Zero Standing Privileges（ZSP）とは？定義、メリット、そして実現方法

何十年もの間、組織は静的な特権モデルに依存してきました。これにより、管理者やサービスアカウントは重要なシステムに対して永続的なアクセス権を持つことになりました。このアプローチは、インフラが集中化されており、環境が予測可能で、攻撃対象領域（アタックサーフェス）が限られていた時代には機能していました。しかし、その現実はもはや存在しません。

現代の企業は、ハイブリッドおよびマルチクラウド環境の上に構築されており、アイデンティティは人のユーザー、ワークロード、API、そして自動化されたプロセスにまで及びます。これにより、常時（永続的）アクセスはセキュリティ上で最も危険な負債の一つになります。静的な特権モデルは侵害を防ぐことができないだけでなく、侵害を積極的に可能にしてしまいます。

Zero Standing Privileges (ZSP) は、現代の攻撃がどのように成立するのか、そして従来のアクセスモデルがもはや実用的ではない理由を扱います。

常時（always-on）アクセスのリスク

常駐（スタンディング）権限は、膨大な攻撃対象領域を生み出します。privileged access が常に利用できるなら、攻撃者はセキュリティ対策を突破する必要はありません。侵害を開始するには、認証情報を侵害（窃取）するだけで済みます。

ハイブリッド環境やマルチクラウド環境では、特権アカウントに紐づいた露出（漏えい）したパスワード、OAuthトークン、またはAPIキーが、システム、クラウド基盤、管理用コントロールへの無制限のアクセスを可能にします。攻撃者はその後、横方向に移動して権限を昇格し、数か月間検知されずに活動し続けることができます。

新しい境界としての Identity

従来のセキュリティモデルでは、「強固に防御されたネットワーク境界」を前提としていました。境界内に入った後は、ユーザーやシステムは信頼できるという考え方です。しかし、クラウド導入、リモートワーク、SaaS、そしてAPI主導型のアーキテクチャが、その前提を打ち砕きました。

Identity は現在、主要なセキュリティ制御になっています。課題は、「誰がアクセスできるのか」「どれくらいの期間アクセスできるのか」を管理することです。ユーザー、ワークロード、サービスアカウント、または自動化プロセスからのアクセス要求はすべて、潜在的な侵入口を表します。

ZSP が現代の脅威を無力化する方法

継続的な昇格（特権）アクセスを排除することで、Zero Standing Privileges はセキュリティを検知から予防へと切り替えます。特権アクセスは、要求され、承認され、かつ実際にアクティブに使用されているときにのみ存在することを保証します。その結果：

• 盗まれた認証情報の価値が失われます 攻撃者は、アクティブで承認済みのセッション以外には特権アクセスが存在しないため、“休眠状態”の特権アクセスを悪用できないからです。
• 横方向への移動がより困難になります なぜなら、昇格（特権）アクセスが恒常的に利用できないからです。
• 特権昇格の試みが失敗します なぜなら、昇格（特権）アクセスがデフォルトでは存在しないからです。
• ランサムウェアや破壊的な攻撃は阻止されます 攻撃者が昇格されたアクセスを取得したり悪用したりできない場合です。

Zero Standing Privileges（ZSP）とは？

ZSP は、ユーザー、ワークロード、またはシステムが永続的な特権アクセスを保持しないことを前提としたセキュリティモデルです。昇格された権限は、デフォルトで割り当てられたり、「常時（always-on）」や「念のため（just in case）」のように“常に有効”な状態で維持されたりしません。代わりに、ZSP 環境では次のようにします：

• 常設の特権アカウントは存在しません
• 昇格されたアクセスはすべて一時的であり、必要なときにだけ付与されます
• 特権アクセスは、厳密に限定された期間のみ許可されます
• 特定のスコープがあります
• タスクが完了すると自動的に取り消されます

ZSP はセキュリティの状態であり、統制や機能ではありません。環境全体で常時の特権アクセスを取り除くことを意味します。

ZSP と従来の PAM の違い

従来の Privileged Access Management (PAM) システムは、常時存在する特権アカウントを「排除」するのではなく「保護」することを目的に設計されています。資格情報の保管（vaulting）、パスワードのローテーション、セッションの記録、特権操作の監視に重点を置いています。しかし、これは根本的な問題に対処しません。つまり、特権アカウントは常に存在してしまうのです。

