サイバーセキュリティにおけるアクセス制御

アクセス制御とは何ですか？

アクセス制御とは、IT 環境内のリソースに対するアクセスや利用を制限するためのセキュリティプロセスであり、組織全体のセキュリティ体制に不可欠です。重要なリソースへのアクセスを、その職務を遂行するために必要な人だけに制限することで、組織は攻撃対象領域を減らし、データ侵害のリスクを低減できます。

アクセス制御は、オンプレミスのインフラなどのリソースや、同様の有形資産への入室を管理する物理的なアクセス制御と概念的に似ていますが、 access control in cybersecurity は特にデジタルシステムとデータに適用されます。

アクセス制御はなぜ重要なのでしょうか？

信頼できる security access controls がなければ、機密情報が不適切な相手の手に渡り、経済的損失、風評被害、そして法的責任の可能性につながるおそれがあります。

効果的なアクセス制御は、社内外の両方の経路からの不正なデータアクセスを防ぐのに役立ち、インサイダー脅威、侵害、データ漏えいのリスクを低減します。アクセス制御の管理は、データ保護のベストプラクティスに従って組織が行動できるよう支援し、 compliance HIPAA、GDPR、SOC 2、PCI DSS、ISO 27001 といった主要な規制への対応を後押しします。

アクセスを制限することは、他の基本的なセキュリティ原則とも密接に一致します。最小権限の原則は、ユーザーの権限をその役割に必要な最小限に制限するものであり、ネットワークセキュリティにおけるアクセス制御によって直接的に支えられます。 Zero trust も、必要に応じてユーザーを検証または制限するための追加の手段を提供することで、サイバーセキュリティのアクセス制御によって効果的に支援されます。有名な「need to know, right to know（知る必要がある、知るべき権利がある）」というルールは、アクセス制御なしには実装できません。

アクセス制御システムは、分散した勤務者が協働し、必要なリソースにアクセスできるようにしながら、不正なアクセスを防ぐことで、ハイブリッド勤務やリモート勤務モデルを支える役割も果たします。

リモートワークや BYOD（私有端末の業務利用）ポリシーをサポートする環境では、効果的なアクセス制御により、エンドポイントやアプリケーション全体で一貫したセキュリティ制御を適用することに役立ちます。

アクセス制御の主要な構成要素

最も効果的に機能するアクセス制御システムは、次のコアとなる構成要素で構成されます。

• 認証： 中央集約されたアイデンティティ格納先に対して資格情報を検証し、ユーザーの身元を確認します。
• 認可： ユーザーの検証済みの身元、ロール、または属性に基づいてアクセス権を割り当てます。
• アクセス： 定義されたアクセス制御ポリシーに従って、ユーザーがデータやシステムとやり取りできる範囲を制限します。
• 管理： 自動化されたユーザーのプロビジョニングおよびデプロビジョニングにより、ポリシーを更新し、アイデンティティを整合させることで、正確なアクセスを維持します。
• 監査： セッション監視と自動化されたアクセスログにより、アクセス活動を継続的に可視化し、調査やフォレンジック対応の準備を支援します。

これらの要素が組み合わさることで、アクセス制御の管理が合理化され、シンプルになります。可能な限り多くの手順を自動化することで、SOC チームの時間と労力を同時に節約しながら、手作業によるミスも防止します。

アクセス制御モデルの種類

サイバーセキュリティにおけるアクセス制御は、通常、次のいずれかのモデルに基づいて導入されます。

裁量的アクセス制御（Discretionary Access Control、DAC）

最も基本的で柔軟なアクセス制御管理モデルである DAC は、サーバ上の任意のリソースについて、その所有者が他のユーザーに対してどのようなアクセスを許可するかを決定できることを定めています。この方法は、リソースへのアクセスを頻繁に必要とする高度に協業的な組織では役立つ場合がありますが、制限がサイバーセキュリティのベストプラクティスではなく個人の裁量に委ねられるため、機密データを保護する目的で用いるとリスクになり得ます。

Mandatory Access Control (MAC)

MAC のアクセス制御システムでは、システム管理者のような中央の権限者によってリソースへのアクセスが制限されます。中央の権限者が、どのユーザーがどのリソースを参照できるかを指定します。この種の強制的なアクセス制御は、政府や軍事目的のように、より厳格なセキュリティが求められる場面でより一般的です。

