コンプライアンスとかいう難しいたけな話を楽しいたけな話にできるはうつー/Developers Summit 2022 Summer

Slide 1

Slide 1 text

Slide 2

Slide 2 text

© 2022 Works Human Intelligence Co., Ltd. Strictly Confidential 自己紹介株式会社 Works Human Intelligence Product Div. SRE Dept. Compliance Grp. おおしましゅんすけ大嶋俊祐新卒で入社し、社内教育に3年携わった後現在までSREで運用コンプライアンスを担当。主務とは別に社内コード改善タスクや、社内プライベートクラウド構築タスク社内託児施設の立ち上げタスク等にも参加。 2児の父。趣味は日曜プログラミングとTRPG。 2

Slide 3

Slide 3 text

© 2022 Works Human Intelligence Co., Ltd. Strictly Confidential 株式会社Works Human Intelligence 代表取締役最高経営責任者（CEO）安斎富太郎株式会社WHI Holdings 大手企業向け統合人事システム「COMPANYⓇ」の開発・販売・サポート、HR関連サービスの提供 100百万円〒107-6021 東京都港区赤坂1-12-32 アーク森ビル21階東京（本社）、大阪、名古屋、福岡、広島 2019年8月1日 1,730名（連結） ※2021年12月末時点 03-5575-5277 株式会社ワークスビジネスサービス株式会社セキスイビジネスアソシエイツ https://www.works-hi.co.jp 会社概要商号代表者親会社事業内容資本金本社事業所事業開始従業員数電話番号子会社 Webサイト：：：：：：：：：：：：大手企業・法人向け統合人事システムを開発・販売・サポートしています

Slide 4

Slide 4 text

© 2022 Works Human Intelligence Co., Ltd. Strictly Confidential 業種・業態を問わず、数千名～数万名規模の大手法人にご利用いただいています実績 ERP市場人事・給与業務分野シェアNo.1※ ※2020年度 ERP市場 - 人事・給与業務分野：ベンダー別売上金額シェア出典：ITR「ITR Market View：ERP市場2022」国内大手法人※ の（※従業員数3,000人以上） 3社に1社が WHIのHR製品を利用（当社調べ）年間継続契約率 98％※ ※2020年度金額ベース約600法人グループが 10年以上継続利用中日本の大手約1,200法人グループが導入保有する人事データ数は 450万人 ※ ※2020 年 12 月末時点の契約法人における COMPANY 人事の契約ライセンス数合計

Slide 5

Slide 5 text

Slide 6

Slide 6 text

© 2022 Works Human Intelligence Co., Ltd. Strictly Confidential 🍠コンプライアンスのイメージ🥔 コンプライアンスないし統制に対する社会一般のイメージ（n = 10 / 社外のコミュニティで話して出たコメント） ● 邪魔 ● 実運用を理解してない ● 面倒なルールばかり増やして開発・運用負荷上げてくる ● 怖い・憲兵 ● その割に実運用の役に立ってない ● 総じてイモくさい（お芋はおいしいやろがい） 6

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

© 2022 Works Human Intelligence Co., Ltd. Strictly Confidential 「作業できるよ部屋」からじゃないと作業不能「作業やっていいよ証明書」がないと「作業できるよ部屋」には入室不能「作業やっていいよ証明書」の発行には以下の制約が存在 ● 作業者のリクエストに基づいて責任者が発行 ● 本人が発行することは不可能 ● 作業が終わるまたは時間経過で入室の権利は失効作業できるよ部屋弊社の基本的なルール（詳細） 14 顧客環境執務室作業できるよ部屋運用運用オレオレ印籠は作れませんまた、印籠に寿命があります

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

© 2022 Works Human Intelligence Co., Ltd. Strictly Confidential 夜間に動くバッチプログラム等の検証をするために夜間まで動かしたいこともある起動停止時間の設定を行うたびに作業できるよ部屋にはいきたくないがしかし、作業やっていいよ証明書なしに設定変更されては困るよって「『作業できるよ部屋』からやってください」でも、たまにはさ 18 作業できるよ部屋運用

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Slide 23

Slide 23 text

© 2022 Works Human Intelligence Co., Ltd. Strictly Confidential 「『やっていいよ証明書』が無いと入れない部屋」でやっていいよ証明書の存在を担保して統制を確保するべきであるのではなく「『やっていいよ証明書』が無いと設定できない設定変更ツール」でやっていいよ証明書の存在を担保することで運用者の負担を軽減 ※起動停止の時間情報は『アクセスを限るべき情報』ではないので作業できるよ部屋で守る必要がないとはいえやっていいよ証明書は要ります 23 やっていいよ証明書の ID を入力してください！ 154649 保存

