再発見セッション：
エンタープライズ・アイデンティティー～これまで・これから～デロイト トーマツ サイバー合同会社 シニアマネジャー 大森 潤
SailPoint Japan シニアセールスエンジニア, CISSP,CISA,CISM 佐藤公理

Copyright 2021 NPO日本ネットワークセキュリティ協会

目次• IT環境の変化、アイデンティティ管理の必要性• アイデンティティ管理 今昔• ロール管理 今昔• 特権ID管理 今昔• まとめCopyright 2021 NPO日本ネットワークセキュリティ協会

自己紹介 佐藤公理 SailPoint シニアSECISSP（公認情報システムセキュリティプロフェッショナル）
CISA（公認情報システム監査人）、CISM（公認情報セキュリティマネージャ）
2001年より現在までサン・マイクロシステムズ、ノベル、マカフィー、エントラスト、SailPoint においてセキュリティ・デジタルアイデンティティ分野のコンサルタント、プリセールスエンジニアとして活動。幅広いセキュリティ分野の知識・経験と、コンサルタント、プリセールス・エンジニアとしての現場感を大切に、製品・サービスとITの現場をつないで、安心・安全な情報システムを少しでも増やすことを目標に日々精進中。

＜主な活動＞
2020年: JNSAデジタルアイデンティティWG：「クレデンシャルの歴史」執筆者
https://www.jnsa.org/result/digitalidentity/index.html
2016年: JNSAデジタルアイデンティティWG：エンタープライズにおける特権ID管理解説書（第１版）主要執筆者
https://www.jnsa.org/result/2016/idm_pum/index.html

自己紹介 大森潤 Deloitte Tohmatsu Cyber
大森 潤
デロイト トーマツ サイバー合同会社
シニアマネジャー
情報処理安全確保支援士
略歴2005年より現在まで日本オラクルおよびデロイトにおいて、サイバーセキュリティおよびデジタルアイデンティティ分野のコンサルタント、プリセールスエンジニアとして活動。ゼロトラストセキュリティ、アイデンティティ・アクセス管理（IAM）を中心としたセキュリティ基盤構想・戦略の策定とともに、IAM各種（クラウド認証基盤、アイデンティティガバナンス、特権アクセス管理、カスタマーID管理基盤等）、端末管理、SWG/CASB（クラウド利用のセキュリティー対策）などの個別施策の推進、技術的な助言業務などに従事。
＜主な活動＞
2011年: JNSAデジタルアイデンティティWG：「クラウド環境におけるアイデンティティ管理ガイドライン」執筆者
https://www.jnsa.org/result/digitalidentity/index.html

IT環境の変化

Copyright 2021

NPO日本ネットワークセキュリティ協会

サイバーに注目が集まる様々な要因
デジタル化・働き方の変化✓デジタル変革の加速的進展✓グローバル化・事業再編の波

ビジネス
環境

✓New Normalによる環境変化
✓・・・

法規制
環境
脅威
環境

国内外における法規制・ガイドラインの制定・改正✓ サイバーリスクに関する法規制・業界ルールの強化✓サプライチェーンリスクへの対応要請✓企業間の機密情報管理の厳格化✓・・・

サイバー攻撃の被害深刻化✓国家規模のサイバー攻撃✓ランサムウェアによる二重恐喝、世界同時多発的被害の発生✓制御系にまで波及するサイバー攻撃✓IoTシステム・サービスへのサイバー攻撃深刻化✓攻撃による経済的損出の増大化✓・・・

主流は攻めと守りのサイバー対策
目的

DX推進のための投資

製品・サービス品質の向上

既存ビジネスの差別化

企業の動向◼ dXは事業変革において最も重要なドライバーとして捉えられており、日系企業の76%がdXに着手済み、または着手予定◼ dX推進において「サイバーセキュリティ」は「投資コスト」、「人材不足」とともに3大課題の一つとCxOには認識されている◼ dXにおいては、フィジカル空間、サイバー空間をより一層融合させ、製品・サービスの付加価値を向上させることが重要◼ サイバーセキュリティ対策を製品・サービス品質の重要な要素、研究・開発投資の一部と捉え、サイバーセキュリティ対策を促進◼ サイバーセキュリティ対策を調達基準に入れる政府機関・企業が増えている◼ ISO、NIST等の標準化団体、業界団体からは、サプライチェーンセキュリティに対する要請が高まっており、法規制化の動きもみられる