Role-Based Access Control (RBAC)

アクセス制御モデルの中でも代表的な RBAC では、ユーザーが組織内で担うロール（役割）と、そのロールが通常の責任を果たすために必要とするリソースに基づいて、データへのアクセスを制限します。このモデルでは、攻撃対象領域（attack surface）を最小限にするために、それらの業務にとって絶対に必要ではないデータはすべて禁止されます。

Attribute-Based Access Control (ABAC)

ABAC は、検証済みユーザーの役割に加えて、アクセスしている正確なリソース、アクセス元デバイスの物理的な場所、時間帯などの他の属性に基づいて、アクセス権を決定します。これにより ABAC は RBAC と似ていますが、職務機能だけでなく、より広範な状況の前提条件に応じてアクセスを制限したり有効化したりできるため、よりきめ細かなアクセス制御を提供できます。

ルールベースのアクセス制御

ロールベースのアクセス制御と同様に、ルールベースのアクセス制御では、組織が設定した集中管理のアクセス制御ルールに基づいて、リソースへのアクセスを制限します。これらのルールでは、場所、デバイスの種類、アクセス時間、またはその他の変動条件にもとづく制限を指定できる場合があります。

ポリシーベースのアクセス制御（PBAC）

PBAC は、各ユーザーに一連のアクセス制御ポリシーを割り当てることで、デジタルリソースへのアクセスを制御し、ユーザーがアクセスできるファイルを決定します。これらのポリシーがサイト全体のレベルで設定されるのではなく、ユーザーに割り当てられるため、PBAC は他のルールベースまたはポリシーベースのアクセス制御モデルとは異なります。したがって、広範な監査やユーザーのロール変更を行わずに、ポリシーを変更・更新できます。

ブレイク・グラス アクセス制御

警報装置のイメージが示すとおり、Break-Glass Access Control は、特権ユーザーが制限されたデータに瞬時にアクセスできるようにする緊急時のプロトコルです。この対策により、認証済みユーザーに対して機微なリソースへの信頼できるアクセスを提供することで、アクセス制御管理に柔軟性が加わります。とはいえ、機密データへのバックドアとなり得るためリスクが発生する可能性があります。そのため、混乱を避け、MFA などの厳格な認証手段を確実に適用するためにも、ポリシーを徹底的に文書化することが特に重要です。

これらのアクセス制御モデルには重複する要素が多く見られますが、ほとんどはそれぞれ十分に異なるため、組織としては、さまざまなネットワークリソースへの不正アクセスを防ぐ目的で複数の保護策を併用したいと考える場合があります。

アクセス制御の仕組み

「アクセス制御とは何か？」という問いは、アクセス制御管理の実際の手順を分解すると、最も分かりやすく答えられるかもしれません。通常、そのプロセスには次の段階が含まれます：

• ユーザーがログイン認証情報を入力すると、集中型データベースにログインしている特定の個人として確認されます。
• システムはアクセス制御ポリシーを確認して、ユーザーに付与される可能性のある権限を検証します。
• ユーザーには、確立されたアクセス制御ポリシーに従って特定の権限が付与されます。

サイバーセキュリティにおける重要な概念として、アクセス制御は他の identity and access management (IAM) プロトコルと統合して、さらなる防御を確立できます。MFA（多要素認証）を導入することは、認証プロセスを強化するうえで非常に効果的で、初回ログイン時に容易に要求できます。SAML や LDAP のような、より広範なディレクトリベースの検証手段も、認証中に実装して、より厳格な制御を行うことが可能です。

アクセス制御ポリシーは通常包括的であるべきですが、組織はトークンの有効期限切れや自動ログアウトによって継続的な認証を求めることで、防御をさらに強化できます。一方で、状況に応じた（コンテキストに基づく）アクセスを付与できるシナリオを指定する例外条項でアクセス制御ポリシーを補強することも有益です。これにより、緊急時や差し迫った状況で必要に応じて機密データを閲覧できるよう、より適切に保証できます。

