アクセスプロビジョニング：安全なユーザーアクセスのベストプラクティス

ネットワークの主な目的は、ユーザーのグループ の間でリソースを共有できるようにすることです。これらのリソースが コンピューティングデバイス 、アプリケーション、またはファイルデータであっても、目標は「本当に必要な人」に対してのみアクセスを提供することです。ただし、この目標を達成するのは難しい場合があります。なぜなら、現代の組織は非常にダイナミックだからです。ある日には新入社員が採用され、別の人はより多い、または異なる責任を担うようになる一方で、会社を離れる人もいます。さらに、組織は定期的に派遣労働者や外部の専門家と連携し、さまざまなビジネスパートナーやベンダーとの関係も入れ替えます。もちろん、組織は新しいシステムやアプリケーションを導入し、不要になったものは退役（終了）させます。

これらすべての出来事に合わせてユーザーのアクセス権限が適切に同期して変化するようにするには、すべてのユーザーアカウントのライフサイクル全体を通じて効果的なアクセスプロビジョニングを行う必要があります。この記事では

アクセスプロビジョニングとは？

アクセスプロビジョニングとは、ユーザーのアイデンティティと、組織のシステム、アプリケーション、および情報に対するアクセス権を作成・管理・維持するプロセスです。ユーザーの現在の職務や組織の方針に基づいて、ユーザー権限を付与、変更、取り消し（剥奪）することが含まれます。

アクセス管理の中心にあるのは least privilege という考え方で、各ユーザーには業務を遂行するために必要な最小限のアクセス権のみを付与することを求めます。目的は、セキュリティと生産性のバランスを取ること——ユーザーが必要なリソースにアクセスできるようにしつつ、不当なアクセスを防止することです。

アクセスプロビジョニングの主な種類

組織には、次のようにいくつかの種類のアクセス・プロビジョニングがあります。

• 裁量的アクセス・プロビジョニング
• セルフサービスによるアクセス・プロビジョニング
• ワークフローに基づくプロビジョニング
• 自動化されたアクセス・プロビジョニング

裁量的アクセスのプロビジョニング（Discretionary Access Provisioning, DAP）

DAPでは、部門長やチームリーダーなどの特定の担当者が、アクセス権限を手作業で付与します。このアプローチでは、リソースの所有者が自分たちの具体的なニーズに基づいてアクセスを管理できるため、ローカルなコントロールが確保されます。複雑なポリシーや identity and access management（IAM）ソリューションは必要ありません。

DAPはシンプルで安価ですが、次のようないくつかの深刻な欠点があります：

• 異なるリソース所有者が異なる基準を適用する可能性があるため、結果が一貫しないことがあります。
• 手作業のプロセスは、人為的なミスにより誤りが起こりやすくなります。
• DAP は手動プロビジョニングに依存しているため、ユーザーベースが増えるにつれてスムーズにスケールしません。
• このアプローチでは、規制や業界の要件を満たせない可能性があります。

Self-Service Access Provisioning (SAP)

SAP では、ユーザーは特定のアプリケーション、データ、またはシステムへのアクセスを申請できます。多くの場合、管理者の直接的な介入なしで行われます。セルフサービスは、社内ツールやナレッジベースへのアクセスのように、日常的、またはリスクの低いリソースで一般的に利用されます。そこでは遅延が生産性を妨げる可能性があります。

このアプローチは IT の作業負荷を軽減し、アクセスのプロビジョニングを迅速化できます。しかし、重要な弱点があります：

• ユーザーは、必要以上のアクセス権を意図的または不注意で要求してしまい、その結果としてリスクの高い過剰なプロビジョニングにつながる可能性があります。
• セルフプロビジョニングのシステムでは、ユーザーが管理者による監督が最小限の状態で自分のアクセスを管理できるため、時間の経過とともにアクセス変更を追跡・監査（audit）することがより難しくなる可能性があります。
• 一部のユーザーはセルフサービス システムを分かりにくい、または複雑すぎると感じるかもしれません。

