セキュリティ・レベル40を実装するために考えることとは？

2024.02.07 三和コムテック

昨年より話題となっているIBM i 7.5のセキュリティ・レベル20の廃止。多くのお客様がOSバージョンアップ後のレベル30、40での運用について懸念されています。IBM iのセキュリティ・レベル40を実装するために考えることについて確認してみましょう。

『自社運用との親和性』がセキュリティ実装における重要なポイント

2023年はサイバー攻撃の多様化や、オープンシステム連携の多用により、IBM i関連製品の脆弱性が高まった年でした。連携先からの脅威の増加により、システムへのログイン部分や、ログイン後の改ざん行為等に対するセキュリティを強化する必要が出てきました。IBM i V7R5からは、セキュリティ・レベル20は廃止され、推奨値であるレベル40にすることで、こういったリスクへの対策を促しています。

Fortra社（旧：HelpSystems社）が刊行している『2023 State of IBM i Security』では、70%を超える組織がセキュリティ・レベル40以上で運用していることがわかりました。最高権限*ALLOBJを持つユーザー数は全体の約11%で、平均30%であった過去2年と比較して、多くの企業で見直しが進んでいることがわかります。

セキュリティ・レベル-2

ユーザー特殊権限-2

引用：Fortra社『2023 State of IBM i Security Study』https://www.fortra.com/resources/guides/state-ibm-i-security-study

一方で、昨年アイマガジン株式会社が国内を中心に行った『IBM iユーザー動向調査2023』によると、運用中のセキュリティ・レベルが40以上という回答は約2割、過半数がレベル20で運用していることがわかりました。レベル20では、サインオン後は全ユーザーが最高権限を持つことができるため、*ALLOBJのユーザー数も多いことが考えられます。

この結果より、国内企業ではこれからIBM iのセキュリティ見直し対応が進んでいくことが考えられます。一方、強固なセキュリティを実装しても、従来の運用が出来なければ本末転倒です。システム管理者にとって、実装したセキュリティ設定の妥当性チェックや運用管理がしやすい必要があります。

引用：アイマガジン株式会社『IBM iユーザー動向調査 2023』https://www.imagazine.co.jp/ibm-i-user-servey2023-005/

セキュリティ・レベル40の要件は大きく3つ！
『サインオン、オブジェクトへのアクセス、外部アクセス』

廃止されるセキュリティ・レベル20と、推奨値であるレベル40を比較してみます。

システム値表示

つまり、

レベル20では…	サインオンのパスワード管理が必要です。
レベル30では…	20に加え、オブジェクトへのアクセス権限が必要です。
レベル40では…	30に加え、外部アクセス経路やユーザー権限の妥当性の管理が必要です。

セキュリティ・レベル20では、『サインオン』さえできればその後の操作には制限がないといった簡単なセキュリティである一方、レベル40では、内部での『オブジェクトへのアクセス』管理と、『外部インターフェースからのアクセス』管理を掛け合わせることで、抜け漏れのないセキュリティを実装することができます。