ActiveDirectory構築に納得してもらうには

質問

会社として情報セキュリティの構築（まずはルール作り）に動き始めました。
背景として、当社は孫請に当たるのですが、取引先がＩＳＭＳに準拠した
情報セキュリティの構築を求められ、それが、当社もしなくてはならなく
なるということで、監査にこられました。
取引先の担当者は、ActiveDirectoryの構築が情報セキュリティを構築する
上で重要になってくるというのは、個人レベルで教えてくれるので、調べたら
必要性は十分理解でき納得出来ます。
上司にActiveDirecotry構築に関して話をしてみたら、理解してくれません。
説明不足が一番だとは思いますが、今、ActiveDirecotryが構築出来て
ないけど、問題なく使えているというのです。
パスワードの運用が煩雑から簡素化できる。
ファイルやフォルダのアクセス権が統一できる。
など幾つもメリットを出して、取引先から要望されているのをクリアするには
必要ともいいましたが、ActiveDirectory構築に関しては、上司には
話が届いていないので必要性が分かってくれません。
取引先から正式に要望出るまで、まった方がいいでしょうか？
ActiveDirectory導入の必要性を感じたのはどういった時でしょうか？

回答No.3

winarrow07 · ベストアンサー

情報セキュリティの構築、まずはルール作りから始めるということですので会社としてのポリシーが決まるのだと思います。
例えば、パスワードは何文字以上とかリムーバブルディスクの使用禁止とかユーザーアカウントの権限はPowerUsersとか共有フォルダのアクセス権はどうだとか。
その後それらを設定し管理していくことになると思います。
それが、現状のままですとPCごとの個別設定・個別管理になります。またユーザー管理等についても同じです。PC2，3台なら管理は可能でしょうが台数が多くなればはっきりいって管理は行き届かないでしょうし、労力もハンパないです。
ActiveDirectoryを導入して一元管理することで余計な労力やリスクを排除できると思います。またセキュリティポリシーを作成し、管理・運用できていることを証明しやすいと思います。監査する側もその辺の知識はあるでしょうから。
ActiveDirectoryが構築出来てないけど、問題なく使えているとの話があったとのことですが情報セキュリティや管理の面からみて果たして本当に「問題なく」使えてるんでしょうか？ただ単に使えてるってだけでしょう。「使えているが問題(課題)がある」っていうことになるのでは。今後は「ただ使えるだけ」ではダメなんですってことが伝わってないのでは？

回答No.4

ani00

こんちわ
何業だかわかりませんが、まず、経験上４０後半から５０台で
ADをキチンと理解できる人は非常に少ないです。
まず、理解しないでしょう。
情報漏えいの怖さを言ってもまず理解できません。
また、その辺は基本的に付け焼刃だとどうしようもありません。
下手に強く出るとまずいので、静観が一番安全かも。
個人的には、あると、セキュリティ上の利点ときちんと理解している
人間には、受けが良いです。仕事ももらえるし。
頑張って下さい

回答No.2

Microstar

ActiveDirectory構築は部署、個人の情報セキュリティ面で有効であると説明した方がよいのでは？こちらの場合はその理由でした。
ＳＯＨＯ、零細レベルの会社は必要感を感じないですが、小企業になるとメリットが見えてくるのでは？
もし導入していない場合は、どういうトラブルがおきる可能性があるか、その責任はだれが取るかですね。

回答No.1

pon2pon2

「ActiveDirectory」自体がわかっていないかも。
「ドメインコントローラでの集中管理に変更したい」って言えば、
実は通る可能性もあったり。

ま、パスワードのポリシーやら、共有資源の管理やらを
各PCごとにやっていたら、、
「うちは各個人の裁量に任せてますので」って公言しているようなもので、
「管理されていないですね」って言われても仕方ないですけどね。

でも、実際のところ、予算が通さないといけないし、、
各部署との調整作業やら面倒なことも発生するので、
なかなか一部所単独の判断で導入は決められないかと。

なので、いきなりシステム導入の検討をせずに、

今後は、何が出来ている必要があり、
現在、満たしているのはどの項目で、
これから満たさないといけないのはどの項目かって
一覧で洗い出し、どうすればその項目を満たすことが
できるようになるのかを一覧表とレポートにまとめて、
提出し、上司判断を待つべきかと。

その結果で、導入見送りになったなら、それはそれで仕方ないのでは。
そういう判断を上が下したってことで。
下の立場は判断することでなく、上が判断できるように
わかりやすく簡潔な客観的な資料を作成し、提出報告することかと。