Workflow-Based Access Provisioning (WAP)

SAP と同様に、WAP ではアクセス権を管理するための、構造化されたリクエストと承認プロセスが含まれます。しかし、SAP では通常プロビジョニング（provisioning access）を自動化したり迅速化したりするのに対し、WAP では複数段階の承認が必要です。ワークフローに基づくプロビジョニングは、重要なアプリケーション、機密データを含むシステム、またはコンプライアンス要件によって統制されるアクセスに対して好まれます。WAP は、明確なチェック＆バランスを整備し、アクセス要求と承認の監査証跡（audit trail）を作成するのに役立ちます。

ただし問題の1つは、組織の構造やポリシーが変わるたびにワークフローを最新の状態に保つことが、手間と時間を要する場合があることです。

成功している多くの WAP ベースの導入は、SAP と WAP を組み合わせて構成することを前提にしている場合に、うまく実現されています。

自動化されたアクセスのプロビジョニング

自動化されたアクセスのプロビジョニングでは、システム間の連携とあらかじめ定義されたロールを使用して、ユーザーの職位や部署に基づき、適切なアクセス権を付与します。このアプローチの主な利点をいくつか挙げます：

• 新入社員は自動でプロビジョニングできるため、より早く生産的に働き始められます。
• 同様に、新しい責任を割り当てられたユーザーには、必要なアクセス権限を正確にすぐ付与できます。
• 従業員が組織を離れる際には、アクセス権を自動的に削除できるため、不正なアクセスのリスクを低減できます。
• アクセス ポリシーを自動適用することで、整合性が保たれ、人的ミスのリスクを低減できます。
• 手作業のプロセスを減らすことで、組織はITの運用コストを大幅に削減できます。
• 自動化システムは、増加する需要に合わせて容易にスケールできます。
• 自動化システムは、規制への準拠を促進する詳細な監査証跡を維持できます。
• 自動化システムは、Self-Service Access Provisioning を通じて可視化される例外ベースのポリシーと組み合わせ、さらにオーケストレーションされた変更の承認のために WAP でゲート（制御）することで強化できます。

ロールベースのアクセス制御（Role-Based Access Control：RBAC）および属性ベースのアクセス制御（Attribute-Based Access Control：ABAC）

個々のユーザーに特定の権限を割り当てるのではなく、ベストプラクティスでは、ロールまたは属性に基づく構造化されたアプローチでアクセス権を付与することを推奨しています。

ロールベースのアクセス制御

RBAC のアプローチでは、組織が業務機能に対応する一連のロールを定義し、それぞれのロールに関連するアクセス権限を割り当てます。たとえば「Human Resources Specialist（人事担当者）」というロールには、HRデータベースや採用（リクルート）システムへのアクセス権が付与されるかもしれません。ユーザーは、自分に割り当てられているロールに付与された権利を継承します。

このロールベースのアプローチには複数の利点があります。特に RBAC では：

• ユーザーに正しいロールを割り当てるだけで済むため、アカウントのプロビジョニングが迅速になります。
• アクセス権限の割り当てが一貫性を保ち、正確に行われることを保証します。
• 新しいデータソースへのアクセス権を付与するなど、チーム全体に影響する迅速な変更を可能にします
• ユーザー数の増加に合わせて、簡単に拡張できます

属性ベースのアクセス制御（ABAC）

ABAC は、アクセス制御に対してよりダイナミックなアプローチを採用します。定義されたロールに依存するのではなく、リソースの機密性、時間帯、場所、使用しているデバイスの構成など、さまざまな属性を考慮します。

このアプローチには重要な利点があります。たとえば、ABAC:

• よりきめ細かく、状況を理解したアクセス制御を提供します
• アクセス ポリシーを定義する際の柔軟性がさらに高まります
• 変化する条件にリアルタイムで適応できます
• 役割の定義にきれいに当てはまらない可能性のある複雑なアクセス シナリオをサポートします

