JNSA 2013年度活動報告会「 2013年度 アイデンティティ管理WG
成果報告 」
アイデンティティ管理WGリーダー
宮川 晃一（日本ビジネスシステムズ株式会社）2014 年 6月 10日（火） ベルサール神田

ＷＧ活動報告内容

１．２０１３年度の活動内容
２．エンタープライズID連携トラストフレームワーク
ポリシー検討３．エンタープライズロール管理
４．今年度の活動テーマ

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

1１．2013年度の活動内容について

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会2

２０１３年度活動内容について
２０１３年度は以下のテーマで議論をいたしました。
１．エンタープライズID連携トラストフレームワーク
ポリシー検討２．特権ID管理
３．エンタープライズロール管理
４．IDとプライバシー（勉強会）
５．ID管理ソリューション⽐較軸検討（IT&IDイベント⽤）
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会3

２０１３年度活動内容についてまた、各種セミナー協⼒、他団体連携を⾏いました。
１．ID & IT Management Conference 2013 (2013/9/18,9/20) 協⼒
２．Japan Identity & Cloud Summit 2014 (2014/1/14, 1/15) 協⼒
３．OpenID ファンデーション・ジャパン

EIWG

協⼒

『OpenID ConnectとSCIMのエンタープライズ利⽤ガイドライン』公開

４．経済産業省

ID連携トラストフレームワーク

検討委員会 協⼒

５．ID連携トラストフレームワークアイデアソン(2014/1/27)

参加

６．シンポジウム「アイデンティティ連携が⽣み出す社会」 参加(2014/3/14)
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

4２．エンタープライズID連携トラス
トフレームワークポリシー検討「トラスト確⽴のための共通ポリシーを考える」〜トラストを主張できるポリシーとは〜

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

5

1. クラウド利⽤時の認証基盤システム①ローカル認証⇒フェデレーションの認証利⽤
クラウド事業者

クラウドサービス利⽤企業

業務サービスB

業務システムA
ローカル認証ID情報

ID情報をクラウドサービス提供企業に預けたくない
IdP

ID情報

Federation

ローカル認証クラウド利⽤企業のID情報を預かりたくない(ID連携認証利⽤)

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

RP66

1. クラウド利⽤時の認証基盤システム②システム構成

源泉情報

ID

認

IDM

運⽤
統合

ID情報
マスター
(認証サーバ)

Federation(ID連携認証利⽤)

連携

SSO
IdP

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

CloudserviceRP77

1. クラウド利⽤時の認証基盤システム③フェデレーションが維持される前提条件
IDM

源泉情報

運⽤
統合

連携

ID情報
(認証結果が正しいための前提条件)マスター①適切な認証処理の存在②ID情報が正しく維持されている
認証処理が委譲される

SSO

ＩｄＰ

サービス提供側で認証しない。

Cloud
認証結果を信じる
service←←ワンタイムパスワードによる認証の要求←←→→認証結果回答→→→→→→→→→→ →→Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

