委託先のリモートアクセス管理｜期限・権限・作業記録の確認項目

委託先のリモートアクセスでは、信頼する会社かどうかに加えて、誰が、何の作業を、どの範囲で行えるかを管理します。保守契約があるからといって全ての端末への常時接続が必要とは限りません。作業に必要な権限と接続先を定め、利用者の識別、認証、許可期間、記録を組み合わせます。

接続経路が強固でも、使い回す管理者アカウントや契約終了後に残る許可があれば問題は残ります。契約上の対応範囲と実際のネットワーク・アカウントの範囲を照合します。緊急時にすぐ接続できることと、責任者が作業を把握できることを両立させ、代替窓口や接続を止める手順も確認します。

左の接続図では、委託先が必要なサーバだけを利用し、他のサーバへは入れない状態をイメージしています。同じ保守会社でも、今回の作業に不要な範囲まで許可する理由にはなりません。実際には対象機器、操作権限、接続経路を設定と記録で照合します。

中央の期限管理と右の記録確認も別の作業です。期限を過ぎたら必ず自動的に失効するか、作業終了後のセッションが残っていないかを確かめ、誰が何をしたかを追える記録を確認します。期限を設定したという申告だけで、終了処理まで完了したとは扱いません。

VPNを使うことは接続経路の一つの対策です。VPN接続が成功した人に全業務への操作権限を与えることとは別に、対象ごとの認可を確認します。

開始前の承認、作業中の確認、終了後の失効を一つの依頼として管理します。契約変更や担当者交代の通知が、自社の設定変更へつながる連絡手順も決めます。

接続記録の保持期間は、契約や調査要件に合わせて決めます。ログが存在しても、自社が必要な時に取得できなければ説明の根拠にならない場合があります。

保守の接続には、委託先の端末と自社の入口、管理対象の機器という複数の境界があります。自社のVPNだけを確認して終わらず、委託先が誰の端末でどの作業をするかも契約の範囲で確認します。再委託がある場合の通知、記録、責任分界も同じ手順へ入れます。

緊急保守で都度承認が難しいなら、事前に範囲と連絡の条件を決めます。常時全権限を黙認するより、利用の通知、許可対象、終了確認を組み合わせます。接続を止める際も設備の稼働と影響を確認します。

サイバーセキュリティの学習ガイドで、このテーマを資産・リスクと運用管理の中に位置付けてください。関連する前提はセキュリティ対策を外部委託するときの確認項目、特権アカウント管理とはで確認できます。

資格対策との接点は情報・サイバーセキュリティ管理士の概要へ。用語を理解した後は登録不要の無料お試し20問で、別の状況でも判断できるか確かめてください。記事のテーマを全て公式の出題項目とする説明ではありません。