物理的アクセス制御 vs. 論理的アクセス制御

「セキュリティにおけるアクセス制御とは何ですか？」と尋ねると、2つの答えが返ってくることがあります。なぜなら「アクセス制御」は、物理的な文脈とデジタル（論理的）な文脈の両方で使われる概念だからです。ただし、ネットワークセキュリティにおける論理的アクセス制御は、物理的アクセス制御と同じものではありません。

物理的アクセス制御は、オンサイトのデータセンターやコンピューターなど、物理的な IT リソースへのアクセスを制限することに関係します。この制御のための具体的な対策としては、カメラや自動ドアロックのような想定されるセキュリティ対策が挙げられます。また、ユーザーを識別するための対策としては、キーフォブ、キーパッドの PIN、またはバイオメトリクス読み取り装置などが考えられます。物理的アクセス制御は、多くの場合、施設管理（Facility Management）と連携して、または施設管理だけが単独で管理します。

論理的アクセス制御 とは別に、サイバーセキュリティにおける論理的アクセス制御は、IT 環境内のデジタルリソースへのアクセスを制限することに専念します。キーフォブ、キーパッド、PIN、バイオメトリクス読み取り装置などを用いる場合もありますが、それらはデジタルリソースへのアクセスのみを制御します。そのため、論理的アクセス制御の管理は、実際のデバイスやサーバーへのアクセスを制御するというよりも、主に効果的なネットワークポリシーを設定することに取り組みます。

アクセス制御における課題

包括的な組織全体のポリシーとしてのアクセス制御は、必ずしも実装が簡単とは限りません。広範なクラウド環境や分散サーバーは、レイアウトが複雑なため、特に管理が難しい場合があります。また、リモートアクセスは、特に BYOD により端末の多様性が高い組織では、すべてのエンドポイント端末で直ちに利用できるとは限りません。

組織内のさまざまな部門が人事に関する記録を別々に管理している場合、アクセス制御がさらに複雑になることもあります。その結果として、特定の「identity data（アイデンティティデータ）」のパケットが互いに連携しない状態、つまり「identity silos（アイデンティティのサイロ）」が生じる可能性があります。たとえば、HR、施設管理（m.a.）、IT にそれぞれ保存されているデータセットがあり、組織がそれらを統合するのがどれほど難しいかをイメージしてください。さらに、ユーザーが「password fatigue（パスワード疲れ）」を感じ始めると、問題が起きることさえあります。password fatigue とは、パスワードを常に提示したりリセットしたりし続けなければならない状況に疲れ切ってしまい、その対処としてパスワードを使い回したり、不安全なパスワードを作ってしまう状態です。

ただし、これらの課題、またはその他のいかなる課題が存在するとしても、より信頼性の高い保護のためには、組織がアクセス制御における一貫性と可視性を維持することが重要です。分散環境や複雑な環境であっても、制御は一様に適用され、ユーザーが自分の個々のアクセス権限を理解できるだけの透明性が必要です。矛盾している、あるいは不明確なアクセス制御は、スタッフの混乱につながり、業務効率を低下させるだけでなく、ユーザーが保護されていないバックエンドの手段でリソースにアクセスする方法を探し始めることさえあります。

DSPM によるデータ可視性とリスク態勢

アクセス制御を導入する際に最初、そしておそらく最も重要なステップは、自社のデジタル環境、その中に存在するすべてのデータ、そしてそれらの情報を保護する現行のアクセスポリシーを評価することです。ただし、これらのリソースをすべて手作業で把握することは、単に面倒なだけでなく非常に問題があります。組織には、通常の検索では見つからない「shadow data（シャドーデータ）」が大量に存在することが頻繁にあるためです。

ここで Netwrix Data Security Posture Management (DSPM)が活躍します。環境内のデータに関わるリスクを管理するための包括的なツールであるDSPMは、システム監視を自動化し、デジタル環境内のすべてのリソースを発見して分類します。すべての 機密データ—環境内に隠れている、あまり見過ごされがちなシャドウデータも含めて—DSPMは、サーバー上で最も脆弱なリソースに関する包括的な洞察を提供すると同時に、それにアクセスできる／できない人物を明確に整理します。

