安全なアクセス管理は、強固な パスワードポリシー と多要素認証（MFA）だけではありません。デジタル資産を守るための統合的かつ包括的なアプローチを実現する、さまざまなプロセスやツールが含まれます。アクセスを効果的に管理するには、継続的な監視、適応型のアクセス制御、ユーザーのプロビジョニング／デプロビジョニングに向けた自動化されたワークフローといった戦略を導入する必要があります。しかし、これらのプロセスを整えていても、システムは依然としてセキュリティリスクに直面する可能性が高いのです。では、どのようにそれらを効果的に守ればよいのでしょうか？
以下では、組織が厳格な アクセス管理プロセス を導入していても、頻繁に遭遇する10の一般的なセキュリティ脆弱性を取り上げ、続いてそれらに効果的に対処するための戦略を提示します。
1. 不正アクセス
不正アクセスとは、許可なく、システム、データ、サービスなどのリソースに個人またはグループがアクセスすることを指します。これは、盗まれた認証情報、不十分なパスワードポリシー、弱いアクセス制御など、いくつかの理由で発生します。不正アクセスは、データ漏えいやデータ流出、法的問題、金銭的損失、さらに機微な個人情報を取り扱っている場合の顧客の信頼の喪失など、深刻なセキュリティ上の影響につながる可能性があります。
組織は、次の2つのサイバーセキュリティ戦略を導入することで、不正アクセスのリスクを軽減できます。
- 多要素認証（MFA）。MFA は、すべてのユーザーに対して複数の本人確認（識別）情報の提示を求めることで、不正アクセスの防止に役立つ ID およびアクセス管理（IAM）戦略です。
- 強固なパスワードポリシー。強固なパスワードポリシー では、従業員全員がシステムのパスワードを作成する際に、いくつかのルールに従うことを求めます。このようなポリシーでは、特殊文字、文字、数字を含み、推測しにくい長いパスワードを要求する場合があります。さらに導入できる方針として、従業員に時折パスワードを更新または変更させる——つまり定期的なパスワード更新——ことがあります。
推奨ツール: Netwrix Privilege Secure. Netwrix Privilege Secure 組織がパスワードを安全に管理し、適切なパスワードポリシーを適用し、特権アクセスを管理するとともに、パスワードの使用状況を監査できるよう支援します。
2. 内部不正（インサイダー脅威）
名前のとおり、内部脅威（インサイダー脅威） とは、従業員や請負業者など、組織内の個人によって引き起こされるセキュリティ上のリスクを指します。これらの内部者は通常、正当なアクセス権を持っていますが、機密データの窃取のように意図的にシステムへ脅威を与える場合もあれば、データを誤って漏えいしてしまうように意図せずに脅威となる場合もあります。
内部脅威（インサイダー脅威）インサイダー脅威 に伴うリスクを軽減するために、組織は以下のフレームワークを導入する必要があります：
Identity Governance and Administration (IGA):
IGA は、組織内でユーザーの身元（identity）とアクセス権限を管理・制御するためのフレームワークです。これは role-based access control （RBAC）を活用し、組織内での役割に基づいてユーザー権限を管理することで、ユーザーが業務を遂行するために必要な適切なアクセス権のみを持てるようにします。インサイダー脅威のリスクを低減するために、IGA は定期的なアクセスレビューを促進し、ユーザーのアクセス権が正確かつ最新であることを確認するのにも役立ちます。アクセスレビューでは、従業員や元従業員などのインサイダーによって悪用され得る、不必要・古い・過剰な権限を特定し、取り消します。
Privileged Access Management (PAM)
PAM は、重要システムおよび機密データへの特権ユーザーのアクセスを制御・監視するサイバーセキュリティ戦略です。重要システムへの一時的で時間制限のあるアクセスを付与する一時アカウント（ephemeral accounts）の利用を促進し、内部者によるデータ漏えいおよび侵害のリスクを低減します。 PAM ソリューションは、強固な認証方法、 principle of least privilege に加えて、包括的なセッション監視とレポートにより、 security breaches （インサイダー脅威のようなもの）によるリスクを低減します。