サイバーアジェンダ

共通のアジェンダ

DX連動型のサイバー戦略

データ利活用と保護の全体方針
攻めと守りのプライバシー戦略
製品・サービス
セキュリティ戦略

セキュリティ
戦略・ポリシーサプライチェーン
セキュリティ

Security by Designの実現
グローバル
セキュリティガバナンス
Copyright 2021 NPO日本ネットワークセキュリティ協会

経営課題としてのサイバー対策◼50%以上の企業では4半期より高頻度でサイバーセキュリティに関する報告が経営層になされている
都度

年次

2%

◼約90%の企業でサイバーセキュリティに関しては日常的にCxOにレポートされている(%) 35

毎月32304%

15%251920

四半期
半期
31%

48%

151211109105340CEO
出所: The future of cyber survey 2019 | Cyber everywhere. Succeed anywhere.
Deloitte Development LLC. See www2.deloitte.com/us/cyber

CIO

CTO

CROCCO

COO

BoardOthers

Copyright 2021 NPO日本ネットワークセキュリティ協会

IT環境における変化
働き方の多様化
社外ユーザーの増加

67%

大企業のうち67%は今後も契約社員や外部委託者等の契約が増えると予想。また人外労働力の導入も進んでいる。

外部NWからのアクセスの 45%増加
モバイルや外部ネットワークからのアクセスが増加。45%の企業はセキュリティを懸念している。COVID19によるリモートワークの増加もあり、この懸念は増大している。

ジョブ型働き方
ジョブ型の働き方が増え、またベンチャー企業連携や産学連携など、社外コラボレーションも活発化している。

クラウドシフトクラウド利用73%

73%の企業がすでに何らかのクラウドプラットフォームを利用している

複数のクラウド利用

42%

ビジネスモデルの転換

35%

大企業の35%がビジネスモデルの転換を検討しており、そのうち半分が業務の「デジタル化」を検討をしている。

新しい技術の活用

86%

業務のデジタル化を検討している企業の86%がアプリ開発などの必要に迫られており、RPA、BlockchainやAIの活用などに乗り出している

42%の企業では複数のクラウドプラットフォームを利用している

企業システム内のクラウド利用割合

DX*の促進47%

クラウド導入している企業ではオンプレとのハイブリッドの状態であり、平均して47%のシステムがクラウドとなる
出所:Okta The Digital Enterprise report 2019

Copyright 2021 NPO日本ネットワークセキュリティ協会

複雑化するIT環境
いままでのIT環境複雑化したIT環境

ネットワークを軸として「信頼」したゾーンのみアクセスを許容する

ITリソースへのアクセス境界が曖昧となっている

自宅等

信頼範囲(社内ドメイン等)

社内リソース

IDの利用範囲

・・・
VPN

社内APP

DB

個人用PC

社内APP

Server/DB

多様なデバイス
IT Tool

NW Device

CloudApp

仮想マシン

MobileAPP

支社

OS

業務用PC
仮想マシン

クラウドサービス

専用線

業務用PC

業務用PC

BYOD

Mobile社内環境

外部環境

Tablet

外部環境

外部環境からのアクセス
従業員

IT管理者

RPA

外部協力者

委託先

AI

・ITリソースのアクセス境界はIPセグメントやFWが主となる・複雑化したIT環境ではクラウド等、社内の外側にもITリソースが存在する・社外からのITリソースへのアクセスはVPNや専用線を用いて行い、それ以外のアクセスは基本的に不可・そのため、アクセス境界が曖昧となり、使用者、場所、時間およびデバイスに関わらず柔軟なアクセスが求められる・定められた範囲のITリソースを守る形でセキュリティ境界を敷く事で、一定程度のセキュリティを担保した・どこからでも、どのデバイスからでもITリソースへのアクセスが求められるため、セキュリティレベルの維持が困難
Copyright 2021 NPO日本ネットワークセキュリティ協会

