Actually, DoD is one of huge reference customers of our Directory Server, Java Card, Sun Ray & so on, but in addtion to them, I think they need user provisoning solutions...

eWeek.com: Security Audit Flags Thousands of Military User Accounts

U.S. Department of Defense have a An ongoing audit of user accounts in the armed services has uncovered an epidemic of expired and unauthorized accounts, including 3,000 in DISA (Defense Information Systems Agency), 1,500 in the U.S. Army's Korean operation, and thousands more spread throughout the military services.

The weak account management, in addition to slow patch distribution, could be exploited by hackers to gain access to military systems, and has prompted a wholesale review of the military's IT infrastructure, according to Lt. Gen. Charles Croom Jr. Security Audit Flags Thousands of Military User Accounts

---

以下ちょっと前の ITmedia からの記事の抜粋です。

ITmedia エンタープライズ: 米軍に多数の不適切なアカウント、セキュリティ監査で明らかに

　米軍が使用しているコンピュータアカウントのうち最大で20％が許可されていないか停止されたもので、これがハッカーや外国政府によるスパイ活動への悪用を招いていると、軍当局の幹部が発表した。

　軍が利用するユーザーアカウントの監査が行われているが、これにより、認証を得ていない期限切れのアカウントが大量にあることがわかった。国防情報システム局（Defense Information Security Administration：DISA）で3000件、陸軍韓国部隊で1500件、その他の機関で計数千件の不正アカウントが利用されているという。

　チャールズ・クルーム・ジュニア中将は、ずさんなアカウント管理とパッチ適用の遅れが、ハッカーの軍部システムに対する不正アクセスを招いており、軍部はITインフラの大幅な見直しを迫られていると述べた。

そしてそれに対する、トーマツの丸山先生のブログ・エントリです。コメント欄も併せてご覧下さい。このブログは情報セキュリティや監査に関してあらゆる側面から述べられているため、非常に勉強になります。

まるちゃんの情報セキュリティ気まぐれ日記
2006.01.16: 米軍 情報セキュリティ監査 多数の不要アカウントが存在？

　民間企業でも、このような問題は少なからずありますね。私の個人的経験ですが、米国企業より日本企業のほうがこのあたりの意識は低いので、米軍でもこういう問題があるのであれば、日本でも心配ですね。

　米国企業の例で言えば、人事異動の度に人事データとともにIDの休止、廃止の申請処理が行われることになっているだけでなく、システムの重要性に応じて定期的（1ヶ月、3ヶ月毎）にIDの棚卸がされていました。

　IDの棚卸は、システム運用をしている責任者から、システムオーナに対して、現在発行されているIDの一覧を送付し、システムオーナが不要なIDがないことを確認し、システム運用責任者に回答をしていました。

　つまり、発見的コントロールも利用して、不要なIDが存在しないように内部統制を整備・運用していたということです。

「発見的コントロール」、つまり複数のシステムに対するアカウントのライフサイクル管理の徹底とその監査、つまり ID プロビジョニング・ソリューション、もっと言ってしまうと Sun Java System Identity Manager のような製品の導入が必要なわけです。

因みに、米国国防総省は、Sun Java System Directory Server (400 万ユーザ) と Java Card、Sun Ray のリファレンス・カスタマーなのですが、それだけでは足りないので Identity Manager を導入すべきという観点から、これから US に飛んで売り込みにいこうかしら。

あ、オチが甘かったようなので、今日来てたオモシロ Referrer を一つ。

"Livedoor independent auditors" from Google Rossia

ロシアの投資家も今回の Livedoor の件を心配しているようです。