ZSP は仕組みが異なります。永久的な特権を保護するのではなく、特権自体を完全に取り除きます。昇格したアクセスは必要になった瞬間に作成されます。具体的には、役割を一時的に割り当てる、短命のアカウントを生成する、または既存の Identity に対してきわめて限定された entitlements を付与することで実現します。タスクが完了すると、権限は自動的に取り消されます。

ZSP と just-in-time（JIT）アクセスの比較

JIT は、特定のタスクのためにシステムやリソースへ一時的な特権アクセスを提供する仕組みです。通常は、承認またはポリシーの検証（validation）の後に行われます。ZSP は、特権アクセスを取得するために使用される方法が JIT（または同等のオンデマンド機構）だけである場合にのみ実現されます。つまり、JIT が ZSP を可能にし、ZSP が「アクセスは常に一時的である」という最終状態を定義します。

常時の特権（Standing privileges）：無視できない持続的なリスク

常駐特権（Standing privileges）は、企業環境において最も悪用されやすい弱点の1つです。利便性やスムーズな運用をもたらす一方で、いかなる認証情報（credential）が侵害されたとしても、その被害範囲（爆発半径）を拡大させます。

常駐特権（Standing privileges）とは何ですか？

常駐特権（Standing privileges）とは、必要になっているかどうかに関係なく、ユーザー、サービスアカウント、システムに割り当てられる常時有効で、期限のない（perpetual）アクセス権です。いったん付与されると、高い権限（elevated permissions）は継続的な検証や監視が行われないまま、無期限に維持されることがよくあります。

常駐特権（Standing privileges）は通常どこに存在するか

常駐特権（Standing privileges）は通常、時間の経過とともに蓄積していき、主に運用上重要な領域に集中します。

攻撃者が常駐（standing）権限を悪用する方法

常駐（standing）権限は、攻撃者が最初の侵害後に足場を広げるために必要な労力を減らします。アクセス権がすでに存在するため、権限昇格を申請したり、不審なワークフローを起動したりする必要がありません。これにより次が可能になります:

• 横方向の移動（lateral movement）： 持続的な特権アクセスを利用して、侵害されたアカウントからより価値の高いシステムや機微なデータへ到達します。
• 認証情報の窃取（Credential theft）： 常に利用可能で再利用できるパスワード、トークン、ハッシュを抽出します。
• ランサムウェアおよび破壊的攻撃： 管理者レベルのアクセスを活用して、防御を無効化し、マルウェアを拡散し、システムを大規模に暗号化します。

Zero Standing Privileges は実際にどのように機能するか

Zero Standing Privileges は、アクセス ワークフローを通じて強制できます。つまり、昇格（権限上昇）が発生するたびに、それが意図的で、状況に応じていて、かつ一時的であることが求められます。

ZSP のワークフロー

ZSP モデルは「要求（request）– 検証（verify）– 承認（grant）– 取り消し（revoke）」のライフサイクルに従い、特権アクセスが検証され、時間的に制限され、監査可能で、必要なときにだけ存在することを保証します：

1. 要求： ユーザー、ワークロード、または自動化プロセスが、特定のタスクのために昇格されたアクセスを要求します。
2. 確認： 要求元の身元はリアルタイムで認証され、評価されます。文脈（時間、場所、デバイスのセキュリティ状態、リスクスコア）を確認します。
3. 許可： 承認されると、一時的かつスコープが限定された権限が付与されます。権限はタスクに必要なものに厳密に限定されます。
4. 取り消し： タスクが完了するか、時間制限が期限切れになると、アクセスは自動的に取り消されます。

「施錠された現金用ドロワー」のたとえ

ZSP を理解するのに役立つ方法として、「施錠された現金用ドロワー」のたとえを考えてみてください。ドロワーはデフォルトで閉じたままで、取引が必要なときだけ開きます。必要な金額だけ、取引に必要な正確な時間だけ開き、その後すぐに再び施錠されます。ずっと開けたままになっていて中身を出し切るのを待っているドロワーはありません。同様に、ZSP は特権アクセスを常にロックした状態に保ちます。権限昇格は正当なタスクが必要とする場合にのみ発生し、そのタスクが完了するとアクセスはすぐに消えます。

