イメージ

RPAの導入が進むと、ITガバナンスに従ったロボットの運用が必要です。中でも注意すべきなのが、RPA導入に伴い強化すべきセキュリティ対策です。
RPAは、一般的なシステムを導入する場合のセキュリティ対策と何が違うのでしょうか?
このRPAのセキュリティを強化する対策として、テーマに分けて解説します。



RPAセキュリティの10大脅威

 
RPAのロボットは、ソフトウェアであるため、企業のセキュリティポリシーに従って、当然ながら業務用アプリに対して行なうのと同様なセキュリティ対策が必要となります。
それだけでなく、ロボットの特性を考慮に入れれば、通常の業務アプリとは異なった別のリスクも新たに見えてきます。このあたりが、セキュリティを強化しなければいけない重要なポイントです。
RPAセキュリティの10大脅威

① ロボットに権限を与えることのリスク

RPAのロボットは、人が行なっていた操作を代行するので、その業務で使用するデータリソースへのアクセス権や、業務アプリを使用する権限を与えなければ、期待通りに動作しません。そのため、業務担当者と同等以上の権限をロボットに与える必要があります。
これはよく知らない他人に重要データのアクセス権を与えるのと同じことなので、リスクを覚悟してその使用状況を見張っておく必要があります。
部門をまたがって業務をさせる場合など、業務担当者以上の権限が付加される場合は特に危険です。

② ロボットが誤作動を起こすリスク

RPAのロボットは、誤作動の危険があります。ソフトウェアなので、コーディングミスや、環境に依存するテスト検証不足など様々な要因が関係します。
処理がループしてしまう場合などは、CPUやI/O負荷の増大で他の使用者や業務にも多大な迷惑をかける可能性があります。
例外データをインプットしてしまった場合は、それに気づかず普段と違った処理をしてしまうことも想定できます。

③ ロボットが異常停止するリスク

RPAのロボットは、使用しているアプリケーションの画面が変更になっただけでも、止まってしまう可能性があります。
エラーハンドリングのためのコーディングに漏れがあると、ソフトウェアロボットは、どのように動くか指示がないのと同じになり止まってしまいます。
想定外のデータが入ってきた場合でも、処理手順に指定がなければ、そこで停止してしまうこともありえます。

④ ロボットが乗っ取られるリスク

RPAのロボットは、ソフトウェアであるため、標的型攻撃の標的にされるリスクがあります。
Webアプリを取り扱う業務などインターネット接続している場合は、バックドアが設置されて情報漏洩してしまう等のリスクも考えられます。
ロボット作成時に、暗号化せすそのままアプリケーションのIDやパスワードをソースプログラムに残してしてしまっている場合などは、特に危険です。

⑤ ロボットが不正使用されることのリスク

外部の悪意のある第三者による不正アクセスも危険ですが、内部犯行のリスクもあります。
ロボットを利用して、他部門の重要データに不正アクセスしたり、人がいない夜間にデータをコピーしたりすることが想定されます。
複数業務を担当していたり、複数の人から作成できたロボットが使用できるようになってしまっていると、このリスクが高まります。

⑥ ロボットの想定外の対応が出来ないリスク

RPAのロボットは、あらかじめ指示した内容以外の仕事は行えません。
エラーハンドリングなど、事前に設定した対応は可能ですが、想定していなかった事象に遭遇した場合、異常終了したり、最悪誤作動を起こしデータを破壊する恐れもあります。

⑦ セキュリティポリシーを理解していないリスク

現時点でのRPAのロボットは、決して自らセキュリティポリシーを理解できるわけではありません。
そのため、人の代行だからといってセキュリティ教育を受けた人と同様に、自らセキュリティ事故を起こさないように考えて行動するわけではありません。
よって、これぐらい常識と思われることにも配慮しないと、セキュリティ事故を起こす危険性があります。

⑧ 自律判断ができないリスク

将来自律型AIを搭載したRPAのロボットが登場すればよいのですが、現時点では自ら考え臨機応変に対応することができません。そのため、人であれば無意識に判断して対処しているアプリの画面レイアウトの変更や、文字化けデータの削除など、あらかじめ想定して対応するロジックを組み入れておかない限り、自らの意思で対処することはできません。