RP8

2. ID情報と認証結果の正当性①構成要素
認証システム

適切なアクセス制御の維持

アクセス制御システム

引き渡し⼿続きポリシー

利⽤者の特定⼈事システム

⼈事情報DB

ID体系の定義

ID管理システム

ID情報
マスター
DB

IDライフサイクル管理ポリシー

ID管理システム

パスワードポリシー
認証ポリシー
アクセス制御ポリシー
ID情報
DBRP

ID情報
DB

ID情報
DB

IdP

プロビジョニングポリシー

ID管理システム

ID情報の鮮度維持

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

92. ID情報と認証結果の正当性②情報共有時のID情報の正当性の説明責任(1) 情報共有(プライベートクラウド/フェデレーションなし/申請書)
従業員

認

P

IT部⾨管理者

ID
利⽤
申請書

ID情報の正当性

情報共有元企業
ID情報
マスタDB
ActiveDirectory

情報共有時、共有元のID情報
は共有先のID管理システムで管理される
CSV

ローカ
ル認証

CSV RDB

情報共有元(例：⼦会社)は共有先(例：親会社)のID管理システムを利⽤する

従業員

情報共有先企業

認P
IT部⾨管理者

ID

ID
情報

ID情報
マスタDB
ActiveDirectory

CSV RDB

プライベートクラウド共有情報

CSV

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

1010

2. ID情報と認証結果の正当性②情報共有時のID情報の正当性の説明責任(2) 情報共有(プライベートクラウド/フェデレーションなし)
ID情報の正当性
情報共有元企業
共有元は①⾃社、②共有先
従業員
認のID管理システムを利⽤

P

IT部⾨管理者

ID

ID情報
マスタDB
ActiveDirectory

共有元→(説明先)→共有先
CSV
CSV RDB

ローカ
ル認証

トラストが必要複数
IDM

情報共有元(例：⼦会社)は共有先(例：親会社)のID運⽤管理に従い、ID情報を引き渡す
従業員

情報共有先企業

認P
IT部⾨管理者

ID

ID
情報

ID情報
マスタDB
ActiveDirectory

プライベートクラウド
共有情報

CSV
CSV RDB

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

1111

2. ID情報と認証結果の正当性③情報共有時の認証結果の正当性の説明責任(1) 情報共有(プライベートクラウド/フェデレーション)
従業員

認PIT部⾨管理者

ID

ID情報の正当性

情報共有元企業

共有元→(説明先)→共有先

IdP

トラストが必要

ID情報
マスタDB
ActiveDirectory

CSV RDB

LDAP

フェデレーション

情報共有元のIDの正当性(ID運⽤管理)を信頼する
従業員

情報共有先企業

認P
IT部⾨管理者

ID

ID
情報

ID情報
マスタDB
ActiveDirectoryRP

プライベート
クラウド
共有情報

CSV
CSV RDB

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

1212

2. ID情報と認証結果の正当性③情報共有時の認証結果の正当性の説明責任(2) 情報共有(SaaS/フェデレーション)
認

従業員

P

IT部⾨管理者

ID

ID情報の正当性

情報共有企業A

共有A→(説明先)→共有B
共有B→(説明先)→共有A

IdP

トラストが必要

ID情報
マスタDB
ActiveDirectoryLDAP

CSV RDB

フェデレーション

情報共有相⼿のIDの正当性(ID運⽤管理)を信頼する

従業員

認

P
IT部⾨管理者ID

情報共有企業BIdP
ID情報
マスタDB
ActiveDirectory

CSV RDBRP
フェデレーションLDAP

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

ID
情報

SaaS
共有情報
GoogleApps
salesforce.com
Office365
13

2. ID情報と認証結果の正当性④まとめ
フェデレーション
従業員

IdP

認

P

ID情報
マスタDB

ID
IT部⾨管理者

複数
情報共有
IDM
RP
GoogleApps
salesforce.com
Office365

LDAP
IdP認証サーバ

ActiveDirectory

RDB

ファイルサーバ

業務システムID情報DB

フェデレーション

複数
IDM

プライベートクラウド

RP

ID情報の正当性
ID情報と認証結果の正当性
企業→(説明先)→株主様共有元→(説明先)→共有先

J-SOXNPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会トラスト
Copyright (c) 2000-201414

3. トラストフレームワーク①基本モデル
Policy Maker(ポリシー策定者)
認定
Trust Framework Provider(トラストフレームワーク提供者)

契約

Identity
Provider

認定

監査契約

監査⼈

認証

Relying
Party
利⽤

利⽤者
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

15

3. トラストフレームワーク②学認モデル
Policy Maker(ポリシー策定者)

ICAM
認定

OIX
学認(NII)

Trust Framework Provider(トラストフレームワーク提供者)

契約

認定

監査

Identity
Provider

⼤学

監査⼈

LoA

認証

利⽤者
先⽣/学⽣

契約

Relying
Party

PubMedLoP

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

利⽤16

3. トラストフレームワーク③エンタープライズ環境での現状
Policy Maker(ポリシー策定者)