JIT アクセスおよび just-enough access（JEA）

ZSP は、運用効率を維持しながら過剰な特権アクセスを防ぐ 2 つの補完的な原則によって実施されます。

Zero Standing Privileges（常駐特権のゼロ） vs. just-in-time access（ジャストインタイム・アクセス） vs. least privilege（最小権限）

JIT アクセス、zero standing privileges（常駐特権のゼロ）、least privilege（最小権限）という概念は密接に関連していますが、それぞれ privileged access management の異なる側面に焦点を当てています。次の表は、それらの関係と違いを示します：

最新の ZSP プラットフォームの主要な機能

規模に応じて ZSP を実現するには、アイデンティティ、アクセス、リスクのシグナルを統合し、特権アクセスが安全で、かつ運用上も実行可能であることを保証できるプラットフォームが必要です。

JIT ワークフローによるオンデマンドのプロビジョニング

ZSP プラットフォームには、ポリシーに基づくワークフローで明確に要求され、承認された場合に限って、特権アクセスを動的にプロビジョニングできる機能が必要です。これらの JIT ワークフローにより、特権を持つアイデンティティは必要になるまで存在せず、アクセスは特定のタスクと期間に対してのみプロビジョニングされ、さらに自動化によって手作業による介入を最小限に抑えられます。

ロールおよび属性ベースのポリシー強制

ZSP プラットフォームは、静的な権限（static entitlements）ではなく、ロールベースおよび属性ベースのポリシーによってアクセス判断を強制します。ポリシーでは、誰がアクセスを要求できるのか、どのレベルの特権を付与できるのか、そしてどのような条件下で許可するのかを定義します。判断には、ユーザーのロール、アイデンティティの属性、グループ所属に加え、場所、時刻、デバイスのセキュリティ姿勢（device posture）、リスクレベル（risk level）などのコンテキスト情報が反映される場合があります。

セッションの監視と自動期限切れ

ZSP プラットフォームは、特権セッションをリアルタイムで可視化します。 アクセスが許可されると、アクティビティが想定される範囲内に収まるよう、セッションは継続的に監視されます。 セッションが承認された時間枠を超えたり、異常な振る舞いを示した場合は、アクセスを自動的に終了できます。

特権の取り消しトリガー

特権アクセスの自動取り消しは、ZSP が機能する仕組みの中核です。 効果的な ZSP プラットフォームは、時間ベースの期限切れ、タスクまたはワークフローの完了、セキュリティイベント（脅威やポリシー違反）の検知など、複数の取り消しトリガーをサポートします。

承認ルーティング

すべての特権アクセスが同じレベルのリスクを伴うわけではありません。ZSP プラットフォームは、要求の機密性（sensitivity）に応じて適応する柔軟な承認ワークフローをサポートします。リスクが低いアクセスは、あらかじめ定義されたポリシーに基づいて自動的に承認されます。一方、リスクが高い、または機密性の高い要求は、手動のレビュー（manual review）に回されます。

Zero Standing Privileges を徹底するメリット

ZSP は、セキュリティ、運用、コンプライアンスの観点で測定可能なメリットをもたらします。

攻撃対象領域（attack surface）の大幅な削減

特権資格情報（privileged credentials）が 24/7 常に存在していると、攻撃者はいつでもそれを盗み、悪用できます。ZSP は、承認済みで時間制限のあるセッションの外では特権アクセスが存在しないようにすることで、この露出（exposure）を解消します。

ゼロトラストの原則との整合

ゼロトラストでは、デフォルトではいかなる身元も信頼してはならないと想定します。ZSP は、恒常的に権限昇格されたアカウントに対する暗黙の信頼を排除することで、特権レベルでこの原則を直接適用します。

コンプライアンス支援

多くの規制フレームワークでは、最小権限、アクセスの正当化、監査可能性など、特権アクセスに対する厳格な管理が求められます。ZSP は、NIST、SOX、PCI DSS、および同様のアクセス制御重視の規制への準拠をサポートします。