⑨ リカバリーが複雑になるリスク

どんな業務でもトラブルはつきものです。ロボットが異常終了した場合、その業務を再実行するなどのリカバリーが必要です。リカバリーを意識したステップ毎のログを残さない限り、どこまで戻って、どのように対処すべきか、全くわからなくなってしまうリスクがあります。
人が実行していれば、その人に進捗状況を確認すればよいですが、停止したロボットに事情徴収はできません。

⑩ 管理者不在のロボットが発生するリスク

ロボットの作成者が異動するなど、いわゆる「野良ロボット」といわれる管理者不在のロボットが存在してしまうリスクがあります。
容易に作成できるRPAツールでは、作成時にコピーしたテスト用ロボットなど、そのまま放置されてしまう場合があります。管理されていないロボットを社内に置いておくことは、不法侵入者を入室させてしまっているぐらい危険です。


ロボットの権限管理方法

 
RPAのロボットは、人の代わりに業務を行なうため、その業務を遂行できるように業務アプリのIDやパスワードなどを、業務担当者と同じように使えるようになります。
つまり、様々なアプリの使用や、重要なデータのアクセス権をロボットが保持してしまうことになります。
pic-2
ガバナンスも考慮してこのリスクに対処するためには、ソフトウェアロボットも人として管理することが得策です。
業務担当者と同じ権限でファイルサーバなどのリソースを使用するようにしておけば、その業務担当の一員として、従来の管理方法を踏襲できます。
基本的には、セキュリティ管理においてもソフトウェアロボットもその担当部署ごとにそれぞれアサインされ、組織の一人として統治されることが望ましいです。
しかしながら、たとえば営業部のロボットが見積り作成から、経理部の支払い集計まで1台のロボットで行なってしまう場合などは、ロボットを不正利用して、経理データにアクセスされてしまうなどのリスクが高まります。
業務連携の都合や、契約しているロボットのライセンス数の理由などで、やむなくロボットに特別な権限を与える必要がある場合には、運用管理者が使用するアドミニストレータ権限の特権ID管理と同様な、特権を管理する仕組みが必要です。


フェーズ毎のセキュリティ対策

 
RPAのセキュリティ対策は、すべて導入が済んでから考えればよいというものではありません。
導入前から、何をすべきか考慮し、それぞれの段階に応じたリスク対策が必要です。
下記は、3つの段階にすべきセキュリティの対応例です。

① 導入フェーズ

・暗号化されたハードディスクなどのセキュアな場所へのインストールする
・ロボットを使用できる人を制限する
・ロボットへ与えるアクセス権限を業務ごとに制限する
・ロボットが使用できるアプリケーションを制限する
・ロボットを稼働できるPC等の使用環境の範囲を限定する
・作成するロボットの管理者とそれぞれの役割を決める
・ロボットの操作履歴を記録する環境を整える
・ロボットが使用するリソースのログを取得する

② 開発フェーズ

・ID、パスワードをソースプログラムに記述しない
・エラーハンドリングのロジックを組み込む
・ソースプログラムのバージョン管理をする
・業務プロセス通りの稼働をテスト検証する
・業務秘密のテストデータはマスキング処理する
・中間ワークデータは終了後に消去するロジックにする
・緊急時に割り込みができる仕様にする
・エラー時にアラームが通知されるようにする
・ソースプログラムに、チェックポイントを設ける
・ポイント毎にアプリケーションバックアップを取得する
・ソースプログラムを、セキュアな場所で管理する
・リカバリー方法を確定する

③ 運用フェーズ

・ロボットの実行監視、エラー監視をして行動を制御する
・運用時の担当と、役割分担を決める
・ロボットと関連システムを定期的にバックアップする
・PCの操作ログ、アクセスログを取得して統合管理する
・ロボットのツールのバージョンを最新に更新する
・セキュリティポリシー合わせ運用する
・定期的なリスク分析をして、セキュリティポリシーを見直す
・BCPに基づき、緊急時の連絡体制と対応フローを作成する
・管理対象外のロボットの定期的な存在チェックをする