この可視性により、ITチームは DSPM を活用して、誰がどのリソースにアクセスできるのか、その理由は何か、そしてその特権を継続して保持すべきかどうかを明確に把握することで、IAMポリシーを補強または実装できます。DSPM は、規制上のベストプラクティスに基づいてアクセス制御をさらに強化するための、特定のコンプライアンス施策に対する合理化された支援も提供します。

アクセス管理は継続的なプロセスであるため、DSPM はクラウドおよびハイブリッド環境全体を対象に潜在的な脆弱性や脅威を洗い出す自動化されたリアルタイムのリスク評価を通じて、継続的な改善にも対応できるよう設計されています。これらの発見事項はソフトウェアによって分析され、アクセスに起因する脅威を低減するための実行可能なインサイトと推奨事項へと整理されます。個別化されたガイダンスによって、SOCチームの取り組みを効果的に支援します。

最新のアクセス制御ソリューション

現在のアクセス制御管理ソリューションは、IAM プラットフォームとして提供されることが多く、アクセス制御を関連分野である Identity Management（アイデンティティ管理）と組み合わせています。ほかの選択肢としては、クラウドアクセスセキュリティブローカー（CASBs）があります。これはクラウドサービス提供者とエンタープライズのクラウド利用者の間でセキュリティのチェックポイントとして機能します。また、ユーザーに対して常に認証を要求する Zero Trust Network Access（ZTNA）モデルもあります。ユーザーデータベースとポリシー制御を保存する集中型ディレクトリも、よりシンプルな別のモデルです。

アクセス管理を担うツールが何であれ、ユーザー向けのセルフサービス ポータルを備えていることが重要です。この機能では通常、ユーザーがパスワードのリセット要求、必要なタイミングでの（just-in-time）権限昇格、またはIT担当者の代わりにソフトウェアが日常的な処理として対応できる程度の他の要求を入力できるように、自動化された手段を提供します。

アクセス制御における新しく登場しつつあるソリューションのカテゴリは data security posture management (DSPM) です。DSPM は、ユーザーとサーバー環境の間の仲介役として機能するのではなく、システムをスキャンして、アクセスに関する脅威、リスクの高いユーザーの行動、その他の脆弱性を明らかにすることで、デジタル資産に対する潜在的な危険を特定することに重点を置きます。

例として Netwrix Data Security Posture Management などがあります。データの可視性と効果的なアクセス制御のギャップを埋めるための包括的なソリューションである Netwrix DSPM は、IT 環境内のデータを特定するプロセス、そのリソースに対する現在のアクセス規則を検証するプロセス、そしてシステム境界の内外でデータに対して想定される脅威を明確にするプロセスを自動化します。

アクセス制御におけるゼロトラストの役割

セキュリティのアクセス制御は、データにアクセスするために常に検証を要求するという点で、ゼロトラストのポリシーを本来的に補完します。ゼロトラストのもとでは、アクセス制御はすべてのアクセス要求ごとに検証を求める必要があり、それによって攻撃者が機密リソースにアクセスできてしまうリスクを大幅に低減できます。これにより、セキュリティ境界の内側でも外側でも「決して信頼するな、常に検証せよ」という方針が確立され、全体としてより強固なセキュリティ態勢が実現されます。

アクセス制御の一部としてゼロトラスト対策を導入すると、各個別のアクセス試行の状況に基づいて、より状況を踏まえたポリシーを作成できます。これにより、組織のセキュリティ制御にマイクロセグメンテーションを導入できるようになります。Netwrixは、ITチームが多数のシナリオ、特にアクセス試行において検証を要求できるようにすることで、すべてのソリューションにわたってゼロトラスト戦略を支援し、各組織に必要なだけ個別のセキュリティポリシーを詳細化できるようにします。

アクセス制御を実装するためのベストプラクティス

アクセス制御の導入と維持は継続的なプロセスであり、完成度を高めるには微調整が必要になることがあります。最初に欠かせないのは、認証の強化のためにMFAを導入し、最小権限の制限を適用して、あらゆる機密リソースの攻撃対象領域を最小化することです。ユーザーアカウントは共有してはならず、共同のユーザーアカウントも作成してはいけません。また、ポリシーは各個人ユーザーが必要とする分だけの権限を付与し、過剰な権限を持つアカウントが生まれないようにする必要があります。

