【SCS評価制度×孫子】⑧アイデンティティ管理・認証・アクセス制御

なぜ「アイデンティティ管理・認証・アクセス制御」が必要なのか

本コラムは、経済産業省・IPAが策定した「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」について、
その要求事項を中国古典『孫子の兵法』の視点から読み解くシリーズです。

前回は「リスクアセスメント」を取り上げ、脆弱性や脅威情報を収集・判断・管理するプロセスの重要性を整理しました。

第7回：なぜ「リスクアセスメント」が必要なのか

大分類：攻撃等の防御 ／ 中分類：アイデンティティ管理、認証、アクセス制御（4-1）

アイデンティティ管理・認証・アクセス制御とは何か（SCS評価制度の要求）

SCS評価制度では、以下のような管理が求められています。

この要求は、

• 誰が利用するのか
• どのように認証するのか
• どこまでアクセスできるのか

を管理する仕組みを整備することを意味します。

なぜアクセス制御が必要か（孫子における考え方）

この考え方は、孫子においても示されています。

用兵之法，全国为上，破国次之

―『孫子兵法・謀攻篇』

守るべき対象を破壊させないことが最も重要とされているように、
アクセス制御は防御の前提となります。

戦いにおいて「侵入させない」ための条件を整える行為が、アクセス制御です。

IDの管理

評価基準では、ユーザIDの発行・変更・削除を管理することが求められています。

これは単なるアカウント管理ではなく、
誰が戦場に入ることを許されているのかを決める行為です。

• 誰が正規の利用者なのか
• 不要な存在が残っていないか

正体が不明確なままでは、防御の線引きはできません。

管理者IDの統制

管理者権限については、付与対象を限定し、権限を最小限に抑えることが求められています。

これは、孫子における「兵の運用」に関わる重要な考え方です。

• 強い力を持つ者を限定する
• 権限の集中を防ぐ

強大な力は便利であると同時に、制御できなければリスクとなります。

認証の強度

認証については、利用者を確実に識別することが求められています。

これは「味方と敵を区別する」ための仕組みです。

• 本人であることを確認する
• なりすましを防ぐ

識別が曖昧であれば、防御は意味を持ちません。

アクセス権の管理

アクセス権については、必要な範囲に限定し、継続的に見直すことが求められています。

これは戦力配置の考え方に通じます。

• 必要な場所にだけ権限を与える
• 不要な権限を持ち続けない

過剰な権限は、防御の隙を生みます。

まとめ

アイデンティティ管理・認証・アクセス制御とは、

• 設定や技術の問題ではなく
• 防御の前提条件を整える行為です

誰が入り、どこまで動けるかを制御することで、初めて防御は成立します。

侵入を許さない条件を整えて初めて、戦いは守られる。

チェック：アクセス制御は機能しているか

以下はチェックシートです。
すべてに☑が付く状態が望ましい状態です。

もしこれらに一つでも☑を付けられない場合、
防御の前提が崩れている可能性があります。

まずは、誰がどこまで操作できるのかを整理することが必要です。

参考

• 銀雀山漢墓竹簡 – 中國哲學書電子化計劃
• サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度） | IPA
  
• サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度） | 経済産業省