Identity and Access Management のリスク評価を実施する方法

Identity and access management (IAM) は、組織内の各ユーザーが業務を遂行するために必要なデータ、システム、およびその他のリソースのみにアクセスできるようにすることで、セキュリティにおいて重要な役割を果たします。この記事では、IAM ソリューションの重要な機能と、IAM アセスメントによってセキュリティ、コンプライアンス、そしてビジネス継続性に関する不可欠なリスクをどのように明らかにできるかを解説します。さらに、IAM のベストプラクティスと、組織に適した IAM ソリューションを選ぶための指針も紹介します。

IAM とは？

ID およびアクセス管理ソリューションは、「誰が何にアクセスできるか」を制御するのに役立ちます。これは、誰がシステムにアクセスできるか（認証）と、どのリソースにアクセスできるか（認可）を判断することに重点を置き、さらにユーザーとその権限を時間の経過とともに管理します。

ユーザーごとに個別にアクセス権を付与するのではなく（これは非常にリソースを要し、ミスが起きやすい）、ほとんどの最新の IAM ソリューションではロールベースのアクセス制御（RBAC）アプローチが使われます。組織は、Helpdesk Technician、Sales Team、Contractor のような職務機能に合わせて複数のロールを定義し、それぞれのロールに対応する権限を付与します。個々のユーザーには 1 つ以上のロールが割り当てられ、そのロールに付与された権限を継承します。

RBAC は、以下のすべての主要な IAM プロセスにおいて、シンプルさ、透明性、正確性を確保するのに役立ちます。

• Provisioning（プロビジョニング） — 新しいユーザーに必要なアクセスを付与するには、適切なロールを割り当てます。
• Reprovisioning（再プロビジョニング） — ユーザーの職務責任が変更された場合は、不要になったロールの割り当てを削除し、現在の役職に必要なロールをすべて追加します。
• プロビジョニング解除 — ユーザーが組織を退職した（離任した）場合、役割の割り当てを削除することでアクセス権が終了します。

一部の IAM ソリューションは、常時有効な特権アカウントを、必要なタスクを実行するために必要なアクセスのみを提供し、その後自動的に削除されるオンデマンド アカウントに置き換えることでリスクを低減します。

IAM リスク評価とは何ですか？なぜ必要なのでしょうか？

どこに脆弱性があり、何を優先すべきかを把握するまで、セキュリティを改善することはできません。アイデンティティおよびアクセス管理の評価（identity and access management assessment）を行うことで、対処すべき主要領域を特定できます。

一般的な IAM のリスクと是正措置

IAM のリスク評価では、組織のセキュリティとコンプライアンスを強化するために是正が必要なさまざまな課題を明らかにできます。ここでは、よくある発見内容と、それに対応する是正措置を紹介します。

過剰なアクセス権

• 検出：役割と権限、ユーザーのロール割り当て、および直接割り当てられているすべての権限を確認して、システムまたはデータに不当なアクセス権を持つアカウントを特定します。
• 是正措置：各ユーザーが職務を遂行するために必要な特定のシステムとデータにのみアクセスできるように、アクセス制御を見直して更新してください。ロールベースのアクセス制御を導入すると、least privilege principle を正確に徹底しやすくなります。

休眠アカウント

• 検出: 長期間使用されていないアカウントを探します。
• 対応: 悪意のある攻撃者による不正利用を防ぐため、非アクティブなアカウントを無効化または削除します。ユーザーが長期休暇に入る、または組織を退職する際に、アカウントが速やかに無効化または削除されるようにするプロセスを導入してください。

コンプライアンス上のギャップ

• 検出: 組織が対象とする規制または業界標準を満たしていない IAM のプロセスや統制がないか確認します。
• 是正：IAM ポリシーと手順を、関連する規制および標準に合わせます。定期的な監査を実施し、継続的なコンプライアンスを確保してください。

弱いパスワードポリシー

• 検出：パスワードポリシーを見直し 、長さ、複雑性、パスワードの再利用に関する要件など、現在のセキュリティのベストプラクティスに準拠していることを確認します。
• 是正：強固なパスワードポリシーを導入し、複雑で一意なパスワードを必須にします。追加のセキュリティ層を設け、zero trust のセキュリティモデルへ移行するために、リスクに応じて多要素認証（MFA）を選択的に適用する必要があります。

