました。そこで、富士通アドバンストエンジニアリング（以下、FAE）のアクセスログ管理ソリューションを利用し、内部統制の基盤整備を図りました。

導入のポイント

導入のねらい

内部統制強化のためのログ管理の中で、勤務管理システムのログも対象に

KDDI株式会社では、金融商品取引法の施行を受けて内部統制の強化を進めています。その一環として2007年から、社内の各種システムに対するIT統制の充実に取り組んできました。アクセス記録などを証跡として記録し、定期的に評価することで、システムの運用が適切に行われていることを証明しようというものです。
「ログ管理は、万が一のトラブルの際には後日の検証に役立ちますし、不正行為に対する抑止力としても有効です。弊社では、内部統制に関しては重点的に設備投資を行い、統制の仕組みの構築に力を入れています」と、情報システム本部コーポレートシステム部管理系グループ課長の嶋田聡氏は説明します。
財務系システムのログ管理が進められる中で、従業員の勤務状況を管理するための勤務管理システムについても、財務会計システムへデータを送るものであることから内部統制上の評価対象とし、今回のログ管理システムの構築を行うことになりました。

全社的なログ管理サーバで一元管理するための「ログ変換ツール」を短期間で開発

今回の開発では、ワークフローシステムでの通常時のアクセスログを取得するのではなく、トラブル時などのログ取得が目的でした。
「通常のアプリケーションログは既に取得できる機能があったので、アクセスログについても記録できています。しかし、トラブル時に本番データベースを手動で操作した場合など、通常のシステム操作以外からアクセスした場合記録は残りませんので、そのログもきちんと残しておきたかったのです」と、情報システム本部コーポレートシステム部管理系グループ課長補佐の藤原完（たもつ）氏は説明します。
システム構築には、データベースアクセスログ取得ツールである「Chakra」と、アクセス監視ツールである「CAAccess Control（CAAC)」の利用が決定していました。しかし、両ツールのログを内部統制用のアクセスログとして利用するには、異なるフォーマットをもつ両ログを社内共通のログフォーマットへ変換するという要件が残っていました。システムの短期構築を目指すKDDIにとって、工数のかかる変換作業をどのように進めるかが大きな課題でした。
そこで、パッケージ製品「Barrierシリーズ」はもとより、幅広いセキュリティソリューションを手がけるFAEはログフォーマットの変換に新たなツールの開発を提案しました。手作業での変換作業をツール利用に置き換えることで、工数を大幅に削減できると考えたからです。
「Chakra」、「CAAC」、「統合ログ変換ツール」を組み合わせることで短期構築を目指すことにしました。

導入の効果

模擬システムやサイジングのテストを行い、リスクヘッジしながら開発

この提案が受け入れられ、2008年2月から具体的な構築に着手しました。情報システム本部コーポレートシステム部管理系グループ課長補佐の辻かがり氏は、FAEの対応について、こう語ります。
「模擬システムを用意して、事前に市販ツールの動作検証するなど、開発リスク低減のための工夫をしていただき大いに助かりました。また、問い合わせなどへのレスポンスも早かったですし、当社への要件確認もタイムリーに出てきて、限られた納期の中でスムーズに仕事を運ぶことができました」
加えて、サイジングのためのテストも行いました。本番環境に一連のツールを入れて運用、収集されるログの分量を調べた上で最終的なサイジングを行ったのです。
「本番サーバに手を入れず、そこに出入りするデータを見る仕組みなので、こうした方法が使えたのですね。これは、他のシステムでも参考になります」（藤原氏）
こうして、予定通り6月にカットオーバーし、その後、安定稼働を続けています。
「今は統制として、各システムのログから、そのログの妥当性を、システム運用者が毎月チェックしています。本番評価に向けた準備が整いました。」（藤原氏）
加えて、今回の経験は、今後の他のシステム開発においても参考になると嶋田氏は言います。
「今後も他のシステムで、ログ管理が必要になるケースが出てくることが考えられます。今回の勤務管理システムでのログ管理取得の方法やログ変換ツールは、そのときの参考になるはずです。今回の構築事例を、社内で共有していきたいと考えています」（嶋田氏）
FAEは保守においても綿密な連携を保つと同時に、今後の内部統制システム展開にも対応できるよう、体制・ノウハウを整備しています。

KDDI株式会社 会社概要

関連リンク

• セキュリティソリューション
• Barrier[バリア] シリーズ

---