CIS Control 6：アクセス制御の管理

Center for Internet Security（CIS）は Critical Security Controls を公開しており、組織がサイバーセキュリティを改善するのに役立ちます。バージョン8では、Control 6 がアクセス制御の管理を扱います（以前のバージョンでは、このトピックは Control 4 と Control 14 の組み合わせでカバーされていました）。

コントロール 6 は、アクセス管理に関するベストプラクティスを提供し、特に管理者権限を統制して使用することに焦点を当てながら、ユーザー権限を管理するためのセキュリティガイドラインを示します。ベストプラクティスでは、各ユーザーにprinciple of least privilegeに従って権限を付与する必要があります。つまり、各ユーザーは割り当てられたタスクを実行するために必要な最小限の権限のみを持つべきです。これにより、アカウント所有者が故意または誤って引き起こし得る被害を抑え、さらに、攻撃者がアカウントを乗っ取った場合の影響範囲も最小化できます。

残念ながら、組織は便利だからという理由で、アカウントに必要以上の特権を付与しがちです。たとえば、あるアカウントが本来必要とする正確な権限を特定して、ユーザーを適切なグループに追加するよりも、そのアカウントをコンピューター上のローカル Administrators グループに追加するほうが簡単です。さらに、組織内でユーザーが役割を変更した際に、ユーザーがもはや必要としなくなった権限を取り消せないことがよくあります。これは、連絡不足や標準手順の欠如による場合が多いです。その結果、企業はデータ損失、稼働停止、コンプライアンス違反といった、不要なリスクにさらされることになります。

これらのリスクを軽減するために、CIS Control 6 は、強固なアクセス制御管理を確立するための 8 つのガイドラインを提示しています。

6.1 アクセス付与プロセスを確立する。

ユーザーが組織に入社したとき、または役割が変更されたときに、アクセス権限を付与するための明確なプロセスを用意しておくことは、最小特権の徹底と維持に役立ちます。理想的には、そのプロセスは可能な限り自動化し、ネットワーク上のさまざまな資産やデバイスに対する標準的な権限セットを、異なるロール、さらにはロール内の異なるレベルに関連付けて用意します。

6.2 アクセス権限の取り消しプロセスを確立する。

組織は、もはや必要のないアクセス権限を取り消すことに失敗しがちで、その結果、攻撃や悪用の被害を受けやすくなります。たとえば、退職した従業員のアカウントが速やかに無効化または削除されない場合、その本人、またはアカウントの認証情報を侵害した誰かが、その特権を悪用できてしまいます。

アクセスの取り消しは、ユーザーが組織内で役割を変更するときにも、しばしば必要になります。これは、降格の場合だけでなく、横方向の異動や昇進の場合にも当てはまります。たとえば、営業からマーケティングに異動したユーザーは、営業チームが使用しているデータやアプリケーションにアクセスする正当な業務上の必要性がなくなる可能性があります。同様に、経験豊富な個人がマネジメント職に異動する場合、古い権限の一部を取り消し、新しい権限の一部を追加する必要が出てくるでしょう。

6.3 外部に公開されたアプリケーションでは MFA を必須にする。

多要素認証（MFA） は、盗まれた認証情報が攻撃者にとって役に立たなくなるため、ベストプラクティスです。MFA では、ユーザーは、ユーザーID/パスワードの組み合わせに加えて、メールに送信されるセキュリティコードなど、2つ以上の認証要素を提示する必要があります。 2つ目の要素がない場合、攻撃を試みる者は、要求されたデータ、システム、またはサービスへのアクセスを拒否されます。

管理策 6.3 では、顧客、ビジネスパートナー、その他の連絡先が使用するツールなど、外部に公開されている（インターネットに面した）すべてのソフトウェアアプリケーションに対して MFA の要求を推奨しています。

6.4 リモートネットワークアクセスには MFA を要求します。

このセーフガードは前のものを発展させたもので、ユーザーがリモート接続しようとするたびに MFA を推奨します。多くの組織でリモート勤務やハイブリッド勤務の従業員が増えているため、今日ではこの実践が特に重要です。

6.5. 管理者権限へのアクセスには MFA を要求します。

CIS のコントロール 6.5 によると、組織が持つ管理者アカウントには、MFA による追加のセキュリティも必要です。これらのアカウントは IT 資産への特権アクセスを付与し、しばしば機密データだけでなく、サーバーやデータベースのような中核システムの設定（configuration）まで含むためです。

6.6. 認証および認可（authentication and authorization）システムのインベントリを確立し、維持します。

より上位のレベルでは、組織は自社のすべての認証および認可（authentication and authorization）システムを把握・追跡する必要があります。インベントリは少なくとも年に 1 回は見直し、更新してください。セキュリティ面で価値があるだけでなく、このインベントリは組織が規制遵守（regulatory compliance）を達成するのにも役立ちます。

6.7. アクセス制御（access control）を一元化します。

一元化されたアクセス制御（Centralized access control）により、ユーザーは同じ認証情報（credentials）を使って、さまざまなアプリケーション、システム、Web サイト、ツールにアクセスできるようになります。単一サインオン（Single sign-on, SSO）は、一元化されたアクセス制御の例です。

複数のプロバイダーが、ユーザーアクセスを簡素化し、セキュリティを向上させ、企業の IT 運用を効率化することを目的として、集中型のアクセス制御および Identity management 製品を提供しています。

6.8. ロールベースのアクセス制御を定義し、維持する。

各ユーザーに対して、直接権限を割り当てて適切なアクセス権を個別に付与し、さらに時間の経過とともにそれらの権限を常に最新の状態に保とうとすることは、単に拡張性のないアクセス制御のアプローチです。代わりに、コントロール 6.8 では、ロールベースのアクセス制御（RBAC）の導入を推奨しています。つまり、組織内で定義したロールにアクセス特権を割り当て、その後、各ユーザーを適切なロールのメンバーにします。ロールと、それに関連する権限は、少なくとも年 1 回見直し、更新する必要があります。

要約

アクセス権を制御することは、機密データ、アプリケーション、およびその他の IT 資産を確保するために不可欠です。主要なアクセス制御プロセスには、ユーザーがアクセス要求を行えるようにし、データ所有者がそれらを承認または拒否できるようにするワークフロー、ならびにデータ所有者が自分のデータに対するアクセス権を定期的に見直し、変更できるようにするプロセスが含まれます。

特権アカウントは、所有者によって誤用されたり、攻撃者によって侵害されたりすると深刻な被害につながるため、特別な注意が必要です。 Netwrix PAM solution は、管理者に対して特定のタスクを完了するのに必要な権限を正確に動的に付与し、その後すぐに自動的にそれらの権限を取り除くことで、特権アクセス制御を簡素化します。したがって、組織は、常時（standing）の特権アカウントをほぼすべて削除でき、攻撃対象領域（attack surface area）を大幅に減らし、従来の金庫中心（vault-centric）ソリューションに伴う手間や責任リスクを回避できます。さらに、 Netwrix PAM solution は費用対効果が高く、直感的で、導入も簡単です。