MENU

for Ideal Design

RPA

RPA:WinActorとBluePrismを比較してみた④セキュリティ(暗号化/マスク)の違い

RPA WinActor 業務改善 生産性向上 ビジネスデザイン データでビジネスをもっと面白く エンジニア

WinActor(Ver.7.1.0)とBluePrism(Ver.6.9.0)の比較4回目です。
今回は、セキュリティという観点から両者を比較します。

過去の記事はこちら!
RPA:WinActorとBluePrismを比較してみた①ロボ作成方法の違い
RPA:WinActorとBluePrismを比較してみた②デバッグ機能の違い
RPA:WinActorとBluePrismを比較してみた③ログ機能の違い

現在RPAツールご利用の方、ご検討中の方皆様に参考になれば幸いです。

比較結果は下記のようになります。

セキュリティ機能の比較

ログインID/パスワードを入力させたり、画像を認識させてマッチング箇所をクリックさせたりする等、ロボットにさせたいことは多岐にわたると思います。

今回のテーマは、ロボット(シナリオ)内に認証情報や個人情報等を含めずに作成する方法とロボット作成者の認証方法、ロボット実行時のセキュリティについてです。

比較結果から Blue Prismがいかにセキュリティに力を入れて開発されたかを感じることができます。
これは、Blue Prismの誕生前後に 銀行という 特殊な業界のRPAを作成した経験により成し得たものと感じます。
WinActorは セキュリティ面に関して Blue Prismほど強くはありません。
このためユーザー側の使用方法や環境にゆだねられる部分が多いですが、手軽にロボットを作成することができそうです。

では、パスワードに「*****」、個人情報等が含まれる画像部分に黒塗りする等のマスク機能、ユーザ認証機能、暗号化機能と順に見ていきましょう。

1.WinActor

まずはWinActorの機能から見ていきます。

1-1.変数のマスク「*****」

WinActorでは、「変数一覧」画面の「マスク」にチェックを付けると、変数値にマスクをかけることができます。パスワード等で使います。
何文字入力しても「*****」と表記されます。

変数のマスク「*****」

1-2.画像のマスク(黒塗り)

WinActorには、画像のマッチングを行い、指定箇所でマウス操作等を行うノードに「画像マッチング」「輪郭マッチング」があります。
画像をシナリオ内に取り込むため、マスク(黒塗り)する機能が付いています。

画像のマスク(黒塗り)

「イメージ」画面は、ノードを記録した時の画面キャプチャを管理するものです。この画面にもマスク機能があります。

1-2-2WinActorイメージマスク

1-3.シナリオ権限の設定

WinActorでは、作成したシナリオファイルにシナリオパスワードを設定することで、編集、閲覧、実行の操作を制限できます。

シナリオ権限の設定

1-4.データの暗号化

変数値を暗号化できます。
例えばファイル保存時に暗号化し、シナリオ内で処理する際に復号して利用する、といった使い方が可能です。

データの暗号化

2.Blue Prism

続いて、Blue Prismを見ていきましょう。

2-1.パスワード型のデータ

WinActorの「変数のマスク」に該当する機能です。
入力文字数分「●」が付きます。

パスワード型のデータ

2-2.画像のマスク(黒塗り)

WinActorのようにマスクするボタン等は用意されていません。
手動でマスクした画像を作成後、インポートする必要があります。

画像のマスク(黒塗り)

アプリケーションモデラーを起動し、「スクリーンショット」属性をクリックすることで出てくる「インポート」ボタンをクリックし、マスク済みの画像を取り込みます。

2-2-2BluePrism領域エディター

2-3.ユーザ認証情報管理

Blue Prismでは 対象アプリケーションの認証情報、Blue Prismのユーザ情報を それぞれ一元的に管理することができます。

2-3-1.対象アプリケーションの認証情報

セキュリティ⇒認証情報で、ユーザ名/パスワードを管理できます。

対象アプリケーションの認証情報

プロセスから下記のように認証情報を取得して利用します。プロセスを作成するユーザにも認証情報を秘匿したままロボットを作成できます。

2-3-2BluePrism認証情報

また、アプリケーションの認証情報がどのプロセスで使われているのか参照する機能もあります。

2-3-3BluePrism認証情報_参照を探す

逆に「依存関係」を使うと、プロセスからも認証情報を参照できます。

2-3-4BluePrism認証情報_高度な検索

※暗号化スキーム(暗号化方式)を設定しておく必要があります。
指定された暗号化方式がサーバで利用可能になっている必要があり、Blue Prismサーバまたはデータベースのいずれかに有効なキーが必要です。