より迅速で効率的な監査

特権アクセスが制御され、文書化されていると、監査がより簡単になります。ZSP プラットフォームは、誰が特権アクセスを要求したのか、アクセスが付与および取り消された時刻、アクセスが必要だった理由、そしてセッション中に実行されたアクションを示す監査トレイルを提供します。

サイバー保険の加入資格

サイバー保険会社は、組織が特権アクセスをどのように管理しているかを厳しく精査する傾向があります。ZSP を徹底することで、組織は強固な特権アクセス制御と、先回りしたリスク管理を示すことができ、その結果が保険料率、補償限度額、そして保険契約の更新に直接影響する可能性があります。

Zero Standing Privileges の実例（ユースケース）

ZSP のセキュリティモデルは、幅広い一般的な運用シナリオに適用されます：

Netwrixが Zero Standing Privileges の達成を支援する方法

Netwrix Privilege Secureは、ハイブリッド環境全体で特権アクセスを特定し、排除し、制御することを組織が実現できるよう支援します。オンデマンドで、監査可能で、かつ時間制限のある特権へ移行できるようにします。

常駐アクセスを検出して削除

ZSPを実現するには、まず特権アカウントの現状を把握するための可視性を確保する必要があります。Netwrix Privilege Secure は、オンプレミス環境とクラウド環境の両方にわたって、常駐の管理アカウント、シャドーまたは文書化されていない特権ユーザー、過剰、または未使用の権限などを含む特権アカウントと権限を検出できます。持続的な特権アクセスがどこに存在するかを特定することで、セキュリティチームは、それを制御されたオンデマンドの権限昇格へと体系的に置き換えられます。

ワークフローの自動化で JIT プロビジョニングを有効化

Netwrix Privilege Secure は、自動化されたポリシー駆動のワークフローにより、必要なタイミングで特権アクセスを提供します。特権アクセスは、明示的なリクエストが提出され、承認された後にのみプロビジョニングされます。主な特長として、期限を設定できる時間制限付きアクセス、タスクまたはシステムに整合した権限、そして時間枠が期限切れになった時点での自動的な取り消しがあります。

完全な監査ログ（監査トレイル）とセッションの可視化

ZSP には強い説明責任（accountability）が求められます。Netwrix Privilege Secure は、セッション監視や特権アクティビティの記録（RDP、SSH、その他の管理者アクティビティに関する詳細ログを取得）など、特権アクセスに関するエンドツーエンドの可視化を提供します。さらに、誰がアクセスを要求したか、誰が承認したか、アクセスが付与・取り消しされた日時、そして実行された操作内容を示す、監査にそのまま使えるトレイルも提供します。

IAM と SIEM の連携

Netwrix Privilege Secure は、アイデンティティプロバイダーおよびセキュリティ監視プラットフォームと連携し、集中管理された特権アクセス制御と脅威相関を実現します。組織は既存の IAM システムを活用して本人確認を行い、特権アクセスのアクティビティを SIEM アラートと関連付け、アイデンティティに基づく脅威に関わる検知・対応のワークフローを強化できます。

Zero Standing Privileges 導入のベストプラクティス

ZSP を成功させるには、組織はまず特権アクセスを可視化することから始める必要があります。この洞察を活用して高リスク領域を優先し、アクセス制御を改善してください。

特権アクセスを特定し、棚卸しする

どこに常駐特権が存在するのか分からなければ、それを排除することはできません。まずはオンプレミス、クラウド、および SaaS 環境全体で、すべての特権ユーザー、サービスアカウント、ロール、権限を特定してください。完全な棚卸しは基準（ベースライン）を確立し、隠れた特権アクセスが ZSP の取り組みを損なうのを防ぎます。

TEA の原則を適用する

効果的な ZSP の導入には、TEA の原則に従ってください：

• 時間制限： その場の作業に適した、定められた期間だけ特権アクセスを付与します。
• 権限の範囲制限： 最小特権の原則に沿って、必要最小限の権限にアクセスを制限します。
• 承認が必要： ポリシーまたは人による承認を通じてアクセス要求を検証します。

高リスクなアクセスから始めましょう

すべての特権が同じリスクを持つわけではありません。侵害された場合に影響範囲が最も大きくなるアカウントに注目しましょう。具体的には、ドメイン管理者、クラウドプラットフォーム管理者、ベンダー/請負業者アカウントです。

