AS400 / IBM i は基幹業務を長く支える一方で、退職者ID、共用ID、FTP連携、保守会社ID、強い特殊権限が昔のまま残っていることがあります。障害が起きてから見るのではなく、定期点検としてセキュリティの棚卸しを行うことが大切です。
点検する観点
| 観点 | 確認すること | リスク |
|---|---|---|
| ユーザー | 退職者ID、休眠ID、共用ID | 誰が操作したか追えない |
| 権限 | 特殊権限、オブジェクト権限 | 本番データを過剰に触れる |
| FTP | 接続ユーザー、転送先、ログ | 外部連携の管理漏れ |
| 保守会社 | 作業ID、接続経路、利用記録 | 契約外作業や残存ID |
| 監査 | 変更記録、更新記録、承認 | 事故後に説明できない |
退職者IDと共用IDから始める
セキュリティ点検の入口として、退職者IDと共用IDは分かりやすい対象です。止められないIDがあるなら、用途、責任者、利用記録、代替策を決めます。昔からあるから残す、という状態が一番危険です。
FTPと外部連携も点検対象
AS400のセキュリティはサインオンだけではありません。FTP、CSV、EDI、IFS経由の外部連携も、誰がどのファイルをどこへ送るかを確認します。取引先連携は業務上必要でも、ログや責任者が曖昧だと監査で説明しにくくなります。
権限点検は AS400権限・監査チェックリスト、FTP連携は AS400 IFS・FTP・CSV連携トラブル、保守契約は AS400保守契約を見直す時のチェックリスト を参照してください。
Codexには秘密値を入れない
Codexで点検表を作る場合は、ユーザー名、接続先、IP、取引先名、認証情報を入れず、匿名化した観点だけを渡します。AIは棚卸しの型作りに使い、権限変更の判断は人が行います。
関連: AS400運用・障害対応の入口として、AS400月次点検チェックリスト｜バックアップ・権限・ジョブ・資料を毎月確認する も追加しました。
関連: AS400現場経験を補強する記事として、AS400現場でAIを使う時の禁止事項チェックリスト｜本番データ・顧客情報を入れない も追加しました。
関連: AS400マスタ・権限管理の実務記事として、AS400権限申請・承認フローの作り方｜過剰権限と退職者IDを増やさない も追加しました。
関連: AS400のログイン・接続・権限まわりの実務記事として、AS400ユーザーIDロック・パスワード期限切れの確認手順｜WRKUSRPRFで見るポイント も追加しました。
関連: AS400のセキュリティ・権限監査の実務記事として、AS400パスワードポリシー確認手順｜システム値・期限切れ・サインオン失敗を点検する も追加しました。
