課題発掘セッション
ざんねんなエンタープライズ・アイデンティティ〜あなたの会社のゼロトラストは大丈夫︖〜

2021年11月26日
デジタルアイデンティティＷＧ

渥美淳一

https://www.jnsa.org/active/std̲idm.html

アジェンダ【前半】アイデンティティの "外側" の課題発掘（20分）
1. Re︓ゼロトラストとは
2. アイデンティティが「無いゼロトラスト」と「あるゼロトラスト」
3. 外側（アイデンティティを使うソリューション）からみた課題を整理したい【後半】アイデンティティの "内側" の課題発掘（20分）
1. ゼロトラストにおけるアイデンティティって︖
2. アイデンティティって具体的に何を考えれば良い︖
3. アイデンティティの難しさ
4. アイデンティティの課題を体系的に整理したい
Copyright 2021

NPO日本ネットワークセキュリティ協会

1

前半担当
渥美 淳一
JNSA デジタルアイデンティティＷＧメンバー
ネットワンシステムズ株式会社 ビジネス開発本部 第１応用技術部 セキュリティチーム

記事・コラムプロフィール

Software Design 2020年11月号 特集記事

オンプレミスとクラウドを結ぶセキュリティアーキテクト。
アイデンティティ中心のゼロトラスト実装に注目している。

https://gihyo.jp/magazine/SD/archive/2020/202011

クラウド時代の「認証」再考論

https://techtarget.itmedia.co.jp/tt/series/3244/

保有資格

統合 ID 管理https://www.netone.co.jp/knowledge-center/blog-column/20210729-1/

・ Microsoft Azure Solutions Architect Expert
・ Microsoft Azure Security Engineer Associate
・ AWS Certified Security - Specialty
Copyright 2021

NPO日本ネットワークセキュリティ協会

パスワードレス認証

https://www.netone.co.jp/knowledge-center/blog-column/20210817-1/

2

Re︓ゼロトラストとはコロナ禍。クラウド隆盛。働き方の多様化。デジタル化と自動化。企業間コラボレーション。
ビジネスにおいて境界が曖昧となり、「場所で信頼する」という境界防御が通用しません。
では、何をもって「Untrusted」を「Trusted」と見なすべきでしょうか︖
UntrustedTrustedWeb

ゼロ
トラス
ト

AppWebAppWeb
AppWebApp

Copyright 2021

NPO日本ネットワークセキュリティ協会

3

SaaS

IaaS

・便利なモノをどう使うか︖はヒト次第
・境界の外にも中にも不正するヒトはいる

Re︓ゼロトラストとはセキュリティの「戦略」です。企業や組織によって最適解（守るべきリソース）は異なります。

ゼロトラス
ト例

戦略戦術

武器

米国国立標準技術研究所(NIST) SP 800-207

Software Defined
Perimeter

アイデンティティ管理

統合エンドポイント管理
Forrester
Zero Trust eXtended

エンドポイントセキュリティ
Gartner
Zero Trust Architecture

Copyright 2021

Identity Aware Proxy

NPO日本ネットワークセキュリティ協会

Secure Access
Service Edge

4

セキュリティ運用自動化

アイデンティティの無いゼロトラスト例

エンドポイント
セキュリティ

統合エンドポイント管理

診断

デバイス管理コンプライアンス診断

リソース

Copyright 2021

NPO日本ネットワークセキュリティ協会

5

監視セキュリティ
運用自動化

アイデンティティのあるゼロトラスト例
認証連携API 連携

プッシュ通知エンドポイント
セキュリティ

Cloud HR

電話・SMS

csv
人事システム統合エンドポイント管理

アイデンティティ識別診断

アイデンティティ
トークン発行

デバイス管理統合アイデンティティ管理

コンプライアンス診断

ライフサイクル管理
パスワードポリシー管理

認証連携

ゼロトラストネットワークアクセス
Copyright 2021

AD

NPO日本ネットワークセキュリティ協会

認可6

アイデンティティガバナンス管理 など

リソース

監視

セキュリティ
運用自動化

LDAP

ゼロトラストに必要なアイデンティティ
0 アイデンティティ管理1

2

アイデンティティ識別アイデンティティ判定csv
人事システム• 多要素認証• コンテキストベース認証• リスクベース認証（行動分析）• デバイスコンプライアンス認証• トークン、セッションの確認• リソースへのアクセス認可• ファイルのダウンロード禁止• 不適切なサイトアクセス禁止

G SuiteSalesforce
Workday

Copyright 2021

アイデンティティ追跡

リソース

OpenLDAP

AD
AD
AD（xxx.com） （xxx.jp） （部署用）

3

NPO日本ネットワークセキュリティ協会

リソース

リソース

7

• いつ︖誰が︖何に︖何をした︖• 権限を与えすぎていないか︖• 異動等に伴うID/権限の棚卸• 紐づくデバイスも継続的に診断

ゼロトラストで意識されがちなアイデンティティ
0 アイデンティティ管理1

2

アイデンティティ識別アイデンティティ判定csv
人事システム• 多要素認証• コンテキストベース認証• リスクベース認証（行動分析）• デバイスコンプライアンス認証• トークン、セッションの確認• リソースへのアクセス認可• ファイルのダウンロード禁止• 不適切なサイトアクセス禁止