最適なセキュリティのために RBAC と ABAC を使い分けるタイミング

RBACは、明確に定義された役割があり、責任がはっきりしていて、かつアクセス要件が時間の経過とともに比較的安定している組織に最も適しています。管理を簡素化し、アクセス管理の複雑さを減らすことが目的の場合、良い選択です。また、コンプライアンス要件によって、役割ベースでの明確な職務分離が必要となる場合にも、RBACは理想的です。

ABACは、アクセス判断に職務ロール以外の要素（ユーザー属性、リソースの特性、環境条件、文脈情報など）を考慮する必要がある場合に最も適しています。きめ細かな制御ポリシーが求められる、複雑で動的なアクセス要件を持つ組織に最適です。ABACは、場所ベースのアクセスを実装したり、1日の時間帯やデバイス種別に応じて権限を調整したりするなど、変化するセキュリティ状況に対してリアルタイムに適応することが必要なシナリオで特に力を発揮します。

注：属性からロールを定義することも適切な場合があります。このようにすると、変化する属性を適用することで、ロールの変更を自動化できます。

アクセス・プロビジョニングのメリット

アクセス・プロビジョニングのメリットには、次のようなものがあります。

• 攻撃対象領域の縮小 — ライフサイクルのあらゆる時点で、各ユーザー アカウントは必要最小限の権限のみを持ち、従業員が組織を離れるとアクセス権が速やかに取り消されます。最小権限（least privilege）をきめ細かく適用することで、インサイダー脅威のリスクを低減し、アカウントを侵害した攻撃者の到達範囲を制限できます。
• より強固なセキュリティ — アクセス プロビジョニングのための、体系化され特に自動化されたプロセスにより、過剰な権限付与につながり得る人的ミスを減らすことができます。 
• ユーザー生産性の向上 — ユーザーは、責任を果たすために必要なアクセスをすぐに取得できます。
• IT チームの生産性向上 — 日常的なアクセス管理業務を自動化することで、IT スタッフが他の優先事項に集中できるようになります。
• コンプライアンス — アクセス プロビジョニング ツールは、調査のための明確な監査証跡を提供し、また監査時に HIPAA や SOC 2 のような規制への準拠を示すことに役立ちます。

アクセス権プロビジョニングにおけるよくある課題

効果的なアクセス権プロビジョニングを実装するのは、現在では難しい場合があります。ここでは、代表的なハードルをいくつか紹介します。

ITの複雑さとクラウド基盤

IT 環境はこれまで以上に複雑になっています。組織は幅広い新しい技術を急速に導入し、データやワークロードを クラウドへ移行しています。 その一方で、ビジネス、セキュリティ、またはコンプライアンス上の理由から、レガシーシステムを維持する必要があることも少なくありません。これらの古いシステムを、現代的なアクセス管理ソリューションに統合することは、技術的に難しい、あるいは不可能な場合さえあります。その結果として、オンプレミス環境とクラウドベース環境で別々のツールやプロセスのセットが必要になることがあり、IT チームの業務負荷が増え、さらに多様なスキルが求められます。

アクセス権の拡大（Access Creep）

「least privilege」の原則を徹底すべきだという要請があるにもかかわらず、多くの組織では、ユーザーアカウントが時間の経過とともに不要なアクセス権を蓄積してしまうのが現実です。たとえば、プロジェクトが完了したときや個人が役割を変更したときには、もはや必要のないアクセス権が削除されない場合があります。この過剰な権限付与を整理する作業は非常に大きなタスクであり、不適切な変更によって重要な業務プロセスが支障をきたす可能性があるため、IT チームが権限の取り消しに消極的になることもあります。

適切に実装されたアクセス・プロビジョニングのアプローチでは、全体のアクセスのライフサイクルの一部としてデプロビジョニング（de-provisioning）も考慮すべきです。