再注目されるデジタル・アイデンティティ

デジタル・アイデンティティ
デジタル空間での自分を表すもの。

Copyright 2021 NPO日本ネットワークセキュリティ協会

アイデンティティ中心の世界
アイデンティティを境界としたIT環境

アイデンティティにアクセス権を付与し厳密な管理の元でITリソースを利用させる
従業員

業務用PC

社内APP

外部協力者

個人用PC

仮想マシン

IT管理者

TabletCloud App

アイデンティティ
RPA

AI

MobileMobile App
実質的にIDが各ITリソースへのアクセス境界となるため、より重要度は増している

・曖昧となったアクセス境界は実質的にアイデンティティが各ITリソースへのアクセス境界となる。そうすることで、誰が、どういうデバイスでどこからアクセスしようと、セキュリティポリシー（アクセス制御だけでなく、個人情報保護等のプライバシー対応）の適用が一律に行うことができる。また新規のITリソースを追加する際にもそのアイデンティティの管理ができていることで、新しい働き方への対応や、NW等の追加投資なしに使い始めることができる・従業員、外部協力者等の人だけではなく、RPA、AI等の人間外のアイデンティティも管理対象となる。
・その反面、アイデンティティ単位でセキュリティを管理するため真正性や鮮度など厳密な管理が求められる
Copyright 2021 NPO日本ネットワークセキュリティ協会

アイデンティティ管理 今昔

Copyright 2021

NPO日本ネットワークセキュリティ協会

アイデンティティ管理 今昔
昔

今

オンプレ

オンプレ＋クラウド

ウォータフォール、発注

アジャイル、内製化

パッケージ

SaaS、PaaS、IaaS

社員、たまに派遣

社員、派遣、委託先、パートナー

コンプライアンス（監査レポート）

ガバナンス（棚卸・アクセスレビュー）

大きく変わったのは？
アイデンティティ管理とは？（昔）ライフサイクルに応じて対象システムに対してユーザアカウントの作成・変更・削除等を行うこと。（プロビジョニング）Copyright 2021 NPO日本ネットワークセキュリティ協会

大きく変わったのは？

User Administration & Provisioning（ユーザ管理＆プロビジョニング）大きく変わったのは？

User Administration & Provisioning（ユーザ管理＆プロビジョニング）+Identity & Access Governance（アイデンティティ＆アクセスガバナンス）

大きく変わったのは？

Identity Governance and Administration
アイデンティティガバナンス＆管理=
User Administration & Provisioning（ユーザ管理＆プロビジョニング）+Identity & Access Governance（アイデンティティ＆アクセスガバナンス）

大きく変わったのは？
アイデンティティ管理とは？（今）ライフサイクルに応じて対象システムに対してユーザアカウントの作成・変更・削除等を行い（プロビジョニング）、適切に実施されているかを確認・レビューすること（ガバナンス）

Copyright 2021 NPO日本ネットワークセキュリティ協会

プロビジョニングとガバナンス
リソースへのアクセス権
人

アクセス権

データ | リソース

Copyright 2021 NPO日本ネットワークセキュリティ協会

プロビジョニングとガバナンス
ライフサイクル
入社
異動
退職

プロビジョニング
Administration
人

グループ、ロール、プロファイル、個別設定

アクセス権

データ | リソース

Copyright 2021 NPO日本ネットワークセキュリティ協会

プロビジョニングとガバナンス
ライフサイクル
入社
異動
退職

プロビジョニング
Administration人

ガバナンス
Governanceグループ、ロール、プロファイル、個別設定

アクセス権

誰が申請したか誰が承認したかいつ付与されたか
今も必要か
最後に利用されたのは最後に認定されたのは利益相反関係はないか

データ | リソース

誰がオーナーか特権アクセスか
構成は正確か
最後に確認されたのはCopyright 2021 NPO日本ネットワークセキュリティ協会

なぜ、常に確認・レビューが必要？
サイバーセキュリティの視点

コンシューマ
金融取引の視点

引用元
地銀および信金信組等に求められる継続的顧客管理措置 | PwC Japanグループ
https://www.pwc.com/jp/ja/knowledge/journ
al/ginkojitsumu2012.html

Copyright 2021 NPO日本ネットワークセキュリティ協会

なぜ、常に確認・レビューが必要？
ある時点（入社、異動時等）にアカウント情報・アクセス権限が正当・確かであったとしても将来的に・あるいは“今”正当・確かであるとは限らない。

継続的に、アイデンティティ情報を確認・レビューし、最小権限の原則を維持することが必要
Copyright 2021 NPO日本ネットワークセキュリティ協会

昔から変わらないのは？
• david.chan@ntbc.com• Org: Finance• entitlements• x x xSalesforce • ...