第三者機関
認定
なし

Trust Framework Provider(トラストフレームワーク提供者)

契約

Identity
共有元

Provider(Supply chain user)
認証

利⽤者
従業員

認定

監査

監査⼈

LoA
LoP

共有先
(Supply chain user)
契約

情報オーナー(Supplychain owner)Relying
Party

SaaS業者
利⽤

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

17

4. ポリシーを主張することでトラストを築く
エンタープライズ市場のトラストフレームワークにおいて第三者機関が存在しない状態で、情報を共有する場合、IdPでの適切な認証とアクセス制御が維持されていると主張できるポリシーの要点をまとめました。
参考資料を参照ください。
共有元

情報オーナー＆共有先

弱強ポリシーを主張することでトラストを築く

弱強

ポリシーの強要(ポイント)
1.多額の投資や多くの運⽤負荷がかからないリーズナブルなレベル。
2.以下の規定を参考にした。
①学認運⽤規定②PCIDSS (Payment Card Industry Data Security Standard)③FISC(Center for Financial Industry Information Systems)④SYMANTEC PKI CP/CPS
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

1818３．エンタープライズロール管理

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

19１．ロール管理の成果

全体像（２０１３年度）

 前年度の成果物として、「エンタープライズロール管理解説書（第1版）」を作成
 http://www.jnsa.org/result/2013/std_idm.html
 2013年度は、ケーススタディの章を追加

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

20

２．エンタープライズロール管理解説書
第1章 ロール管理とは
1.1. ロール管理の定義
1.2. ロール管理の意義
第2章 ロール管理導⼊指針
2.1. ロール管理導⼊の流れ
2.2. ロール管理導⼊における課題
2.3. 現状調査・企画フェーズ
2.4. ロール設計フェーズ
2.5. 実装⽅式設計フェーズ
2.6. 実装・移⾏・展開フェーズ

⽬次

第3章 ロール管理の運⽤
3.1. ロール管理の適性な運⽤の重要性
3.2. ロール管理運⽤の観点
3.3. トリガイベント分類ごとのロール管理運⽤ガイドライン
第4章

ロール管理の仮想企業
導⼊事例

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会21

３. ロール管理とは
ロール管理により、個別のユーザに対する個別のアクセス権の管理から、ユーザ集合に対するアクセス権集合の管理へ
ユーザー

アクセス権

アクセス先リソース

ユーザー

ロール

アクセス権

アクセス先リソース

承認権限

承認権限
売り上げ管理売り上げ管理承認者ロール
入力権限

入力権限

営業ロール
承認権限

顧客情報管理承認権限

顧客情報管理管理職ロール
入力権限

管理職メニュ権限

入力権限

社内ポータル

社員共通ロール
管理職メニュ権限

社内ポータル一般メニュー

一般メニュー

ロールが無い状態

ロールにより整理されている状態

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

22

4. ロールの分類とその関係ID管理での検討範囲

個人のID情報

集中管理

ビジネス・ロール
１ユーザ毎に１つ以上、職務を区分するためのロールが割り当てられるID情報をアプリケーションに対し直接的に割り当てると、管理性や拡張性が失われるため、レイヤーを用いて管理する
ビジネスユーザはビジネス・ロールを持ち、ITロールまたはアプリケーションロールにマッピングされる。

ITロール
１ユーザ毎に１つ以上、ﾋﾞｼﾞﾈｽﾛｰﾙに応じたｱﾌﾟﾘｹｰｼｮﾝﾛｰﾙのセットが割り当てられる

個別管理

アプリケーション・ロール
１ユーザ毎に１つ以上、アプリケーションに応じたロールが割り当てられる

ITユーザはITロールを持ち、ITロールはアプリケーション・ロールにマッピングされる。
アプリケーション管理者はアプリケーション・ロールを定義し、それぞれのシステム権限にマッピングする。