組織の変更

通常の従業員の入れ替わりに加え、異動や昇進があるほか、多くの組織では合併、買収、再編（リストラ）にも対応しなければなりません。これらの出来事では、アクセス・プロビジョニングに対して大規模な変更が必要になることがありますが、手作業のプロセスではそれを円滑に実現するのに不十分な場合が多いのです。実際、アクセス・プロビジョニングを自動化するツールを導入していても、IT チームが、最小権限（least privilege）を徹底しつつ、業務の中断リスクを最小限に抑えるための、包括的なロール定義とそれに紐づくアクセス権のセットを確立するのは難しいことがあります。

効果的なアクセス権限付与のためのベストプラクティス

最小権限の原則を徹底して適用してください。

このベストプラクティスはセキュリティの土台です。各ユーザーには、自分の仕事を遂行するために必要な最小限のアクセス権のみを付与しなければなりません。最小権限 を徹底することで、ユーザーが故意であれ偶発的であれ、与え得る被害を抑え、アカウントを侵害した攻撃者の到達範囲を縮小できます。

アクセス権限ポリシーを文書化してください。

ユーザーのアクセス権限付与ポリシーを作成し、アクセス権限の要求、承認、変更、取り消し（失効）に関するプロセスを詳しく定義してください。さらに、アクセス管理に使用する役割のセットと、それに関連付けられた権限を定め、特権アカウントの取り扱い基準も設定します。これらのポリシーは、安全面とコンプライアンス監査の両方に必要です。

定期的にアクセスの見直しを実施してください。

組織は、定義済みのすべてのロールとそのアクセス権を定期的に見直し、すべてのアカウントについて過剰または古くなった権限がないか監査し、孤立（放置）アカウントを探すべきです。このレビュー手順には、ITチームと業務の関係者との緊密な連携が必要であり、とりわけリソースの所有者（誰がどのリソースに対してどのアクセス権を持つべきかを最も判断できる立場にある人）が重要になります。

アクセスの活動を監視してください。

アクセス活動を継続的に監視し、ログを記録することで、新しいアクセス権が悪用される前に権限に対する不適切な変更をすばやく見つけて元に戻すことができます。この監視はセキュリティ上非常に重要であるため、多くの業界標準や規制の要件でも求められています。

常時の特権アクセス権を最小限にしてください。

管理者アカウントを乗っ取った攻撃者は、重要なデータの盗難からシステム全体の停止まで、深刻な被害をもたらす可能性があります。このリスクを大幅に減らすには、特定のタスクに必要なときだけ、 just-in-time (JIT) access provisioning を使って、昇格したアクセス権限を付与します。

一時的なアクセス ポリシーを適用します。

アクセス権の付与方法にかかわらず、アクセスが常に一時的な性質を持つようにポリシーを適用することはベストプラクティスです。これは、アクセス権限を付与するグループへのメンバーシップにライフサイクルを設定し、ロールとグループにおいて一時的なメンバーシップ ポリシーを定め、最後に、参加/離脱プロセスにおける一時的な変更の範囲を制限することで実現できます。

ライフサイクルに基づいてアテステーション（妥当性確認）タスクを強制します。

アクセスの継続的な妥当性と正確性をアテステーション（妥当性確認）することは、自社環境を定期的に監査している多くの組織にとって要件となる場合があります。しかし、このプロセスを自動化しないと、アクセスが見落とされる可能性があります。正確なアテステーションを確実に行うには、レビュー ポリシーを適用できなかった場合に結果が生じるように、アクションをライフサイクル プロセスに紐付けて強制してください。なお、ライフサイクル エンジンが変更の取り消し（リバーサル）を許可していることを確認してください。

アクセス・プロビジョニングのためのツール

現在、市場には優れたアクセス・プロビジョニングのツールがいくつかあり、詳細は こちら をご覧ください。自動プロビジョニング／デプロビジョニングという基本機能に加えて、RBAC または ABAC、MFA、SSO に注目するようにしてください。