アイデンティティ管理
プロジェクトの課題••••••

ORACLEHR

アプリケーション多数
データセンターからクラウドまで部門単位にSaaSを導入
アプリごとにアカウント名が異なる
権限の概念や種類もさまざま
用語もバラバラ

G-SuiteO365• E-ID: 40218231• Name: David Chan
• Mgr is: Terry Burgess• Location: TH• Dept: Finance• entitlement• x x x• ...

AD• ou: corp.finance• cn: David.Chan• Logon: David.chan• Group: Finance• x x x
• ...

MSSQL
• user:dchan• Dept: Finance• entitlement:
T-codes• x x x• ...

SSOERP• user: dchan1• Group: Finance • user:dcahn2• x x x• Dept: FI• ...
• entitlement• x x x
• ...

AS400

DBCyberArk• x x x . . .
• id:admin1• Name: David.Chan• Logon: server farm C• x x x

アイデンティティ
管理は難しいアイデンティティ
管理プロジェクトも難しい昔から変わらないのは？
アイデンティティ管理アンチパターン「絵に描いた餅」「業務知らず」「製品そっちのけ」“社内の関係者（業務部門や運用担当 “製品・サービスを想定せず、あるべき論での企画・要件定義・）を巻き込まずに企画・要件定義”“アイデンティティ管理の業務フロー 設計。追加開発続出！”を把握せず、現場からの反発”

全社プロジェクト化
アイデンティティ管理
業務・システムの把握

製品サービスの理解（ドキュメント・トレーニング・簡易検証）「ブラックボックス
プロビジョニング」「つながるだろう症候群」“連携先の仕様調査不足・アイデンティティ管理サービス・製品の仕様への過信。想定通りに連携できない・追加工数発生！”

連携システム毎の連携方式・連携内容の調査引用元：書籍 クラウド環境におけるアイデンティティ管理ガイドライン | JNSA アイデンティ
ティ管理WG https://www.amazon.co.jp/dp/4844395866
を参考に資料作成

ロール管理 今昔

Copyright 2021

NPO日本ネットワークセキュリティ協会

そもそもロール管理がなぜ必要なのか？
• 前提• 情報システムを利用するには、ユーザが利用するアカウントが当該情報システムに対するアクセス権を有している必要がある。

引用元：エンタープライズロール管理解説書（アイデンティティ管理WG）| JNSA
https://www.jnsa.org/result/2016/idm_guideline/index.html
Copyright 2021 NPO日本ネットワークセキュリティ協会

そもそもロール管理がなぜ必要なのか？
• ロール管理が必要な背景①• ユーザとアクセス権を1対1で管理している場合。ユーザの数×利用するアクセス権分の管理が必要。

引用元：エンタープライズロール管理解説書（アイデンティティ管理WG）| JNSA
https://www.jnsa.org/result/2016/idm_guideline/index.html
Copyright 2021 NPO日本ネットワークセキュリティ協会

そもそもロール管理がなぜ必要なのか？
• ロール管理が必要な背景②• ユーザとアクセス権の関係は変化する。

引用元：エンタープライズロール管理解説書（アイデンティティ管理WG）| JNSA
https://www.jnsa.org/result/2016/idm_guideline/index.html

Copyright 2021 NPO日本ネットワークセキュリティ協会

そもそもロール管理がなぜ必要なのか？
• ロール管理がないと困る！
• ユーザとアクセス権の関係が変化すると。。。
• 実現不可能なほど複雑で手間のかかる作業が発生する。

引用元：エンタープライズロール管理解説書（アイデンティティ管理WG）| JNSA
https://www.jnsa.org/result/2016/idm_guideline/index.html
Copyright 2021 NPO日本ネットワークセキュリティ協会

そもそもロール管理がなぜ必要なのか？
• ロール登場！
• ロールとは！職務遂行に必要な各種情報システムに対するアクセス権の組み合
わせ• 管理の煩雑さを抑制し、適切な管理を実現！