一貫性のない IAM ポリシー

• 調査(Discovery): 組織全体で IAM ポリシーが一貫して適用されていない箇所を確認します。
• 是正(Remediation): IAM ポリシーを標準化し、すべての部門およびユーザー グループに対して一貫して適用されるようにします。ポリシーおよび更新内容について、従業員への教育を提供してください。

不十分な監視とログ

• 調査(Discovery): セキュリティ インシデントの検知と調査を妨げる可能性のある、IAM アクティビティの監視とログ記録が不十分ではないか確認します。
• 是正(Remediation): 不審なアクティビティをリアルタイムで検知し、迅速に調査できるように、監視とログ記録の機能を強化します。自動アラートの導入と、ログの定期的な確認を行ってください。

サードパーティのアクセスリスク

• 調査：ベンダー、請負業者、およびサードパーティのアプリケーションとサービスに付与されたすべてのアクセスを確認します。
• 是正：限時アクセス、定期監査、厳格なアクティビティ監視などを含め、サードパーティのアクセスに対する厳格な管理を実装します。

IAM リスク管理のための戦略

効果的な IAM リスク管理には、次の要素が含まれます：

• リスクの特定 — 保護が必要な資産を特定するために、定期的な監査とシステムインベントリを実施します。自動化された データ分類ソリューション により、オンプレミスおよび クラウド環境全体で 機密情報を正確に識別し、ラベリングできるようになります。さらに、責任者は、ユーザーのアクセス権限を頻繁に評価して是正し、過剰なアクセス権限やオーファンアカウントなどの IAM の脆弱性を発見するためにスキャンツールを活用する必要があります。
• リスク評価 — 関連するデータの機密性や、必要なアクセス権限のレベルなどの要素を考慮しながら、特定した各 IAM リスクがもたらし得る影響と発生可能性を評価します。
• リスクの低減 — リスクを低減する方法はいくつかあります。MFA と強力なパスワードポリシーを導入することで、身元（ID）が侵害されることを防ぐのに役立ちます。RBAC を使用すると、最小特権の原則を厳格に適用でき、侵害されたアカウントが引き起こし得る被害を制限できます。
• リスクの監視 — 通常のユーザー行動のベースラインを設定し、ユーザーの活動を継続的に追跡・分析して、セキュリティ脅威を示唆する可能性のある異常な操作を特定します。

IAM リスク評価の実施方法

IAM のリスク評価を実施するには、次の手順が必要です：

目的とスコープを定義する：

• 重要な資産を特定する：どのシステム、アプリケーション、データが貴社にとって重要かを判断します。
• 目標を作成する：脆弱性の特定、コンプライアンスの確保、セキュリティ態勢の強化など、評価によって達成したいことを決定します。
• スコープを定義する：どの部署、ユーザー グループ、システムを評価に含めるかなどの境界を設定します。

情報を収集する:

• 役割情報：定義されている役割と、それらに付与されている権限を確認します。
• ユーザーデータ：ユーザーとそのアクセス権に関する必要な情報をすべて収集します。
• アクセス ポイント：ユーザーがシステムやデータにアクセスできるすべての入口を特定します。
• 既存の IAM の取り組み：現在の IAM ポリシー、手順、および統制を特定して見直します。

ディスカバリー スキャンを実施する:

• 自動化ツールから始める：関連する自動化ツールを活用して、ネットワークやシステムをスキャンし、すべてのユーザーとそのアクセス権限を特定します。
• 手動レビューで補完する：重要な領域については必ず手動でレビューを行い、脆弱性の見落としがないようにしてください。

リスクと脆弱性を特定する：

• アクセス違反：不正なアクセス、または確立されたすべてのアクセス ポリシーからの逸脱を特定します。
• 過剰な特権：業務要件を超えている、または必要がなくなったアクセス権を持つユーザーを特定します。
• 休眠アカウント：セキュリティ上のリスクになり得る非アクティブなアカウントを探します。
• コンプライアンスのギャップ：IAM の実践、関連する規制要件、および業界標準を見直して、それらが整合していることを確認します。

結果を評価:

• リスクの分類：特定されたリスクを、深刻度と潜在的な影響に基づいて分類します。
• 根本原因の分析：特定された脆弱性の根本原因を特定し、問題に対処します。

是正（修復）計画を立てる:

• アクションに優先順位をつける：ただちに対応が必要となる可能性が高い高リスク領域を優先します。
• 緩和戦略を定義する：アクセス制御の更新、最小特権の徹底、監視メカニズムの改善など、特定されたリスクを軽減するための戦略を作成します。
• ポリシーの更新：リスクを軽減し、見落としや弱点を解消するために、IAM ポリシーおよびプロセスをどのように見直すかを判断します。

是正措置の実施:

• 技術的コントロール：ソフトウェアの更新、脆弱性のパッチ適用、アクセス制御の再構成など、必要な技術的調整を行います。
• トレーニングと意識向上：新しいポリシーおよび手順について従業員を教育します。

監視とレビュー:

• 継続的なモニタリング: 新たな脅威を迅速に検知して対応できるよう、継続的なモニタリング活動を行います。
• 定期的な見直し: IAM のポリシー、プロセス、コントロールを定期的に見直し、有効性を確認するとともに、組織のニーズに沿っているかを徹底します。

文書化と報告:

• 評価レポート: 各 IAM リスク評価の実施中に得られた調査結果、分析、および実施した是正（改善）対応を詳細に記載した包括的なレポートを作成します。
• 関係者とのコミュニケーション: 結果を関連する関係者と共有し、継続的な IAM 改善に対する支持を確実に得ます。

IAM のベストプラクティス

IAM セキュリティのベストプラクティスを遵守することは、組織全体のリスク露出を低減し、規制基準への準拠を確実にするために不可欠です。主なベストプラクティスは次のとおりです。

• すべてのリモートユーザーおよび重要な特権を持つ役割の担当者に対して MFA を必須化します。
• 要求する 一時的な権限昇格の認証情報 機密情報にアクセスする、または管理タスクを実行するため。
• 攻撃者が悪用できる誤設定（ミスコンフィグ）を定期的にスキャンします。
• 不要なアカウント、ロール、権限、およびポリシーは速やかに削除してください。
• すべてのアクセス活動の詳細な監査証跡を保持してください。
• 最新のセキュリティ脅威から保護し、新しいセキュリティ機能を利用できるように、IAMツールを定期的に更新してください。
• チームが最新のセキュリティ動向、脅威、および技術の進歩について常に把握できるようにし、IAMポリシーと運用を頻繁に見直して更新して、その有効性を最大化してください。

自分に合った IAM ツールの選び方

IAM ツールの選定プロセスは、まず組織固有の要件を詳細に評価することから始めるべきです。検討すべき事項には、ユーザー数、各ユーザーの役割の複雑さ、保護が必要なデータの機密性などが含まれます。ニーズや課題を十分に把握するために、機密データを頻繁に扱う部門（人事や財務など）から情報を収集してください。さらに、将来のニーズに対応できるようにスケール（拡張）可能であり、関連する業界または政府の規制へのコンプライアンスを可能にできることを確認してください。

候補を絞り込んだ後は、機能と、それが運用効率およびユーザー体験に与える影響を評価するためにパイロットテストを実施してください。あわせて、ベンダーのサポート体制とサービスレベル契約（SLA）が、貴組織のサポートおよび信頼性に関する基準を満たしていることを確認してください。

Netwrix がどのようにお役に立てるか

Netwrix IAM ソリューション により、アイデンティティとアクセスを優れた可視化と制御で実現できます。得られるものは次のとおりです：

• 潜在的な脅威を見つけるための、強力な監査（auditing）および行動の異常分析機能
• 迅速かつ効果的な対応を可能にするカスタマイズ可能なアラート
• GDPR などの規制への準拠を確実にし、証明するのに役立つ詳細なレポートGDPR, HIPAA、および SOX
• RBAC を使った自動ユーザープロビジョニングにより、管理負荷を大幅に軽減しつつ、アクセス権限の更新を迅速かつ正確に行えます
• MFA や堅牢なパスワード管理など、強力なセキュリティ対策
• シンプルなインターフェースと、他のシステムおよびアプリケーションとのシームレスな統合