アプリケーションシステム設定Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

23

５.【参考】３階層のロール間の関係例
アプリケーション・ロール
ビジネス・ロール認証

社内システム

ー

認証基盤

メ

ポータル

×××

○

○

○

○

○

○

×

×

○

○

○

××

×

○

○

○

○

○

○

×

R002

×

○

○

×

○

××

○

○

○

○

○

××

承認ル

ュー

R003

×

○

○

×

×

○

×

×

○

×

×

○

×

×

システム部 運用管理者

R004

○

○

○

○

○

○

○

○

○

○

○

○

○

○

ヘルプデスク

R005

○

○

○

○

○

○

○

○

○

○

○○

○

×

管理スタッフ

R006

×

○

○

×××

○

○

○

○

○

○

○

×

一般スタッフ

R007

×

○

○

×××

○

○

×××

○

×

×

受入出向者

R008

×

○

○

×

○

×○

○

○

○

○

○×××

○

○

×

○

××

○

○

○

○

○

×××

○

○

×

○

××

○

○

○

○

○

××

R010

×

○

○

××××

○

××××××ACL

ACL001

01:グループ企業 スタッフ

02.その他企業

出向者

申請

ュー

○

一般社員

グルー

ュー

○

R001

ュー○

管理職

ューュー

×

役員

ッド
変
更ー

一般職制

出向者
用メ
ニ

管理メ
ニ

プ
企業
用メ
ニプ
メ
ニ

一般職用メニ

各種申請

ッ00:本社

分類

トス
ケジ

管理職用
メ
ニー

所属企業コードパス
ワ会
議室
予
約ュー

ル
アパ
カス
ウワ
ITロール ント ドロ初期
ク化
解除社
内
電話帳

その他

受入出向者
契約社員
協力会社社員

R009

ACL002

ACL003 ACL004 ACL005 ACL006 ACL007 ACL008

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

ACL009ACL010 ACL011 ACL012

24

６. ロール管理導⼊のプロセスとタスク
現状調査

ロール設計

実装⽅式検討

移⾏・展開

組織調査

組織型
ロール設計

プロビジョニン
グ⽅式設計

移⾏・展開
計画

職務分掌調査ライン型業務（部署別）調査
定型業務
プロジェクト型
業務調査
期間限定
対象システム
調査
対象法規制
調査

ライン業務型
ロール設計

プロジェクト型
ロール設計

ロール運⽤
設計

移⾏・展開
実施

ロール管理
対象範囲の確定

システムアクセス権設計

ＩＴロール設計

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

25

７. ロール管理ケーススタディーの⽬次
第4章 ロール管理の仮想企業導⼊事例
4.1. ⾦融業の仮想企業におけるロール管理導⼊事例
4.1.1. ⾦融業の仮想企業事例の全体像
4.1.2. 本事例でロール管理導⼊にあたり意識したポイント
4.1.3. 本事例のスコープ
 対象組織は、カスタマ本部（コールセンタ部、ビジネ
4.1.4. 現状調査
スセンタ部）、営業本部、情報システム部に範囲を絞る。
4.1.5. ロール設計
 対象情報システムは、ファイルサーバ、グループウェア、経費精算システム、コールセンタシステム、会員管理システム、営業管理システムに範囲を絞る。
 導⼊過程のうち、現状調査およびロール設計までの部分を説明する。
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

26

８. 仮想企業事例の全体像
仮想企業の概要：

クレジットカード会社「Jカード」
顧客の個⼈情報／決済情報を取り扱っている従業員数：3,000⼈、うち⾮正規社員：1,000⼈（コールセンタ等）
IT運⽤者が50⼈

ID/アクセス管理およびロール管理の課題：

⾮正規社員の管理が適正に実施できていないID／アクセス管理プロセスの標準化ができておらず、管理作業がすべて⼿作業で運⽤⼯数が増⼤、属⼈的な管理になっている
特権ID（システム管理者）の管理が適正に実施できていない
ロール定義が存在せず、管理基準や判断ルールが不明確になっている
課題を解決するために、ERP上で定義された「職責」をベースに、ロール定義およびロール管理システム導⼊の検討に取り掛かった
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

