監査証跡の保存とリソース省力化を同時に達成

Pulte Mortgage社

Pulte Mortgage社はTripwire Enterpriseを利用して強固なIT基盤の構築に成功

Pulte Mortgage社は33年間に渡って住宅購入希望者の夢を現実に変える手助けをしています。1972年以来、327,000人以上がPulte Mortgage社のサービスを利用しています。Pulte Mortgage社はNYSE上場、Fortune 150企業であるPulte Homes社の完全子会社です。Pulte Mortgage社はPulte Homeから独立した独自のITシステムを管理しています。

課題

Pulte Mortgage社は約2年前にTripwire for Serversを使用して45の企業のサーバの監視によるステータス・設定変更の検知を開始しました。Pulte Mortgage社の情報セキュリティチームはTripwire for Serversによるサーバ設定変更の検知パフォーマンスに満足していましたが、 新しくリリースされたTripwire Enterpriseを利用することで他の目的も達成できることに気付きました。2005年にTripwire Enterpriseへのアップグレードを行った際に、プロジェクトリーダーを務めたのは、セキュリティエンジニアのIan Wolff氏でした。

情報セキュリティグループではPulte Mortgage社のSOX法対策を任されていましたが、Tripwire Enterpriseを利用することによって変更管理の証明、全ての変更が監査可能な状態にあること、全ての不正な変更を調査することを要求する監査人の要求を満たすことができることにすぐに気がつきました。Pulte Mortgage社はまず金融部門のサーバを監視してSOX法へのコンプライアンスが保たれているか確認することから始めました。来年には Tripwire Enterpriseを自社環境内の全サーバに導入する計画を立てています。

ベストプラクティス

変更管理システムにおけるベストプラクティスの一貫として、Pulte Mortgage社は全ての変更を自社内の変更諮問委員会に通しています。変更諮問委員会は変更を保守期間中にスケジュールします。Tripwire Enterpriseでは不審な変更を監視し、このような不正な変更があった場合、注釈が作成され情報セキュリティグループが調査します。

さらに、Pulte Mortgage社では自社の変更ポリシーに基づいて事前に監査チーム用の文書及びTripwireベースの基準を作成しています。Wolff氏は監査人がこのような文書を要求してくることを予測しており、次のように語っています。“我々は、変更管理ポリシー及びプロセスに関する証拠がもうすぐ必要になることを把握しています。このために、我々は先を見越して行動し、監査人に当社プロセスに関する詳細な情報を提供しようとしています。”

利点

Tripwire Enterpriseを導入するまではPulte Mortgage社は設定変更の検証用の公式な手順も変更の成功率を追跡するための方策も持ち合わせていませんでした。

しかしながら、情報セキュリティグループはPulte社がTripwire Enterpriseを導入してから、アップタイムが増加し、その結果として緊急の変更が減少し同時に変更そのものも削減することができた、と報告しています。

Pulte Mortgage社は導入時にはTripwire社のプロフェッショナルなサービスを利用しました。彼らのおかげでたった1週間でTripwire Enterpriseをインストールすることが出来た上に、Pulte社の情報セキュリティチームと協力して変更管理システム及びTripwireルールの定義まで行ってくれました。 Tripwireのシステムをカスタマイズして誤った“ノイズ”を避ける機能は高く評価されました。“非常にきめ細かいルールの定義が行われたため、変更の検証に費やす時間は1日たった15分です。また、Tripwireのインターフェースとレポートは非常に使用・検証が容易であり、このことも時間を節約する上で助かっています。”Wolff氏は語ります。

次のステップ

次のステップに関して、Wolff氏は次のように語ります“承認した変更をより簡単に修正するために、Tripwire Enterpriseを変更チケッティングシステムで使用することを検討しています。2つのシステムを統合して、不審な変更の検知およびその修正を行うことがより簡単になると期待しています。” また、Pulte Mortgage社は不正な変更によってログイン失敗、アカウントロックアウト、セキュリティ・コンプライアンスポリシー違反、アプリケーション障害などの問題が発生する可能性があるネットワークレベルで、Tripwireを独立した検知ツールとして活用してディレクトリサービス及びネットワークデバイスの監査を行っています。

• その他の事例をみる