RPAセキュリティ対策

RPAの導入が進むと、ITガバナンスに従ったロボットの運用が必要です。中でも注意すべきなのが、RPA導入に伴い強化すべきセキュリティ対策です。
RPAは、一般的なシステムを導入する場合のセキュリティ対策と何が違うのでしょうか？
このRPAのセキュリティを強化する対策として、テーマに分けて解説します。

RPAセキュリティの10大脅威

RPAのロボットは、ソフトウェアであるため、企業のセキュリティポリシーに従って、当然ながら業務用アプリに対して行なうのと同様なセキュリティ対策が必要となります。
それだけでなく、ロボットの特性を考慮に入れれば、通常の業務アプリとは異なった別のリスクも新たに見えてきます。このあたりが、セキュリティを強化しなければいけない重要なポイントです。

ロボットの権限管理方法

RPAのロボットは、人の代わりに業務を行なうため、その業務を遂行できるように業務アプリのIDやパスワードなどを、業務担当者と同じように使えるようになります。
つまり、様々なアプリの使用や、重要なデータのアクセス権をロボットが保持してしまうことになります。
ガバナンスも考慮してこのリスクに対処するためには、ソフトウェアロボットも人として管理することが得策です。
業務担当者と同じ権限でファイルサーバなどのリソースを使用するようにしておけば、その業務担当の一員として、従来の管理方法を踏襲できます。
基本的には、セキュリティ管理においてもソフトウェアロボットもその担当部署ごとにそれぞれアサインされ、組織の一人として統治されることが望ましいです。
しかしながら、たとえば営業部のロボットが見積り作成から、経理部の支払い集計まで１台のロボットで行なってしまう場合などは、ロボットを不正利用して、経理データにアクセスされてしまうなどのリスクが高まります。
業務連携の都合や、契約しているロボットのライセンス数の理由などで、やむなくロボットに特別な権限を与える必要がある場合には、運用管理者が使用するアドミニストレータ権限の特権ID管理と同様な、特権を管理する仕組みが必要です。

フェーズ毎のセキュリティ対策

RPAのセキュリティ対策は、すべて導入が済んでから考えればよいというものではありません。
導入前から、何をすべきか考慮し、それぞれの段階に応じたリスク対策が必要です。
下記は、3つの段階にすべきセキュリティの対応例です。

リスク回避の仕組み

RPA導入に伴うリスクを回避するために、以下の3点が推奨されます。