監視し、測定し、改善を繰り返す

ZSPは継続的な取り組みです。すべての特権アクセスは記録され、時間の経過とともにどのようにアクセスが要求され、どのように使用されているかを理解するために継続的に監視する必要があります。このデータを活用してアクセスのパターンを分析し、スコープをより厳格にするための機会を特定し、不審な挙動に対するアラートを設定し、運用上のニーズが変化するにつれてポリシーを洗練させていきましょう。

マシンのアイデンティティに対処する

多くの環境では、サービスアカウント、​自動化プロセス、​アプリケーションの認証情報（クレデンシャル）は、​通常、​永続的かつ過剰な特権を保持しています。長寿命のクレデンシャルを短寿命のトークンに置き換え、権限を特定のタスクに限定し、クレデンシャルのローテーションを自動化することで、非人間（ノンヒューマン）のアイデンティティにも、​時間的に制限された範囲のあるアクセスという同じ原則を適用してください。

よくある課題とその克服方法

ZSP の課題の多くは技術的なものではなく、運用面と文化面の問題です。

IT 部門または事業部門からの反対

レガシー システムの制約

承認の負担疲れとワークフローの摩擦

真の Zero Standing Privileges（常駐特権の排除）は実現可能ですか？

現実の環境では、Zero Standing Privileges（常駐特権の排除）状態を純粋かつ絶対的な形で達成することはまれです。実務的な目標は完璧さではなく、業務を妨げることなく、継続的に常駐（永続）する特権アクセスを減らすことにあります。

現実的な ZSP と理想的な ZSP

理想的な ZSP モデルでは、承認され、時間制限のあるセッション以外では特権アクセスは存在しません。しかし実際には、常駐（スタンディング）特権を 100% 完全に排除することは非常に困難です。停電・障害時に使用するブレークグラス アカウント、動的プロビジョニングをサポートできないレガシーシステム、静的な資格情報に依存する特殊なインテグレーションなど、特定のシナリオでは例外が必要になる場合があります。

マシン・アイデンティティと例外（エッジケース）

ZSP の課題のうち、最も複雑なものの一部は非人間のアイデンティティに関係しています。サービスアカウント、自動化されたプロセス、そして機器同士のやり取り（マシン対マシン）では、継続的な認証が必要です。組織は、長期間有効な認証情報を短命のトークンまたは証明書に置き換え、自動ローテーションと有効期限切れを強制し、権限を特定のタスクに狭くスコープし、利用状況のパターンを監視して異常を検出するべきです。

スペクトラムとしての ZSP

ZSP は「二択の状態」ではなく「成熟度のスペクトラム」として捉えてください。組織は、常設（standing）の特権の数・スコープ・期間を継続的に減らすことで、ZSP に向けて前進できます。ZSP の成熟度を示す主な指標には、恒常的に特権が付与されたアカウント数の削減、アクセス時間の短縮、低リスクなアクセスに対する自動承認、そして監査可能性と可視性の強化が含まれます。

まとめ：ZSP は特権アクセスの未来

静的で常時オンの特権モデルから、動的でオンデマンドのアクセスへ移行する流れが、いまや当たり前になりつつあります。常設（standing）の特権は、脅威アクターが積極的に悪用する持続的な攻撃面を生み出します。そしてアイデンティティが主要なセキュリティ境界になるにつれて、恒常的に権限を引き上げたアクセスを正当化することは難しくなっていきます。

Zero Standing Privileges は、このリスクに対処します。攻撃者がアクセス権を拡大して広範な被害を引き起こすために依存する条件を取り除きます。発生後に悪用を検出しようとするのではなく、ZSP によってそもそも特権アクセスが悪用されないように防ぎます。

実行手順：

• ユーザー、サービスアカウント、およびアプリケーション全体で、既存の特権アカウントを監査します。
• 継続的で過剰、またはもはや正当化されない standing access を特定します。
• ドメイン、クラウド、第三者アクセスなどの高リスクな特権を優先します。
• 永続的な権限を、要求に応じて一定時間だけ利用できるアクセスに置き換えるためのロードマップを策定しましょう。