厳選された関連コンテンツ：
3. 権限昇格（Privilege Escalation）
権限昇格 とは、悪意のある攻撃者（外部者および内部者）が、不正な手段によって、より高いアクセス権または権限を獲得することを指します。たとえば、アクセス制御の回避、認証情報の窃取、マルウェアの使用などです。攻撃者がシステムに侵入した後は、縦方向の 権限昇格 によってより高い権限を得ようとするか、または横方向の権限昇格によって同等の権限を持つアカウントにアクセスしようとします。
権限昇格の検出は、システムがこれらの脅威アクターを正当なユーザーとして引き続き認識してしまう可能性があるため、通常は困難です。そのため、特権アカウントの監視だけでは効果が十分でないことがあります。セキュリティを強化し、権限昇格を排除するには、以下を実施してください。
- 最小権限の原則（POLP）。 最小権限の原則 では、ユーザーのアクセスを、職務を遂行するために必要なデータまたはリソースに限定することで、攻撃対象領域を最小限にし、潜在的な被害を減らします。最小権限の原則を徹底することは、コンプライアンスを達成し維持するうえでも重要な役割を果たします。多くのコンプライアンス基準では、特に特権アクセスを持つユーザーに対して、職務機能に基づいて機密データへのアクセスを制限することを組織に求めています。
推奨ソリューション： Netwrix’s Privileged Access Management ソフトウェアは、組織が 最小権限の原則を実装する および just-in-time access、コンテキストに応じたMFA、セッション監視などの重要なアクセス関連の戦略を導入するのに役立ちます。
4. パスワード管理の不備
認証が不十分だと、未授权アクセスのリスクが高まり、セキュリティ侵害が発生する可能性も高まります。よくある例には次のようなものがあります。
- 弱いパスワードの使用
- デフォルトのパスワードを変更しない
- パスワードの変更頻度が低い
- パスワードを正しく、または安全に保存していない
- 予測可能なパスワードのパターンを使用する
データ侵害のリスクを低減するために、組織はユーザーアカウントを継続的に監視し、効果的なパスワードポリシーを実装する必要があります。これは パスワードの使用状況を包括的に可視化できること 、定期的な更新の強制、そして適切な認証手段を必要とします。例は以下のとおりです：
- 強力なパスワード要件を強制します。 次の ポリシーを適用し 複雑なパスワードを要求します。
- MFA を有効化します。 組織は、セキュリティを強化するために、パスワードに加えて追加の検証ステップを要求する必要があります。
- パスワードを定期的に監査します。 弱い、または侵害されたパスワードを特定するために、定期的な監査を行うことが重要です。
- パスワード管理ツールを使用してください： ユーザーのパスワードを保護するための最良の方法の1つは、パスワード管理ソリューションを導入して、パスワードを効果的に保存・生成・ローテーション（定期的な変更）できるようにすることです。これらのソリューションは、リアルタイム監視、監査機能、ユーザー資格情報の集中管理など、包括的な機能を提供します。
5. アクセス監査と監視の不足
ユーザーの活動に対する可視性が不足していると、組織には大きなセキュリティ上のギャップが生じます。適切な監視がない場合、組織のシステムへの不正または異常なアクセスが長期間検知されないままになり、ネットワーク障害のように重大な被害につながる恐れがあります。
継続的な監視 システム内で継続的に監視することが、異常なアクセス挙動を検知するうえで推奨されます。定期的なアクセス監査を実施することで、誰がシステムやデータにアクセスしているかを組織が効果的に追跡できるようになり、侵害がどこから始まった可能性があるのかを特定するうえでも重要です。大規模な組織では、正しく実施しない限りアクセス監視は大きな課題になり得ます。その場合は、自動化された監査・レポートツールによってプロセスを効率化し、疑わしい活動に対するリアルタイムのアラートを提供できます。
推奨ツール： Netwrix Auditor さまざまな IT 環境におけるアクセスを監視する自動化された監査およびレポート機能を提供し、機密データに対する可視性と管理を維持するのに役立ちます。
厳選した関連コンテンツ：