27

９. 【参考】事例企業がロール管理導⼊にあたり意識した点
管理プロセス・基準のルール化
PCIDSSなどの基準への対応
「職務分掌」
「監査」の観点
特権IDの管理
IT運⽤管理者、ITベンダ
「共有ID」、「メンテナンスID」(保守・開発⽤等）
「⼀時ID」
「ロールメンテナンス運⽤」のし易さを考慮
「兼務」、「引き継ぎ期間」など、⽇本特有の要件「例外（個別設定）」
詳細は「エンタープライズロール管理（第２版）」を参照ください
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

28

４. 今年度のテーマ

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会29今年度のテーマ（案）１．ロールマネジメントの検討（継続テーマ）
成果物改定
２．特権IDの検討（継続テーマ）
３．書籍改定作業（第２版）
４．アイデンティティとプライバシー勉強会
５．各種セミナー協⼒、他団体活動協⼒
６．その他テーマ＊現在、新規メンバー募集中！

６／１３（⾦）まで！

ＪＮＳＡ事務局まで！

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

30

WGメンバー紹介
氏名

所属

氏名

所属

1

宮川 晃一

日本ビジネスシステムズ（株）

20

長内 仁

NTT ソフトウェア（株）

2

木村 慎吾

（株）インテック

21

安納 順一

日本マイクロソフト（株）

3

川田 晋嗣

セコムトラストシステムズ（株）

22

邦本 理夫

（株）日立システムズ

4

齋藤 雅浩

富士通（株）23塩田 英二

TIS（株）5

南 芳明（株）シマンテック

24

酒井美香

日本IBMシステムズ・エンジニアリング（株）

6

貞弘 崇行

JBSソリューションズ（株）（日本ビジネスシステムズ（株））

25

桑田 雅彦

日本電気（株）7

大竹 章裕（株）ネットマークス

8

富士榮 尚寛伊藤忠テクノソリューションズ（株）

26

淺海 美哉

ソニー（株）

9

恵美 玲央奈（株）富士通ソーシアルサイエンスラボラトリ

27

佐藤公理

マカフィー（株）

10

篠原 信之

（株）シグマクシス

28

岩田 洋一

富士通（株）

11

宮島 秀彰

富士ゼロックス情報システム（株）

29

岩渕 琢磨

情報セキュリティ大学院大学（学生）

12

今堀 秀史

富士通関西中部ネットテック（株）

30

西中 芳幸

インタセクト・コミュニケーションズ（株）

13

福原 幸一

富士通関西中部ネットテック（株）

31

新嘉喜 康治伊藤忠テクノソリューションズ（株）

14

小林 智恵子

東芝ソリューション（株）

32

後藤厚宏

情報セキュリティ大学院大学（教授）

15

山田 達司

（株）ＮＴＴデータ

33

後藤 兼太

日本電気（株）

16

中島 浩光（株）マインド・トゥー・アクション

34

杉村 耕司

（株）ＮＴＴデータ

17

江川 淳一

エクスジェン・ネットワークス（株）

35

中林 聖裕

（株）ディアイティ

18

稲吉 英宗

伊藤忠テクノソリューションズ（株）

36

森田 陽一郎日本電気（株）19

栃沢 直樹

トレンドマイクロ（株）

計３６名（順不同）
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会31

書籍の紹介書籍名：＜改訂新版＞
クラウド環境におけるアイデンティティ管理ガイドライン
出版社：インプレスR&D NextPublishing
形態：電⼦書籍、Ondemand Print(POD)
販売： Amazon
インプレスR&D libura PRO
http://www.amazon.co.jp/dp/4844395866

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

32

ご参考資料トラストを主張できるポリシー案

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

33

①ID体系の定義〔ID管理対象者の明確化〕(例)ID情報マスターDBで管理しているID管理の対象者は①正社員、②⾮正社員、③ゲストアカウントです。
〔ユニークIDによる管理〕(例)各ユーザに⼀意のIDを割り当てています。

