保管庫の設計の失敗は、使い始めてすぐには表に出ません。退職者が出たとき、監査で説明を求められたとき、情報が漏れたときに、変えるべきパスワードの範囲が絞れない、外したはずの人がまだ見えている、という形で現れます。その時点で中身は既に相手の端末に渡っていて、設計を直しても取り戻せません。このページでは、導入の初期に作られやすい7つの型と、それぞれの代わりにとる形を説明します。目次をそのまま点検の一覧として使えます。望ましい切り方は保管庫の分割パターンで扱います。
全員向けの保管庫に集める
最初に全てを1つの保管庫に入れると、配る手間がかかりません。その代わり、誰か1人が退職するたびに、保管庫の中身全てが変更の対象になります。読み取りを与えた相手からは、暗号のレベルでは読み取り権を取り上げられないためです。情報が漏れたときの範囲も全社になります。
アカウントに最初からある全員向けの保管庫には、全員に見えて困らないものだけを入れます。それ以外は用途を絞った保管庫に分け、必要な人とグループにだけ渡してください。
読み取りを与えてからパーミッションで絞る
パスワードを表示してコピーやアイテムのエクスポートを外せば見せずに済む、という設計です。これらはアプリが画面上で制限しているだけで、中身は相手の端末に届いています。監査で閲覧を制限していると説明すると、根拠が崩れます。
見せてはいけない人がいるものは、別の保管庫に出してください。所有者から隠す前提の設計も、同じ種類の誤りです。所有者は全ての共有保管庫を管理できます。仕組みは権限が強制される仕組みで扱います。
個人への直接の付与を常態にする
保管庫ごとに人を1人ずつ足していく運用です。同じ人に個人とグループの両方から与えると、強い方が効きます。グループから外しても個人の付与が残り、外したはずの人がまだ見えている状態になります。誰に何を渡したかが画面を1つずつ開かないと分からず、棚卸しが終わりません。
アクセスはグループを通じて与えます。個人への直接の付与は一時的な作業に限り、外す日を決めてから与えてください。
誰でも保管庫を作れるまま始める
既定ではチームメンバーが保管庫の作成を持っています。そのまま始めると、名前の付け方がばらばらな保管庫が増えます。作った人には保管庫の管理が付き、作成画面で管理者を外せば、情報システム部門の手が届かない保管庫もできます。そうして作られた保管庫は、作った人が退職すると所有者しか管理できなくなります。
利用者が保管庫を作り始める前に、チームメンバーから保管庫の作成を外し、部門の責任者のグループに付けてください。
【運用のポイント】 既に保管庫が増えてしまった場合は、全ての保管庫について責任者を1人ずつ決めるところから始めます。責任者が見つからない保管庫は廃止の候補です。進め方は保管庫とアクセス権の棚卸しで扱います。
業務のクレデンシャルを従業員保管庫に置く
本人しか使っていないから、という理由で置かれがちです。従業員保管庫は本人以外に渡せず、サービスアカウントからも読めません。退職でアカウントを削除すると、中のアイテムは戻りません。急な退職で取り出すには、復旧の操作と本人のメールの受信箱の両方が要ります。
後任が使い続けるもの、他の人も使うもの、会社名義のものは、最初から共有保管庫に入れてください。置き場所の基準は従業員保管庫の位置付けで扱います。
コピーで配る
同じアイテムを、必要な部門の保管庫にそれぞれ複製する配り方です。複製の片方を編集しても、もう片方は変わりません。パスワードを変えた後に古いコピーが残り、どれが正しいか分からなくなります。Watchtowerが重複として拾うのは同じ保管庫の中だけなので、保管庫をまたいだコピーは検出されません。誰がそのクレデンシャルに届くかも、全てのコピーを足し合わせないと分かりません。
アイテムは1つの保管庫に置き、そこへのアクセスを渡します。部門をまたいで使うものは、共通の保管庫を1つ作ってください。
後から切り直せばいいと考える
保管庫の間でアイテムを移すと、移動先へのコピーと移動元からの削除が行われます。移動元には削除済みのアイテムとして30日間残り、その間は見ることも元に戻すこともできます。広い保管庫から機密のアイテムを移しただけでは、広い保管庫の側から消えたことになりません。自動化についても、サービスアカウントが読める保管庫は後から足せないため、値の置き場所を変えると作り直しになります。
【注意】 切り直すときは、移動、移動元での完全な削除、パスワードの変更の3つを1組で行ってください。削除済みのアイテムは、アプリのサイドバーの
アーカイブの下にある場所から完全に削除できます。移動元の保管庫にアクセスできた人は、中身を既に見ている可能性があります。そのため、完全に削除した後もパスワードの変更は省けません。