Slide 24

Slide 24 text

© 2022 Works Human Intelligence Co., Ltd. Strictly Confidential 内部的には 24 やっていいよ証明書の ID を入力してください！ 154649 保存やっていいよ証明書管理ツールスケジュールツール運用パブリッククラウドの起動停止カレンダー ①変更後のスケジュールとやっていいよ証明書IDを送信 ②やっていいよ証明書が有効なものなのか検証依頼 ③やっていいよ証明書の状態を返却 ④設定を反映

Slide 25

Slide 25 text

Slide 26

Slide 26 text

Slide 27

Slide 27 text

Slide 28

Slide 28 text

Slide 29

Slide 29 text

Slide 30

Slide 30 text

© 2022 Works Human Intelligence Co., Ltd. Strictly Confidential 環境アクセスの諸問題 30 問題内容対策データ漏洩データ漏えいを意図した攻撃者が顧客環境に接続ネットワークの分離と部屋アクセスの制限覗見アクセス中のデバイスを覗き見される部屋アクセスの制限無申告証明書で指定していない顧客環境にアクセスアクセス経路の制限環境アクセスに際して考慮する問題表（一部抜粋）

Slide 31

Slide 31 text

Slide 32

Slide 32 text

Slide 33

Slide 33 text

Slide 34

Slide 34 text

© 2022 Works Human Intelligence Co., Ltd. Strictly Confidential テレワークでも対策できればOKでは 34 問題内容対策データ漏洩データ漏えいを意図した攻撃者が顧客環境に接続覗見アクセス中のデバイスを覗き見される無申告証明書で指定していない顧客環境にアクセス環境アクセスに際して考慮する問題表（一部抜粋）顧客環境B 執務室顧客環境A 社外中継環境在宅で作業やっていいよ証明書顧客Aの作業やっていいよ証明書在宅で作業やっていいよ証明書運用悪党

Slide 35

Slide 35 text

© 2022 Works Human Intelligence Co., Ltd. Strictly Confidential テレワークでも対策できればOKでは 35 問題内容対策データ漏洩データ漏えいを意図した攻撃者が顧客環境に接続中継環境に接続するには承認と認証が必要覗見アクセス中のデバイスを覗き見される無申告証明書で指定していない顧客環境にアクセス環境アクセスに際して考慮する問題表（一部抜粋）顧客環境B 執務室顧客環境A 社外中継環境在宅で作業やっていいよ証明書顧客Aの作業やっていいよ証明書在宅で作業やっていいよ証明書運用悪党

Slide 36

Slide 36 text

© 2022 Works Human Intelligence Co., Ltd. Strictly Confidential テレワークでも対策できればOKでは 36 問題内容対策データ漏洩データ漏えいを意図した攻撃者が顧客環境に接続中継環境に接続するには証明書の発行等が必要覗見アクセス中のデバイスを覗き見される作業場所は事前に確認された上で証明書発行無申告証明書で指定していない顧客環境にアクセス環境アクセスに際して考慮する問題表（一部抜粋）顧客環境B 執務室顧客環境A 社外中継環境在宅で作業やっていいよ証明書顧客Aの作業やっていいよ証明書在宅で作業やっていいよ証明書運用悪党証明書発行時にはどこで作業しているのか確認

Slide 37

Slide 37 text

© 2022 Works Human Intelligence Co., Ltd. Strictly Confidential テレワークでも対策できればOKでは 37 問題内容対策データ漏洩データ漏えいを意図した攻撃者が顧客環境に接続中継環境に接続するには証明書の発行等が必要覗見アクセス中のデバイスを覗き見される作業場所は事前に確認された上で証明書発行無申告証明書で指定していない顧客環境にアクセス従来と同じ運用なため特に考慮は必要なし環境アクセスに際して考慮する問題表（一部抜粋）顧客環境B 執務室顧客環境A 社外中継環境在宅で作業やっていいよ証明書顧客Aの作業やっていいよ証明書在宅で作業やっていいよ証明書運用悪党

Slide 38

Slide 38 text

© 2022 Works Human Intelligence Co., Ltd. Strictly Confidential テレワークでも対策できればOKでは 38 問題内容対策データ漏洩データ漏えいを意図した攻撃者が顧客環境に接続中継環境に接続するには証明書の発行等が必要覗見アクセス中のデバイスを覗き見される作業場所は事前に確認された上で証明書発行無申告証明書で指定していない顧客環境にアクセス従来と同じ運用なため特に考慮は必要なし環境アクセスに際して考慮する問題表（一部抜粋）顧客環境B 執務室顧客環境A 社外中継環境在宅で作業やっていいよ証明書顧客Aの作業やっていいよ証明書在宅で作業やっていいよ証明書運用悪党