リスク回避の仕組み

 
RPA導入に伴うリスクを回避するために、以下の3点が推奨されます。

① リスク回避処理を組み込む

RPAのロボット開発では、パッケージ化されたアプリケーションの導入とは違い、それぞれのロボットの行動が異なるため、新たにシステム開発する場合と同様に、当初からセキュリティ面を考慮したロボットをデザインし、エラーハンドリングなどを組み込んで作成することが必要です。
多くのRPAのロボットは、指示した通りにしか動きません。そのため、自ら判断してエラー対処などはできす、少しでもイレギュラーな状態に遭遇すると、異常停止したり誤作動を起こします。
ロボット開発時に、自動化したい業務のあらゆるリスクを想定して洗い出し、可能な限りルール化してエラーが発生した時の対処等を組み入れます。さらに、誤作動や停止時の原因究明のためなど、適宜どのポイントでどのようなアプリケーションログを残すのかを定め、ツールで標準に出力されるログとは別にこちらも必要なログが記録されるようにプログラムに組み込みます。
緊急時にロボットを安全に停止できる仕組みも取り込む必要があります。
そして、そのプログラムがセキュリティポリシーを遵守しているかどうか可能な限りあらゆるケースでテストを重ね、検証が必要です。その上で発生する問題は、適宜追加修正が加えられ厳密に品質保証された後、本番適用されます。

② 統合ログ管理

エラー時の原因分析はもちろん、負荷分析、傾向分析、予兆管理など、多くの情報をもとにロボットにも日々の健康管理が必要です。
そのためには、RPAツールが標準で取得しているログだけでなく、PC内の操作ログや、リソース側のアクセスログなどが必要になります。
*詳しくは、RPAの統合ログ管理をご参照ください。

③ RPA管理用ロボット

万全なセキュリティ対策を目指すと、ロボットが乗っ取られていないか、不正使用されていないか、「野良ロボット」が暴れていないかなど、ロボットを常に監視して、管理する必要があります。
RPAの統合ログ管理により、インシデントの通知や分析などは可能ですが、その対処は通常人の介入が必要になります。
ロボットを管理するために、人に負荷がかかってしまっては本末転倒です。そこで、ロボットの管理もロボットに行わせることが効率的です。
こうしたロボット管理のためのRPAは、運用自動化に多くの実績があり、プログラミングで複雑な処理にも対処できるROBOWAREを活用すれば比較的容易に実現できます。


【関連プロダクト】

roboware

人の操作を完全に自動化 - 業務自動化の切り札

ROBOWARE図

人の作業を代行するソフトウェアロボットです。
主にPC操作のUI部分をアナライザーを使って、APIで簡単に自動化します。
ロボットへの指示は、Ruby、PHP、Java、C#で開発できるため、あらゆるアプリケーションやAI、IoTなどと連携が可能です。
RPA2.0の開発の要となるソフトウェアで、様々なアプリケーションやツールとの連携や、ロボット間の連携が可能です。
PC操作を自動化する操作記録型のQuickROBOオプションもあります。


【RPA関連ページ】
RPA2.0 業務プロセス自働化
OCR連携RPAソリューション
RPAセキュリティ対策ソリューション
RPAセキュリティ-統合ログ管理ソリューション
2019.02.07RPAセミナー開催報告


RPA
RPA
ソフトウェアロボットの作り方
AI搭載を見据えたRPAの実装方法とは?
RPA2.0を加速するソフトウェアロボット開発
RPAの盲点ITガバナンスの重要性
無人運転を実現するRPAのシステム開発
RPA2.0 実現に必要な4つの要素
セキュリテイ強化したRPAのロボット開発
RPAが必要とするログ管理とは?


▼RPAに関するご相談は、お気軽にお問合せください RPA概説お問合せ
*現在、お問合せフォームより、RPA概説(総集編①~⑥)の印刷した冊子のプレゼントを受付ております。(在庫が無くなり次第終了いたします)