6. 不十分な退職（権限停止）プロセス
従業員や契約社員が貴社から離職する場合は、アクセス権を直ちに停止（終了）する必要があります。これは一見すると簡単なように思えるかもしれませんが、アクセス管理プロセスが不十分な組織では、これらの権限を停止するための方針がない場合があります。このアイデンティティ管理上の見落としは、依然として自社システムへのアクセス権を持つ孤立した、管理されていない、または監視されていない Identity によって引き起こされるセキュリティ上のリスクに、貴社をさらす可能性があります。
標準化された退職（権限停止）プロセスは、このリスクの軽減に役立ちます。以下は始めるための例です：
- 組織のサイト、ユーザー、リソースのための中央リポジトリを作成でき、システム活動をオールインワンで把握できるソリューションを使用してください。そこから、de-provisioning（プロビジョニング解除）を含むプロビジョニングおよび解除を自動化し、movers（異動者）、leavers（退職者）、joiners（入社者）の移行を管理することで、シームレスなロール調整とアクセス更新を実現し、compliance standardsを維持しつつ、生産性を向上させましょう。
推奨ソリューション： Netwrix の Identity and Governance Administration ソリューションは、HRIS などの権威あるソースから同期されたデータに基づいて、プロビジョニングおよびデプロビジョニングを自動化し、異動者（movers）、入社者（joiners）、退職者（leavers）を管理できます。これにより、休眠アカウントに関連するセキュリティリスクとコストを最小限に抑えます。
7. 古いシステムとソフトウェア
セキュリティが不十分になる原因は、レガシー システムに依存するアクセス管理戦略にある場合もあります。こうした古いシステムのアクセス制御やセキュリティ対策に対する可視性がないため、脆弱性がありながらも気付かないうちにそれらへ依存し続けてしまうことがあります。その結果、組織の業務運営に影響を及ぼすセキュリティ上の問題にさらされる可能性があります。
以下の実践を導入することで、古いシステムに関連するリスクを軽減できます：
- システムを定期的に更新し、パッチを適用してください。これにより、脆弱性へ迅速に対応でき、セキュリティ上の欠落を最小限に抑えられます。
- より優れたセキュリティ制御を備えた新しいプラットフォームまたは製品へシステムを移行してください。システムの移行や統合は大規模な取り組みですが、現代のセキュリティシステムには高度な機能と組み込みの防御メカニズムがあり、古い脆弱性の影響を受けやすい状態を減らせます。また、プロンプトが表示されたら常にソフトウェアを更新することも重要です。これらの更新やホットフィックスは、悪意ある攻撃者が悪用できる可能性のあるソフトウェアの不具合やセキュリティ脆弱性に対処します。
8. ユーザー教育の不足
ユーザーの活動は、組織が直面する最大級のセキュリティ上の脆弱性のひとつです。従業員は、フィッシング詐欺のリンクをクリックする、パスワードを共有する、機密情報を取り扱いを誤るといった行動によって、気づかないうちにセキュリティを損なう可能性があります。このリスクが生じるのは、多くの場合可視性が不足していることが原因です。ユーザーが自社のパスワードポリシーに従っているかどうか判断できなければ、追加の教育が必要かどうかも判断できません。
ユーザー教育が不足するのを避けるための、最もわかりやすい方法は、すべての従業員に対して定期的なセキュリティ教育を必須化することです。これは月次、四半期ごと、または年次で実施できます。セキュリティ教育プログラムは、アクセス制御ポリシーを導入する際にユーザーが直面しうる懸念や課題を組織が把握するのにも役立ちます。
厳選した関連コンテンツ：
9. シャドー IT
シャドー IT とは、従業員が IT 部門の知識や承認なしに使用する技術（ハードウェアおよびソフトウェアの両方）を指します。安全なアクセス管理システムがない場合、シャドー IT は長期間検知されないまま放置される可能性があり、その結果としてデータ侵害やコンプライアンス上の問題につながるおそれがあります。組織としては、許可されていない技術の使用を控えるよう従業員に注意喚起する厳格なポリシーを徹底することでシャドー IT を回避できる場合もありますが、これだけでは不十分なことがあります。従業員は、得られると認識している効率性や利便性のために、制限を回避する必要が生じるかもしれません。したがって、次のような積極的なアプローチを導入するのが最善です。