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

34

②パスワードポリシー〔パスワードポリシーの説明〕(例)パスワードポリシーは以下の通りです。
・IDと同⼀のパスワード、⽣年⽉⽇、password、会社電話番号等、⾃分の⾞のナンバー等の推測されやすいパスワードは利⽤しない
・数字と英字混在し7⽂字以上であること・ユーザが新しいパスワードを設定する時に最後に使⽤した４つのパスワードと同じものは使⽤できないetc.
〔定期的なパスワード変更〕(例)⻑期にわたって同じパスワードを使⽤し続けないよう、３か⽉ごとに変更する運⽤を⾏っています。
〔初期パスワードの変更〕(例)初期パスワードはユーザ毎に⼀意の値に設定し、初回使⽤後に直ちに変更する運⽤を⾏っています。
〔パスワードリマインダーの運⽤〕(例)パスワードリマインダーはユーザーが保持している携帯電話のメールアドレスに対してパスコードを送信する⽅式を併⽤しています。
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

35

③認証ポリシー〔社内の認証システムの存在〕(例)社内の各アプリケーションの認証はアプリケーションが保持するID情報DBでのローカル認証⽅式やLDAP、Active DirectoryのID情報DBでの外部認証⽅式を利⽤しています。
(例)社内の各アプリケーションの認証はシングルサインオンシステムを利⽤してセキュアかつ効率的に⾏われています。
〔フェデレーション技術の存在〕(例)クラウドサービスを利⽤する場合、フェデレーション技術を利⽤ します。
(例)SAMLのIdPとOpenID ConnectのOPのしくみを保持しています。
〔多要素認証システムの存在〕(例)IDの不正使⽤防⽌の本⼈特定の⽅法として、アプリケーションによってはパスワードによる認証だけではなく、ワンタイムパスワードによる多要素認証を⾏っています。

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

36

③認証ポリシー〔パスワードの有効性の維持〕(例)システムやデータへのアクセス権を不正利⽤されないように各アプリケーションの認証システムでは以下の機能を実装しています。
①ログオン中のタイムアウト②ユーザーにログオン履歴情報の提供③パスワード⼊⼒失敗回数制限④エラーメッセージからのパスワード推測防⽌
etc.

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

37

④アクセス制御ポリシー〔アクセス制御システムの存在〕(例)アクセス制御はID情報マスターDBのユーザ情報や組織情報等をベースにロール情報と紐付けされ、適切に管理され、各アプリケーションのアクセス制御システムで実装しています。
〔アクセス権限の⾒直しタイミング(通常運⽤外)〕(例)⼈事異動や組織変更以外にも以下の状況でアクセス権限の変更を⾏っています。
①⻑期出張、⻑期留学、⻑期休暇②新システム稼働時

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

38

⑤IDライフサイクル管理ポリシー〔IDライフサイクル管理の存在〕(例)ID管理の対象者毎に、適切なIDの登録、変更、削除に関する依頼⼿続及びメンテナンス⼿続きを⾏っています。
〔ID管理責任者とID管理担当者の役割分担〕(例)ID管理責任者とID管理担当者を明確化し、それぞれに対してID管理システムでの適切なオペレーション権限を付与しています。
〔ID情報の鮮度を保つしくみの存在〕(例)⼈事異動や組織変更の情報が、迅速かつ適時、ID情報DBに反映できるID
ライフサイクル管理とプロビジョニングのしくみを保持し、ID情報は常に最新の情報に更新されています。