代表的な人気ソリューションには、次のようなものがあります。

• Netwrix Directory Manager は、堅牢な Identity management とユーザー・ライフサイクル機能により、アクセス・プロビジョニングを簡素化します。これにより、組織はユーザーのオンボーディング、オフボーディング、およびロール変更を効率化できます。自動化されたグループ メンバーシップ管理、自助型のアクセス申請、リアルタイム更新といった機能により、すべてのユーザーが適切なタイミングで適切な権限を持てるよう支援します。
• Microsoft Entra ID（旧称 Azure Active Directory）は、Microsoft のクラウドに依存している組織にとって適したソリューションです。主な機能には、シングル サインオン、多要素認証、条件付きアクセスが含まれます。
• CyberArk Idaptive は、アイデンティティ管理、エンタープライズ モビリティ管理、ユーザー行動分析を1つのパッケージに統合します。SSO、MFA、アイデンティティ ライフサイクル管理に加え、機械学習によって不審なアクティビティをリアルタイムで検知し、対応できる機能を備えています。
• Okta Identity Cloud はクラウドベースのソリューションのため、組織の成長に合わせて追加のハードウェアなしでスケールしやすくなります。Okta は、アプリケーションやその他のインフラ コンポーネントとの 7,000 件以上の事前構築済み統合を提供しています。

アクセス・プロビジョニングの重要性

効果的なアクセス プロビジョニングは、ユーザーが業務を遂行できるようにしながら、機密情報を保護するために欠かせません。また、規制要件や業界標準への準拠を達成し、その遵守を証明するうえでも重要です。最新のハイブリッド環境全体でアクセス プロビジョニングを効率化する自動化ソリューションを導入することで、組織は運用を合理化しながらセキュリティ体制を強化できます。

よくある質問

アクセスがプロビジョニング（provisioned）された場合、それはどういう意味ですか？

アクセスがプロビジョニング（provisioned）されている場合、それは特定のデータ、アプリケーション、またはその他の IT リソースにアクセスできる状態になっていることを意味します。通常、このプロセスではユーザーアカウントを作成し、職務内容に基づいて適切なアクセス権を付与します。

プロビジョニング（provisioning）されたアクセスとは何ですか？

プロビジョニング（Provisioning）とは、IT リソースに対するユーザーのアクセス権を管理・制御するプロセスです。目的は、不適切なアクセスを防ぎながら、ユーザーが職務を遂行できるようにすることです。正確なプロビジョニングは、セキュリティと規制コンプライアンスの両方において重要です。手動のプロビジョニングは非常に時間がかかり、ミスも起こりやすい一方で、最近のソリューションでは、ロールベースのアクセス制御（RBAC）や属性ベースのアクセス制御（ABAC）などのモデルを用いて作業を効率化します。

ユーザー認証（user authentication）とユーザーのプロビジョニング（user provisioning）の違いは何ですか？

認証（Authentication）とは、ユーザーの身元を確認するプロセスであり、通常はパスワードを要求するか、生体認証のような現代的な代替手段を用います。複数の方法を、multifactor authentication（MFA）と呼ばれるプロセスで組み合わせて行うことがあります。

プロビジョニング（Provisioning）とは、ユーザーアカウントとそれに関連するアクセス権を、ライフサイクル全体を通じて管理するプロセスです。その目的は、各ユーザーが職務を効果的に遂行するために必要な、まさに適切なレベルのアクセス権を持つことを確実にすることです。

ユーザーアクセスのプロビジョニングの例を教えてください。

ユーザーアクセスのプロビジョニングで最もよくある例の1つは、新入社員のためにユーザーアカウントを作成し、業務を行うために必要なアクセス権限をちょうど適切な範囲で付与することです。たとえば、新入社員が財務部門で働く場合、会社の会計（財務）ソフトウェアや特定の共有ドライブへのアクセス権が付与される一方で、人事（HR）ファイルやIT管理ツールにはアクセスできないようにします。