- 検知ツールの活用
- 活用する エンドポイント デバイス管理 ソリューション
- システムを定期的にインストールして更新する
これらのセキュリティ手法は、ネットワークトラフィックを監視し、不正なアプリケーションやデバイスを特定するのに役立ちます。その結果、IT チームはセキュリティリスクに迅速に対処し、組織のテクノロジー環境に対する管理を維持できます。
推奨ツール：Netwrix Threat Manager は、組織が IT エコシステム内の異常な挙動を効果的に監視し、対応できるよう支援します。Netwrix を使えば、通常のユーザー行動のプロファイルを作成し、特権ユーザーを機微情報としてタグ付けすることで、脅威検知をきめ細かく調整し、不審なアクティビティに迅速に対応できます。
10. 包括的なアクセス管理戦略の欠如
多くの組織は、問題が発生してから対応・解決する「リアクティブ（事後対応）」型のセキュリティアプローチを採用しています。残念ながら、侵害（ブリーチ）が起きた時点では、もう手遅れになってしまうことがほとんどです。セキュリティに対してプロアクティブに取り組むとは、侵害として顕在化する前に潜在的な脅威を見越すことを意味します。これは、進化し続ける脅威に先んじるために、上記に挙げたすべてのリスクに対処することを含みます。プロアクティブに行動することで、組織は防御を強化し、侵害が起こる可能性を最小限に抑え、機密データや資産を効果的に保護できます。
包括的な アクセス管理戦略 を実装するには、明確なポリシーを定義し、定期的な監査を実施し、自動化を活用することに加え、ビジネス目標および規制要件に合わせる必要があります。関連する作業を自動化する強力なアクセス管理ソリューションを導入することが、システムを確実に守り、セキュリティリスクにいち早く備える最も簡単な方法です。
厳選した関連コンテンツ：
よくある質問（FAQs）
システムアクセス管理とは何ですか？
システムアクセス管理は、組織の特定の業務を実行するために、どのような人がリソース、データ、デジタルシステムを利用できるかを制御します。
アクセス管理の例を教えてください。
アクセス管理の例として、組織のネットワークを保護するための多要素認証（MFA）が挙げられます。MFAを導入すると、ユーザーがアクセスする前に、パスワードまたはPINとワンタイムコードのような複数の認証方法を必ず提示する必要があります。
アクセス管理の制御システムとは何ですか？
アクセス管理の制御システムとは、組織内のリソースやデータにアクセスしようとするユーザーに対して、権限を付与したり取り消したりするために使用されるあらゆる技術を指します。
システムのアクセス制御の例とは何ですか？
システムのアクセス制御の例としては、スマートフォンのロックを解除する必要がある場合が挙げられます。パスワードやPINを入力したり、指紋認証や顔認証を使ったり、解除用のパターンを提示したりする必要があることがあります。
サイバーセキュリティにおける IAM の例にはどのようなものがありますか？
IAM の例としては、次のようなものがあります。
- MFA
- シングルサインオン（Single sign-on（SSO））
- Privileged access management（PAM）
- リスクベース認証
共有する
もっと詳しく
著者について
Craig Riddell
Field CISO NAM
Craig は、アイデンティティおよびアクセス管理に特化した、受賞歴のある情報セキュリティのリーダーです。Netwrix に在籍していた以前の役職である Field CISO NAM では、privileged access management（特権アクセス管理）、zero standing privilege、そして Zero Trust のセキュリティモデルに関する経験を含め、アイデンティティ ソリューションをモダナイズする幅広い専門性を活かしました。Netwrix に入社する前、Craig は HP と Trend Micro でリーダーシップ職を務めていました。CISSP と Certified Ethical Hacker の両方の認定資格を保有しています。