G SuiteSalesforce
Workday

Copyright 2021

アイデンティティ追跡

リソース

OpenLDAP

AD
AD
AD（xxx.com） （xxx.jp） （部署用）

3

NPO日本ネットワークセキュリティ協会

リソース

リソース

8

• いつ︖誰が︖何に︖何をした︖• 権限を与えすぎていないか︖• 異動等に伴うID/権限の棚卸• 紐づくデバイスも継続的に診断

内部不正を追跡できない
リソース

ID
管理

VPN

SFDC

全社利用

営業部門のみ

リソース

ID
管理

TrelloID
管理

プロジェクト管理

テレワーク

特定部門のみリソース

ID プロビジョニング

MS365

ID
管理

リソース

BoxID
管理

リソース

VDI

ID
管理リソース

ZTNA会
議

リソース

ID
管理

Slack

特定部門のみCopyright 2021

NPO日本ネットワークセキュリティ協会

Zoom
リソース

9

ID
管理

特定部門のみIT部門のみゼロトラストに必要なアイデンティティ
0 アイデンティティ管理・便利なモノをどう使うか︖はヒト次第・境界の外にも中にも不正するヒトはいる3

アイデンティティ追跡csv
人事システムリソース

OpenLDAP

AD
AD
AD（xxx.com） （xxx.jp） （部署用）

外部不正対策統合

1

アイデンティティ識別2

G Suiteアイデンティティ判定

内部不正対策Salesforce• いつ︖誰が︖何に︖何をした︖• 権限を与えすぎていないか︖• 異動等に伴うID/権限の棚卸• 紐づくデバイスも継続的に診断

Workday

Copyright 2021

NPO日本ネットワークセキュリティ協会

10

内部不正対策ゼロトラストの課題発掘
アイデンティティの運用負荷をどうしますか︖
内部でもアイデンティティが必要ですか︖
特権を持つアイデンティティは大丈夫ですか︖
多要素認証したアイデンティティは安心ですか︖
ゼロトラストを実装すれば安心ですか︖
Copyright 2021NPO日本ネットワークセキュリティ協会

11アイデンティティの運用負荷をどうしますか︖
セキュリティ強化と同時に、自動化・省力化による管理者とユーザーの負荷軽減の検討が望ましい。
A社
自動化

UEM

Salesforce

AD

デバイス診断の自動化
自動プロビジョニング
B社
自動化
FIDO2

SSO
Copyright 2021

NPO日本ネットワークセキュリティ協会

人事システム

IDaaS
自動化

認証連携

パスワードを使わないことが運用負荷の軽減、利便性向上、セキュリティ強化につながる

AD

csv

認可

SDP

12

リソース

合併

内部でもアイデンティティが必要ですか︖
内部不正もゼロトラスト対象。内へも外へも同一アイデンティティベースのセキュリティを一貫して提供。

Azure ADcsv
人事システムNEW

OpenLDAP
IdentityEngine

Okta
AD
AD
AD
（xxx.com） （xxx.jp） （部署用）

それぞれアイデンティティの連携設定が必要

GoogleIdentity

G SuiteSalesforce
AD

NPO日本ネットワークセキュリティ協会

アイデンティティとセッションの紐づけ（可視化・制御）

Identity
Firewall

Workday

Copyright 2021

SASE

13

リソース

特権を持つアイデンティティは大丈夫ですか︖
特権を自由に使わせることが「内部犯行」「不注意によるトラブル」につながる。攻撃者にも狙われやすい。
リソース例）
Microsoft 365 は特権ロールが 30 超ゼロトラストネットワークアクセス

Microsoft
365

・グローバル管理者
・ユーザー管理者
・ライセンス管理者
・パスワード管理者
・ヘルプデスク管理者

退職者

・Office アプリ管理者、など

アイデンティティ
ガバナンス管理

Copyright 2021

NPO日本ネットワークセキュリティ協会

14多要素認証したアイデンティティは安心ですか︖
盗まれた Cookie が特権ユーザーのものだったら︖ 多要素認証とシングルサインオンで万事解決ではない。

IDaaS

リソース

（例）SAML プロトコルによるシングルサインオン❸ SAMLRequest❹ 多要素認証❺ SAMLRequest❻ SAMLResponse❶ アクセス❷ SAMLRequest❼ SAMLResponse❽ Set-Cookie❾ Cookie

マルウェア等による Session Cookie の盗難（Pass-the-cookie 攻撃）
Copyright 2021

NPO日本ネットワークセキュリティ協会

15

ゼロトラストを実装すれば安心ですか︖
アイデンティティの持ち主（従業員等）の「教育」「セキュリティ意識改革」もゼロトラストの本質の一つ。

RBAC（ロール）
徹底した
本人確認

あるべき姿の教育・意識改革

ビジネスロールを IT ロールにマッピング
ABAC（アトリビュート）

ゼロトラスト最小特権の原則

部署などのユーザー属性による制御
CBAC（コンテキスト）
デバイス信頼性、振る舞い等による制御

動的にアクセス制御
リソース

Copyright 2021

PBAC（ポリシー）
よりきめ細やかな ABAC / CBAC

NPO日本ネットワークセキュリティ協会

16• 内部統制強化とアイデンティティ• IT セキュリティとアイデンティティ• クラウドにおけるアイデンティティ• リスクのあるアイデンティティとは• アイデンティティの正当性担保• アイデンティティと権限の棚卸し• アイデンティティ関連ログの利活用• ロール等の管理のベストプラクティス• ロール等の管理の大変さ、失敗例

前半まとめゼロトラスト実装へのアプローチは「守るべきリソース」によって変わる
それでもアイデンティティは、ゼロトラスト実装に「なくてはならない」
アイデンティティと権限を確認し、あらゆるアクセスを動的に制御、常に監視
多要素認証やシングルサインオンは重要だが、その後（セッション）への配慮も必要
体系的に整理されたアイデンティティが、ゼロトラストの「礎」となる

では、アイデンティティを整理するとは︖ 何が良くなる︖ 【後半へ】Copyright 2021

NPO日本ネットワークセキュリティ協会

17Copyright 2021

NPO日本ネットワークセキュリティ協会