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

39

⑤IDライフサイクル管理ポリシー(正社員)〔Authoritative Sourceの存在〕(例)正社員のID情報、組織情報は⼈事情報DBをAuthoritative Sourceとしています。
〔ID管理シテムによるメンテナンス内容〕(例)システム部署のID管理担当者は、⼈事異動や組織変更の内容を、ID管理システムを利⽤して、ID情報マスターDBに対して、CSVファイルで反映します。
〔ID管理責任者の確認作業〕(例)システム部署のID管理責任者は上記のCSVファイルの内容に関して適切かどうか、メンテナンスが⾏われる前に確認しています。
〔特に厳格に実施されている無効化処理〕(例)退職に伴うID情報の無効化処理や組織変更に伴う該当グループ情報からのメンバー削除処理は特に厳格、適切に⾏っています。
〔特に厳格に実施されている無効化処理〜棚卸処理〕(例)削除されるべきID情報やメンバー情報が残存していないことを確認するため棚卸処理を3か⽉毎に⾏っています。
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

40

⑤IDライフサイクル管理ポリシー(⾮正社員)〔管理⼿続きの存在〕(例)⾮正社員のID情報は、受け⼊れる部署の業務アシスタントが、ワークフローシステムを利⽤して、登録、変更申請処理を⾏い、受け⼊れる部署の業務責任者が最終承認/否認処理を⾏います。
〔ID管理シテムによるメンテナンス内容〕(例)システム部署のID管理担当者は、最終承認された登録、変更情報をID管理システムを利⽤して、ID情報マスターDBに対して、CSVファイルで反映します。
〔ID管理責任者の確認作業〕(例)システム部署のID管理責任者は上記のCSVファイルの内容に関して適切かどうか、メンテナンスが⾏われる前に確認しています。
〔特に厳格に実施されている無効化処理〕〕(例)無効化処理は登録時に設定される有効期限⽇をトリガーに⾃動的に⾏われます。
〔特に厳格に実施されている無効化処理〜棚卸処理〕(例)無効化されるべきID情報や削除されるべきメンバー情報が残存していないことを確認するため棚卸処理を3か⽉毎に⾏っています。
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

41

⑤IDライフサイクル管理ポリシー(ゲストアカウント)〔管理⼿続きの存在〕(例)ゲストアカウントのID情報は、訪問される部署の業務アシスタントが、ワークフローシステムを利⽤して、登録申請処理を⾏い、訪問される部署の業務責任者が最終承認/否認処理を⾏います。
〔ID管理シテムによるメンテナンス内容〕(例)システム部署のID管理担当者は、最終承認された登録情報をID管理システムを利⽤して、ID情報マスターDBに対して、CSVファイルで反映します。
〔ID管理責任者の確認作業〕(例)システム部署のID管理責任者は上記のCSVファイルの内容に関して適切かどうか、メンテナンスが⾏われる前に確認しています。
〔特に厳格に実施されている無効化処理〕(例)無効化処理はゲストが退社した時に受付業務担当者が⾏っています。

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

42

⑥プロビジョニングポリシー〔ID管理シテムによるプロビジョニング〕(例)ID情報マスターDBの情報はID管理システムにより、アプリケーションが保持するID情報DBや外部認証⽤のLDAP、Active DirectoryのID情報DBに適時、連携されています。
〔プロビジョニングポリシーの存在〕(例)プロビジョニングにより連携されるID情報は、アプリケーション毎に必要最低限の情報であることがポリシーにより定義されています。
〔クラウドサービスに対するプロビジョニング〕(例)フェデレーション技術を利⽤することで、クラウドサービスに対しては必要最低限の情報をプロビジョニングしています。

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

43

⑦引き渡し⼿続きポリシー〔正当なIDの保持者であることの確認〕(例)IDを保有者に引き渡す際に、本⼈であることについて厳重な確認作業を⾏っています。
(例)初回認証時(IDをActivateにする時)は、以下の⽅法で保有者が本⼈であることの再確認を⾏っています。
・通常の認証とは別な⼿段による認証（本⼈のみが知る情報など）の⼊⼒を必須にする(例)ID利⽤申請を⾏う際に、本⼈が申請に必要な情報を正当に保有していることの確認を⾏っています。
〔本⼈の情報確認の補完〕IDを保有者に引き渡す際に、本⼈であることの確認を補完する⼿段を有しています。(要求されるLoAのレベルにより必要な場合がある）

