なぜ
「アイデンティティ管理・認証・アクセス制御」
が必要なのか
本コラムは、経済産業省・IPAが策定した
「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
について、その要求事項を中国古典『孫子の兵法』の視点から読み解くシリーズです。
前回は「リスクアセスメント」を取り上げ、
脆弱性や脅威情報を収集・判断・管理するプロセスの重要性を整理しました。
大分類：攻撃等の防御 ／ 中分類：アイデンティティ管理、認証、アクセス制御（4-1）
アイデンティティ管理・認証・アクセス制御とは何か
（SCS評価制度の要求）
SCSが求めていること
SCS評価制度では、
- ユーザID及び管理者IDの管理
- 認証の強度及び実装方法の決定
- アカウントロック制御
- パスワード設定及び管理ルール
- アクセス権の付与・変更・削除・棚卸し
- 重要なシステムや情報へのアクセス制御
が求められています。
利用者や管理者を適切に識別し、
認証を行ったうえで、
業務上必要な範囲に限定してアクセス権を付与・管理すること。
また、認証情報や権限を継続的に管理し、
重要な情報やシステムへのアクセスを統制すること。
誰が利用するのか、
どのように本人確認を行うのか、
どこまでアクセスを許可するのかを管理することが求められています。
防御の第一歩は、
攻撃者を見つけることではありません。
まず、
- 誰が利用できるのか
- どこまで利用できるのか
- 何を変更できるのか
を明確にすることです。
なぜアクセス制御が必要か
（孫子における考え方）
この考え方は、孫子においても示されています。
先為不可勝
―『孫子兵法・形篇』
（まず負けない状態を作る）
攻撃を完全になくすことはできません。
しかし、
攻撃を受けにくい状態を整えることはできます。
SCS評価制度がアイデンティティ管理・認証・アクセス制御を重視する理由もそこにあります。
防御とは、侵入された後に対応することではなく、
まず侵入されにくい状態を作ることから始まります。
孫子の文脈
孫子は、
優れた将が戦場に出てから勝ち方を考えるとは述べていません。
まず敗れない状態を作り、
そのうえで戦う。
これが「先為不可勝」の考え方です。
戦いが始まってから慌てて備えるのではなく、
事前に弱点を減らし、
攻撃を受けにくい状態を整えることが重要なのです。
ビジネスの文脈
企業の情報システムでも同じです。
インシデントが発生した後の対応だけでは、
十分な防御とは言えません。
重要なのは、
- 誰が利用できるのか
- 誰が管理できるのか
- どの情報へアクセスできるのか
を事前に定めることです。
SCS評価制度がアイデンティティ管理や認証を求めるのは、
「侵入後の対応」ではなく、
「侵入されにくい状態」を維持するためです。
IDの管理
評価基準では、
ユーザIDの発行・変更・削除を管理することが求められています。
これは単なるアカウント管理ではありません。
誰が組織のシステムを利用できるのかを決める行為です。
- 誰が正規の利用者なのか
- どの利用者が現在も必要なのか
- 不要なIDが残っていないか
を継続的に確認する必要があります。
正体が不明確なままでは、防御の境界線を引くことはできません。
管理者IDの統制
管理者IDは、
通常の利用者IDとは異なり、
- 設定を変更できる
- 権限を付与できる
- システム全体へ影響を与えられる
という強い力を持っています。
そのためSCS評価制度では、
- 管理者を限定すること
- 管理者IDを適切に管理すること
- 不要になった管理者権限を削除すること
- 管理者権限の付与・変更・削除を管理すること
が求められています。
強い権限を持つアカウントほど、
厳格な統制が必要です。
便利だからという理由だけで管理者権限を広く付与すると、
組織全体のリスクを高めることになります。
認証の強度
SCS評価制度では、
- 利用者認証の実施
- 多要素認証の利用
- 十分な強度を持つパスワードの利用
が求められています。
認証の目的は、
単にログインを許可することではありません。
本当に本人なのかを確認することです。
なりすましが可能な状態では、
どれだけ優れたシステムを構築しても防御は成立しません。
利用者を正しく識別することが、
アクセス制御の出発点です。
アクセス権の管理
アクセス権については、
- 付与
- 変更
- 削除
- 棚卸し
を実施することが求められています。
権限は一度付与したら終わりではありません。
組織では、
- 異動
- 昇格
- 退職
- 職務変更
が発生します。
そのため、
現在の業務に必要な権限だけを保持する状態を維持する必要があります。
不要な権限は、
不要な攻撃経路と同じです。
アクセス権の棚卸しが求められる理由もそこにあります。
パスワードと認証情報の管理
SCS評価制度では、
- パスワード設定ルール
- パスワード保管ルール
- 漏えい時の変更手順
- 利用者への周知
を求めています。
認証情報が漏えいすれば、
攻撃者は正規利用者として振る舞うことができます。
つまり、
防御機能そのものを無効化される可能性があります。
認証情報は、
アクセス制御を支える基礎資産です。
システムを守る前に、
認証そのものを守らなければなりません。
SCS評価制度が求める本当の到達点
SCS評価制度は、
- IDを管理すること
- 認証を強化すること
- 権限を管理すること
- 継続的に見直すこと
を求めています。
しかしその本質は、
「誰が利用できるのかを明確にし、
必要な範囲だけを許可すること」
です。
すべての利用者を無条件に信頼するのではなく、
正しく識別し、
必要な権限だけを与える。
それによって初めて、
防御は機能します。
まとめ
アイデンティティ管理・認証・アクセス制御とは、
- 設定や技術の問題ではなく
- 防御の前提条件を整える行為です
誰が入り、
どこまで動けるかを制御することで、
初めて防御は成立します。
先為不可勝
（まず負けない状態を作る）
侵入されにくい状態を整えて初めて、
防御は始まる。
チェック：アクセス制御は機能しているか
以下はチェックシートです。
すべてに☑が付く状態が望ましい状態です。
- ☑ 利用者が明確に識別できているか
- ☑ 不要なユーザIDや管理者IDが残っていないか
- ☑ 管理者権限の付与対象を限定できているか
- ☑ 多要素認証など十分な認証強度を確保しているか
- ☑ 必要以上のアクセス権が付与されていないか
- ☑ アクセス権の棚卸しを定期的に実施しているか
- ☑ パスワードや認証情報を適切に管理しているか
もしこれらに一つでも☑を付けられない場合、
防御の前提条件が崩れている可能性があります。
多くのインシデントは、
高度な攻撃から始まるわけではありません。
- 削除されていない退職者アカウント
- 共有された管理者ID
- 不要に広いアクセス権
- 弱い認証設定
など、
本来管理されるべき権限の不備から発生します。
まずは、
誰がどこまで操作できるのかを明確にすることが必要です。
今からできるアクション
☑が付かなかった項目がある場合は、以下から始めましょう。
- 利用者ID・管理者IDの一覧を作成する
- 不要になったアカウントが残っていないか確認する
- 管理者権限保有者を洗い出す
- 多要素認証の適用状況を確認する
- アクセス権の棚卸しを実施する
- パスワード管理ルールを見直す
アイデンティティ管理・認証・アクセス制御の目的は、
利用者を制限することではありません。
重要なのは、
- 誰が利用するのか
- どこまで利用できるのか
- どの権限を持つのか
を明確にし、
組織が想定した範囲でシステムを利用できる状態を維持することです。
まずは、
現在の権限設定が実際の業務内容と一致しているかを確認することから始めましょう。
次回は「意識向上とトレーニング」を取り上げ、
なぜ組織全体の理解と行動がセキュリティ対策の成否を左右するのかを整理します。