2-4-1BluePrism暗号化方式new

2-3-2.Blue Prismのユーザの管理

ロボット作成ユーザ等、ユーザの権限を細かく設定できます。
ユーザID、パスワードの有効期限を指定して登録します。

” alt=”2-3-5BluePrismユーザの役割権限” width=”620″ height=”384″ data-src=”https://assets.st-note.com/production/uploads/images/37155851/picture_pc_dfe5477507ee222886d2914f54152d21.png?width=800″ data-modal=”true” />

パスワードのルール設定等も行えます。

Blue Prismのユーザの管理

2-3-3.その他ユーザ認証について

Blue PrismとActive Directory*を統合して シングルサインオン(SSO)*を利用できます。
また、Blue Prismが提供するLogin Agent機能を利用すると、ランタイムリソース*上のユーザのログイン/ログアウトを自動で行うことができます。

Active Directory:Windowsパソコンの機能やユーザ情報を管理するためにWindows Serverに設けられた機能。Windowsシステムで認証を行います。
シングルサインオン(SSO):1度のユーザ認証で、複数のWebサービスやアプリケーションにログインできる仕組み。
ランタイムリソース:Blue Prismをインストールした物理マシン(または仮想マシン)。Blue Prismの実行環境のこと。

2-4.データの暗号化

■ワークキューの暗号化

ワークキュー*の情報はBlue Prismのデータベースサーバに書き込まれます。
ワークキューのアイテムを削除しない限りデータベース上にその情報が保持されるので、個人情報などのデータを書き込む場合にはワークキューを暗号化する必要があります。

ワークキュー:ジョブリストのようなもの。例えば注文情報1件1件がキューのアイテムで、アイテムがなくなるまで処理を繰り返すようにプロセス(ロボット)を作成します。

ワークキューの暗号化

■データアイテム/コレクションの暗号化

プロセス内でのデータアイテム(テキスト)の暗号化/復号は、下記のように行います。

” alt=”2-4-3BluePrismテキストの暗号化復号” width=”620″ height=”244″ data-src=”https://assets.st-note.com/production/uploads/images/37530120/picture_pc_d08c14ed9275f479a46ffea6eea21b2b.png?width=800″ data-modal=”true” />

他のデータ型の暗号化/復号も もちろん可能です。

データアイテム/コレクションの暗号化

※暗号化スキーム(暗号化方式)を設定しておく必要があります。
指定された暗号化方式がサーバで利用可能になっている必要があり、Blue Prismサーバまたはデータベースのいずれかに有効なキーが必要です。

2-4-1BluePrism暗号化方式new

2-5.セキュリティ規格準拠

Blue Prismは、企業のセキュアなソフトウェア開発プロセスを検証するVeracode Level5*の認定を受けています。
また、PCI業界データセキュリティ規格(PCI DSS)*、米国における医療保険の相互運用性と説明責任に関する法令(HIPAA)*、サーベンス・オクスリー法(SOX)*に準拠したプロセスをサポートし、必要なセキュリティとガバナンスを提供するための管理体制を備えていることが明記されています。

Veracode Level5:Veracodeはアプリケーションの脆弱性を診断するクラウドベースのテストソリューション。5段階のセキュリティレベルで評価する。Level5は最高レベル。
PCI DSS(Payment Card Industry Data Security Standard):クレジットカード会員情報の保護を目的として定められた、クレジットカード業界の国際セキュリティ基準。
HIPAA(Health Insurance Portability and Accountability Act):医療情報の電子化の推進とそれに関係するプライバシー保護やセキュリティ確保について定めている。
SOX法(Sarbanes‐Oxley act/正式名称 Public Company Accounting Reform and Investor Protection Act of 2002):上場企業会計改革および投資家保護法。企業会計、財務諸表の信頼性を向上させるために制定された。経営者に財務報告に係る内部統制の整備評価を義務づけている。

今回はセキュリティ機能に焦点をあてた比較を行いました。両者の違いが顕著で、それぞれのポリシーを感じますね。
次回はロボ実行方法の違いを比較します。

最後までお読みいただきありがとうございました。
また次回をお楽しみに!