Slide 39

Slide 39 text

Slide 40

Slide 40 text

© 2022 Works Human Intelligence Co., Ltd. Strictly Confidential COVID-19 の流行を契機に弊社もテレワークを本格的に開始業務内容によってはできない：お客様環境にアクセスする場合どうするのお客様環境にアクセスする人もテレワークできるように整えた（とはいえ実装においては様々な人の助けを得ています）テレワークについて 40 自身が運用者なので実態がわかっていて関係者に説明が容易自身が統制者なのでインセンティブが改善に対して存在

Slide 41

Slide 41 text

© 2022 Works Human Intelligence Co., Ltd. Strictly Confidential COVID-19 の流行を契機に弊社もテレワークを本格的に開始業務内容によってはできない：お客様環境にアクセスする場合どうするのお客様環境にアクセスする人もテレワークできるように整えた（とはいえ実装においては様々な人の助けを得ています）テレワークについて 41 在宅でも統制維持でよろこばしいたけ在宅で作業できてよろこばしいたけ自身が運用者なので実態がわかっていて関係者に説明が容易自身が統制者なのでインセンティブが改善に対して存在

Slide 42

Slide 42 text

Slide 43

Slide 43 text

Slide 44

Slide 44 text

Slide 45

Slide 45 text

Slide 46

Slide 46 text

Slide 47

Slide 47 text

Slide 48

Slide 48 text

Slide 49

Slide 49 text

© 2022 Works Human Intelligence Co., Ltd. Strictly Confidential 不正検知の機能を利用例：パブリッククラウドのログ記録機能職務分掌の問題への対応 49 パブリッククラウドを操作パブリッククラウドの操作記録この操作記録の管理操作記録は定期的に自動チェックされ不審な動きがある場合はアラート発報操作記録保存用の保存領域はアカウント管理者であっても一定期間削除・編集できない設定（ただただ追加されていくのみ）操作記録保存専用のパブリッククラウドアカウントを用意

Slide 50

Slide 50 text

Slide 51

Slide 51 text

Slide 52

Slide 52 text

© 2022 Works Human Intelligence Co., Ltd. Strictly Confidential いち利用者の立場に留める例：パブリッククラウドの権限管理職務分掌の問題への対応 52 パブリッククラウドの操作記録 L 運用 L 運用 L 運用パブリッククラウドアカウント運用チームの各リーダーは管理権限を保持統制チームのリーダーは管理権限がない（一般運用者の権限のみ保持）

Slide 53

Slide 53 text

Slide 54

Slide 54 text

Slide 55

Slide 55 text

Slide 56

Slide 56 text

Slide 57

Slide 57 text

Slide 58

Slide 58 text

Slide 59

Slide 59 text

Slide 60

Slide 60 text

Slide 61

Slide 61 text

Slide 62

Slide 62 text

Slide 63

Slide 63 text

Slide 64

Slide 64 text

© 2022 Works Human Intelligence Co., Ltd. Strictly Confidential 運用チームから運用を大きく外だしするために運用チームが持っていたタスクについて各チームから当番を出して対応人数は控えめ！運用チームが2人いたりすると結局運用チームの人だけで解決してしまう製品が高度化した場合への対応 64 担当者1 担当者2 月曜運用チームのAさん開発チームのBさん火曜運用チームのCさん統制チームのDさん水曜運用チームのEさん開発チームのFさん木曜運用チームのGさん統制チームのHさん金曜運用チームのAさん開発チームのIさん対応お当番表

Slide 65

Slide 65 text

Slide 66

Slide 66 text

Slide 67

Slide 67 text

Slide 68

Slide 68 text

Slide 69

Slide 69 text

Slide 70

Slide 70 text

© 2022 Works Human Intelligence Co., Ltd. Strictly Confidential 統制はよく分からないし、トチると始末書ものかもしれない ⇒何かあっても隠したい運用者 VS 隠されたら何もかもが上手くいかなくなる統制担当者にならないために統制担当者も運用担当者として運用業務に携わる + 統制目的を全ての運用者に伝える ● ルールの説明などに際してはルールの意図を共有 ● 新人研修に際してサービス・統制の全体像を共有コンプラってよくわかんないじゃん 70

Slide 71

Slide 71 text

Slide 72

Slide 72 text

© 2022 Works Human Intelligence Co., Ltd. Strictly Confidential ● 運用担当者が統制担当者を兼任するメリット ○ 互いにコミュニケーションを取りやすくする ○ 運用しにくいルールを変に増やさずに統制を改善 ○ 統制上の穴を作ることなく運用を改善 ● 「ただし……」への対応 ○ 統制担当者はちょっと権限を弱めにして、職務分掌 ○ 運用が広く・深くなっても対応するために横断での会議体・当番 ● 運用担当者の教育で統制精神を注入 ○ 統制に対する「よくわからない」の除去 ○ 統制を意識して運用・開発ができる ● 運用や開発は楽しいたけ同様に統制も楽しいたけまとめ 72