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

44

⑦引き渡し⼿続きポリシー〔本⼈がIDの保有に対する意思を持っているかの確認〕
悪意のある第三者が申請やActivateを⾏い、本⼈の取得と同時に搾取し、⾏使をすることを回避します(例)本⼈がID申請／保有を意図していない場合の否認表明⼿段を確保すると共にID失効⼿段を確保しています。
(例)ID発⾏時、本⼈の意思を確認します。
〔発⾏するIDと権限の定期的な棚卸〕
ID保有者の上⻑など、ID保有者以外による保有事実の確認と付与される権限範囲の確認を⾏っています。
(例)ID保有者の上⻑による棚卸（引き渡し時、運⽤開始後定期的に）(例)ID保有者の上⻑に対する権限変更時の承認プロセス(例)ID保有者の上⻑によるID失効⼿段の確保

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

45

⑦引き渡し⼿続きポリシー(エンプラ適⽤で考慮必要な内容)〔正当なIDの保持者であることの確認〕
IDを保有者に引き渡す際の、本⼈であることの確からしさの設定(例)ID引き渡す時は、以下の⽅法で⾏っています。(選択)(1)メールによる通知(2)郵送による通知(3)⾃宅への郵送（本⼈限定郵便を含む）(4)さらに異経路による通知の組み合わせ(5)出頭、⼿交(例)初回IDを認証時(Activateにする時)は、以下の⽅法で保有者が本⼈であることの再確認を⾏っています。
・通常の認証とは別な⼿段による認証（本⼈のみが知る情報など）の⼊⼒を必須にする(例)本⼈が申請に必要な情報を正当に保有していることの確認を⾏っています。
・適切な第三者の認証情報に依存して、IDの発⾏／引き渡しを⾏う〔本⼈がIDの保有に対する意思を持っているか〕
悪意のある第三者が申請を⾏い、本⼈の取得と同時に搾取し、⾏使をすることを回避する(例)本⼈がID申請／保有を意図していない場合の否認表明⼿段を確保すると共にID失効⼿段を確保しています。
・本⼈が意思を表明することで、正式なID発⾏を⾏う⼿続き・Activateする⼿続きを付加し、第三者による搾取を回避

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

46

⑦引き渡し⼿続きポリシー(エンプラ適⽤で考慮必要な内容)〔本⼈の情報確認の補完〕IDを保有者に引き渡す際に、本⼈であることの確認⼿段を補完することでIDの本⼈確認レベルを向上（LOAのレベルによっては必要）(例) ID引き渡す時は、以下の⽅法で⾏っています。(選択)(1)メールによる通知によるメールアドレスの確認(2)郵送による事業所所在の確認(3)⾃宅への郵送（本⼈限定郵便）による居住の確認（本⼈確認）(4)出頭、⼿交による確認(例)初回IDを認証時(Activateにする時)は、以下の⽅法で保有者が本⼈であることの再確認を⾏っています。
・通常の認証とは別な⼿段による認証（本⼈のみが知る情報など）の⼊⼒を必須にする組織の中での上長の活用
トラスト・フレームワークにおける身元確認スキームの応用Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

47

⑧その他
〔新規クラウドサービスに対するLoP評価〕(例)新規にクラウドサービスと連携する場合はクラウドサービスのSLAを確認して、クラウドサービス事業者の中で、ID情報が適切に管理されるか否かについて評価します。
〔新規システム追加時の設定変更規定〕〔ログシステムの併⽤〕(例)システムへのアクセス履歴を取得し、システムを監査証跡とし保持しています。また、アクセス記録を定期的にチェックし、不当なアクセスなのかどうかを調査していることをユーザに周知しています。
〔特権ID管理システムの併⽤〕(例)特権ユーザIDに関するアクセス権が、職務の実⾏に必要な最⼩限の特権に制限されています。
〔定期的な監査の併⽤〕〔個⼈情報保護法への対応〕〔リモートアクセスの制御〕

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

48

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

49