すべてのアクセス制御ポリシーには、ドキュメント作成やポリシーのレビューを容易にするため、標準化された形式で名前を付ける必要があります。レビューは定期的に実施し、システムの脆弱性や潜在的な改善点を継続的に監視できるようにしてください。これらの目的のためにも、また組織のコンプライアンスを確認するためにも、定期的な監査が欠かせません。

ただし、緊急時に備えてアクセス制御ポリシーに例外の余地を残しておく必要があります。事件管理担当者や上級者が機密性の高いリソースへ直ちにアクセスする必要がある場合は、ユーザーに必要な権限を瞬時に付与できるブレークグラス（break-glass）措置を用意しておくことが重要です。これらのポリシーは、攻撃者にとってのバックドアになってしまわないよう、特に十分に文書化され、明確に定義されている必要があります。

Netwrix Data Security Posture Management (DSPM) は、これらのベストプラクティスを実現するための非常に効果的なソリューションです。環境内の隠れたリスクを自動的に検出し、継続的な監視とログ記録によって監督（オーバーサイト）を自動化します。SOC チームの時間と労力を節約し、デジタル環境のあらゆる部分に可視性を提供することで、DSPM はより高い効率と適用可能なデータインサイトによって、アクセス制御を即座に強化します。

業界別のアクセス制御ユースケース

アクセス制御はすべての組織にとって重要ですが、業界によって実装方法は異なります。

• 医療： 医療機関は HIPAA に準拠するために厳格なデータセキュリティ要件に従うことが求められており、そのためアクセス制御は患者のファイルおよびデータベース内のあらゆる識別情報を保護するための不可欠な対策となります。
• 金融機関： 金融機関は PCI DSS だけでなく SOX も遵守する必要があるため、承認された当事者からのアクセスを制限することなく、ユーザーの金融情報をより効果的に保護する目的で、アクセス制御をよく活用します。
• 政府： 政府機関は、最高水準のセキュリティ基準に従って機密データを保護するために、厳格なアクセス制御手法を採用しており、アクセスは MAC またはクリアランス レベルに基づいて付与されます。
• エンタープライズ IT： エンタープライズ IT 環境では、IAM と DSPM ソリューションの組み合わせにより、不正アクセスを防ぎながら部門間または分散型のコラボレーションを実現します。
• 教育： 教育機関は、アクセス制御によって無関係な第三者や外部の人物がデータを閲覧できないようにし、学生の個人を特定できる情報を保護します。

業種を問わず、すべての組織には漏えいさせるわけにいかない機密データがあります。そのデータを安全に保つためには、効果的なアクセス制御が不可欠です。

結論

顧客の財務データであれ社内の従業員の身元情報であれ、企業の秘密情報であれ、機密データはあらゆる組織において機密として維持されなければなりません。適切なアクセス制御が整っていれば、スタッフの職務を妨げることなく、これらのリソースを確実に保護できます。

しかし、見てきたように、「アクセス制御とは何か？」という問いの答えは、各組織の性質と保護する必要のあるリソースによって異なります。したがって、組織で効果的なアクセス制御管理を導入するには、まず自社の特定のセキュリティおよび規制要件に最も適したモデルを検討する必要があります。たとえば、医療機関は ABAC のきめ細かな制御の恩恵を受けられますが、連邦政府の請負業者は MAC モデルのより厳格なルールのほうがメリットが大きい場合があります。

いかなる導入であっても、Data Security Posture Management は、機密データとその脆弱性に関する詳細な洞察によって、アクセス制御のセキュリティを大幅に高めることができます。 Netwrix Data Security Posture Management とりわけ、重要な知能と可視性のレイヤーを追加することで、アクセス制御の戦略をより賢く、よりコンプライアンスに適合し、リスクを見据えたものにします。

強力なアクセス制御は、業務のスピードを落とすことなく機密データを保護します。 Netwrix DSPM を使うことで、チームは機密データを特定し、アクセスがどこで過度に露出しているかを理解し、クラウドおよびハイブリッド環境全体で修正の優先順位を付けられます。その結果、可視性がより明確になり、アクセス判断がより厳密になり、コンプライアンスとリスク低減をより強力に支援できます。