引用元：エンタープライズロール管理解説書（アイデンティティ管理WG）| JNSA
https://www.jnsa.org/result/2016/idm_guideline/index.html
Copyright 2021 NPO日本ネットワークセキュリティ協会

そもそもロール管理がなぜ必要なのか？
• ロールを介してアクセス権を割り当てる・管理する。

引用元：エンタープライズロール管理解説書（アイデンティティ管理WG）| JNSA
https://www.jnsa.org/result/2016/idm_guideline/index.html
Copyright 2021 NPO日本ネットワークセキュリティ協会

そもそもロール管理がなぜ必要なのか？
• ロールを介することで変化の影響範囲が限定される

引用元：エンタープライズロール管理解説書（アイデンティティ管理WG）| JNSA
https://www.jnsa.org/result/2016/idm_guideline/index.html
Copyright 2021 NPO日本ネットワークセキュリティ協会

そもそもロール管理がなぜ必要なのか？
• ロールを介することで変化の影響範囲が限定される！！

引用元：エンタープライズロール管理解説書（アイデンティティ管理WG）| JNSA
https://www.jnsa.org/result/2016/idm_guideline/index.html
Copyright 2021 NPO日本ネットワークセキュリティ協会

そもそもロール管理がなぜ必要なのか？

SaillPoint Japanプレゼン資料より抜粋
Copyright 2021 NPO日本ネットワークセキュリティ協会

そもそもロール管理がなぜ必要なのか？

SaillPoint Japanプレゼン資料より抜粋
Copyright 2021 NPO日本ネットワークセキュリティ協会

そもそもロール管理がなぜ必要なのか？
アクセス権を効果的・効率的に管理するためにロール管理が必要
ロール管理なしでは、アクセス権の管理は実質的に不可能

Copyright 2021 NPO日本ネットワークセキュリティ協会

ロール管理 今昔
昔

今

オンプレ
グループマスタ、ロールマスタ、職務マスタ（社内システム用）

オンプレ＋クラウド
社内システム用＋SaaS、PaaS、IaaS

事前に設計。各システムで共有システムに合わせて柔軟に変更、レビュー運用でカバー

もう運用でカバーできない

ロール定義で自動割当

自動割当＋アクセス権申請

ADのグループモデリング、ディスカバリ
アクセス権棚卸

ロール管理 昔から変わらないのは？

引用元：エンタープライズロール管理解説書（アイデンティティ管理WG）| JNSA
https://www.jnsa.org/result/2016/idm_guideline/index.html「ロール管理の考え」必要性は変わらない昔から変わらないのは？
ロール管理でもアンチパターン「メンバ不明ロール」「似たもの同士ロール」「増殖していくロール」 「使用目的不明ロール」“ロールの見直し・削除・修正す“十分な検討を行わず、その場その場 る適切なプロセス・仕組みがなで必要なロールを作成した。結果、 い。結果、ロールが増殖・爆発類似のロールが乱立している。
している。”“ロールのメンバがわからない。”“ロールが使われているかわからない”

引用元：エンタープライズロール管理解説書（アイデンティティ管理WG）| JNSA
https://www.jnsa.org/result/2016/idm_guideline/index.html

失敗例（アンチパターン）は変わらない

ロール管理 大きく変わったのは？
設計できるもの（社内システム用のアクセス権）から最初から決まっている・存在するもの（SaaS やIaaSのアクセス権）へと管理対象が広がり、より効率的・効果的なロール管理が必要になってきた。
ロール管理自体の深化・進化が必要
クラウド等の複雑なアクセス権への対応変わらない失敗例を解決する方法（棚卸・分析）

特権ID管理

今昔

Copyright 2021

NPO日本ネットワークセキュリティ協会

特権管理 昔から行われている• 特権IDが、企業にとって大事、ということは変わっていない

引用元：エンタープライズにおける特権ID管理解説書（第１版）（アイデンティティ管理WG）| JNSA
https://www.jnsa.org/result/2016/idm_pum/index.html

特権ID管理

今昔
昔

今

監査対応

サイバーセキュリティ対策「特権ID管理」「特権アクセス管理」

特権ID管理今昔
昔今
オンプレ＋IaaS/PaaS/SaaS

オンプレ、OS/DB
パスワード

IT管理者、開発者、運用者、委託先、パートナー、人ではないアカウント（サービス/RPA/組込み）

貸出

パスワード⁺鍵⁺トークン

作業の録画

貸出・短期間

IT管理者/開発者/運用者

作業の録画＋不正操作
検知・制御

拡大するIT管理資産の範囲と特権≪拡大する管理資産の範囲≫
RDS ServiceInstance Pair key

RPA

Cloud-Native APP

DevOps Tool

IoT

≪従来のIT資産の管理範囲≫

正社員

Laptop

社内APP

DBOS

Laptop

業務委託者

外部委託者
執務室
社内環境

従業員

外部協力者

契約社員

仮想マシン

IT ToolOn-premises

NW Device

TabletMobile• 従来はNWで守られた範囲内にIT資産が存在したが、今後はその範囲外の 広域NWにIT資産が存在する• IoTによる他企業とのサービス連携を実現した場合、サプライチェーン全体で保護 する必要がある② ID/PW以外の管理の必要性

SaaS APPs

IaaS / PaaS

① IT資産の存在場所が多様化

オフショア• 人が利用するID/PWのみならず、Robotやサービス/埋め込みアカウントが利用するID/PWを管理する必要がある• EC2キーペア、APIのアクセスキー、SSHキー等を利用した特権利用を管理する必要がある③ 利用者、利用端末の多様化• 業務委託者や海外オフショア等利用ユーザが多様化する• 自宅等社内以外の環境やモバイル/ タブレット等接続端末が多様化する
Copyright 2021 NPO日本ネットワークセキュリティ協会

分散する特権｜特権ID
攻撃のエントリポイントが増大
クラウドサービス

社内リソース・・・
社内APP

ServerData Base・・・

ネットワーク

IaaS/PaaS

SaaS

Mobile APP

仮想マシン

多様なデバイス・・・
従業員が作成したRPAやサービ
スアカウントが特権を保持

業務用PC

MobileTablet

BYOD

社内環境

保守ベンダや業務委託先が特権を保持

外部環境

・・・
従業員

IT管理者

IT開発者

RPA

・・・
外部協力者

業務委託先

保守ベンダ

AI

Copyright 2021 NPO日本ネットワークセキュリティ協会

だからこそ難しい防御
複雑化するIT環境は脅威の侵入経路を増大させる

・・・
Cloud App

社内APP

Copyright 2021 NPO日本ネットワークセキュリティ協会

サイバーセキュリティ対策としての特権管理
Step 1/

攻撃手法手
順

偵察 / 武器化

限定的な被害Step 2

配送 / 攻撃遠隔操作

Step 3

権限昇格
重大な
被害

Step 4

水平探索
内部侵害

特権の奪取と昇格が被害拡大の境界となる

80%

Step 5

標的攻略

Database

ClientServer

機密情報

セキュリティ被害の80%は特権の認証情報を利用している**調査会社フォレスター情報

Copyright 2021 NPO日本ネットワークセキュリティ協会

特権ID管理

今昔
昔

今監査対応

サイバーセキュリティ対策「特権ID管理」「特権アクセス管理」

まとめ再発見したのは？

Copyright 2021

NPO日本ネットワークセキュリティ協会

まとめ• IT環境の変化、アイデンティティ管理の必要性• クラウドシフト等で複雑化する環境では、アイデンティティがアクセス境界となる• アイデンティティ管理 今昔• 継続的に、アイデンティティ情報を確認・レビューし、最小権限の原則を維持することが必要• ロール管理 今昔• ロール管理の考えの必要性は変わらない• ロール管理自体の深化・進化が必要• 特権ID管理

今昔• 特権ID管理は、今後サイバーセキュリティ対策として扱い、スコープの広がりやリスクを勘案したうえで対応する必要がある

Copyright 2021

NPO日本ネットワークセキュリティ協会

まとめ
サイバーセキュリティ対策・ITガバナンスの視点からアイデンティティ管理を変革していきましょう！

Copyright 2021

NPO日本ネットワークセキュリティ協会

Copyright 2021

NPO日本ネットワークセキュリティ協会