JNSA 2017年度活動報告会「2017年度 アイデンティティ管理WG 成果報告」
日本電気株式会社（NEC)金融システム開発本部
金融デジタルイノベーション技術開発室(FDIT)
宮川 晃一
2018年 6月 12日

ＷＧ活動報告内容

１．WGの紹介
２．2017年度の活動内容サマリ
３．IoTにおけるチャットボットの認証と認可等

４．認証要素、認可要素、その関係の整理
５．2018年度の活動テーマ

Copyright (c) 2000-2018

NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

１．WGのご紹介

Copyright (c) 2000-2018

NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

WGの目的「アイデンティティ管理ＷＧの目的」
ＩＤ管理（アイデンティティマネージメント）分野は、セキュリティポリシーを実装する上での共通基盤として非常に注目されている分野です。
また、最近のクラウド環境利用においても益々重要な要素になっています。
本WGでは、アイデンティティ管理における、様々な課題をＷＧ討議の中で検討し、必要性の啓蒙および導入指針の提示による普及促進、市場活性化を目的に活動しています。
２００５年からWGを発足し今年で１3年目のWGです。

Copyright (c) 2000-2018

NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

WGの沿革エンタープライズ
ロール管理解説書（第2版）
内部統制におけるアイデンティティ管理解説書（第２版）

改定新版 クラウド環境におけるアイデンティティ管理ガイドライン

エンタープライズ
ロール管理解説書（第3版）
エンタープライズ特権ID管理解説書（第１版）

エンタープライズ
ロール管理解説書（第１版）
内部統制におけるアイデンティティ管理解説書（第１版）

発展期

導入期

誕生期
2005

クラウド環境におけるアイデンティティ管理ガイドライン

2007

2006

2009

2008

2010

全盛期

成熟期
2011

2012

2013

2014

2015

WG１０周年記念セミナー

合宿

個人情報保護法/ISMS

スマホ登場
J-SOX対応

ID管理
チェックリスト

OpenID ConnectとSCIMのエンタープライズ利用ガイドライン

2017

2018

クロスボーダー時代のアイデンティティ管
理セミナー

働き方改革

クラウドサービスの台頭
IFRS対応2016

マイナンバー法

GDPR/改正個人情報保護法

IoT/AI/DX
APIエコノミー

Copyright (c) 2000-2018

NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

公開中の成果物
１．エンタープライズロール管理解説書（第３版）
http://www.jnsa.org/result/2016/idm_guideline/index.html
２．エンタープライズにおける特権ID管理解説書（第１版）
http://www.jnsa.org/result/2016/idm_pum/index.html
３．OpenID ConnectとSCIMのエンタープライズ利用ガイドライン（JNSAと OpenID Foundation Japan との共同執筆）
http://www.jnsa.org/press/2013/131220.pdf
https://www.openid.or.jp/news/2013/12/openid-openid-connectscim.html
４．出版書籍＜改訂新版＞
クラウド環境におけるアイデンティティ管理ガイドライン

Copyright (c) 2000-2018

NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

6出版書籍の紹介
書籍名：＜改訂新版＞
クラウド環境におけるアイデンティティ管理ガイドライン

出版社：インプレスR&D NextPublishing
形態：電子書籍、Ondemand Print(POD)
販売： Amazon
インプレスR&D libura PRO
http://www.amazon.co.jp/dp/4844395866

Copyright (c) 2000-2018

NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

WGメンバー紹介HP
HP: http://www.jnsa.org/active/std_idm.html

Copyright (c) 2000-2016 NPO日本ネットワークセキュリティ協会
Copyright(c) 2000-2018 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

2018年度メンバー

計４９名 敬称略
会社名：五十音順

Copyright (c) 2000-2018 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 9

２．2017年度の活動内容サマリ

Copyright (c) 2000-2018

NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

2017年度の活動内容サマリ
2017年度活動状況【成果物】
・ID管理チェックリスト＝＞JNSA HP公開

【テーマ】
・IoTにおけるチャットボットの認証と認可等＝＞継続実施（本日ご説明）・アイデンティティとIoT（IDoT）＝＞継続実施
・認証要素、認可要素、その関係の整理（貞弘さん）＝＞継続実施（本日ご説明）・プライバシー勉強会（情報セキュリティ大学院大学の湯浅先生）＝＞独自セミナー
・アイデンティティLT大会（初心者向け）＝＞継続実施
・IDaaSの動向について＝＞要望が薄く実施せず
・GDPRの動向について（トーマツリスクサービス北野氏）＝＞独自セミナー
・セミナー企画（若手育成テーマ、プライバシー動向含む）＝＞独自セミナー【その他】
・JASA・ISACA大阪講演＝＞チェックリスト解説
・JICS2017講演＝＞講師対応
Copyright (c) 2000-2018 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

３．IoTにおけるチャットボットの認証と認可等

Copyright (c) 2000-2018

NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

課題提起

なぜチャットボットの認証認可が課題なのか？
• 従来の認証認可の仕組みはユーザーが能動的に個人情報を提供するモデ
ル（例：民泊したいので個人情報を提供）

認証・認可

ユーザー

• チャットボットは目的利用（統計解析、弁護士、医療等）ではあっても個人データはユーザーが垂れ流す中で、ボットがデータを受動的に得る

IdP

個人情報

民泊＝目的

民泊サイト

統計解析

個人情報

弁護士

（チャット空間での内容（個人情報）を“まずボットが見て”サービスを判断）

ユーザー

医者

内容？目的

ボット

チャットボットでの情報コントロールは従来モデルでは難しい？
13課題まとめチャットボットでの認証認可の課題まとめ
項目
チャットチャネルでのプライバシー保護について課題
・認証認可でプライバシー情報転送は最初の接続時のみ・チャットでは都度、様々なレベルの情報がボットへ転送認証認可（OIDC／OAuth2）の仕組みで、今後もよいか？

チャットチャネルとボットのあり方
バックエンドでのボットの結託

プライバシー保護の観点から、ボットとの接続はどうあるべきか？
接続構成｛１対１、１対ｎ、n対ｎ｝？アクセス権｛Read/Write}？
ボットの結託（DB統合）では、バックエンドで情報共有（結託）の可能性？

リアルタイム情報（チャット、音声、画像等）でのうまい認証認可の手段がない？
14

４．認証要素、認可要素とその関係の整理

Copyright (c) 2000-2018

NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

背景とゴール【背景】• アクセスコントロール系はいろいろとキーワード（リスクベース認証、トランザクション認証）や概念があって個々にどのようなモノかは分かるが、その関係がよく分からない【ゴール】• アクセスコントロールのモデルにおける、認証と認可の位置づけを確認• アクセスコントロール系キーワード/概念のそのモデルにおける位置づけを確認• 実際のユースケースを踏まえて、認証時に使う要素と認可時に使う要素の特徴と関係を明確化

Copyright (c) 2000-2018

NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

一旦、時系列でまとめてみた利用デバイスの割当

環境要素

利用デバイス
アクセス経路Subject
Attribute

本人の識別

誤操作、不正操作、漏洩などによる損害
ObjectAttribute

Credentialの適切な発行

ネットワークActionCredentialの保護

ネットワークレベル認証

Subject

Attribute&Action
ロール

Digital Identity
Provisioning

Context

AuthN

AuthZ

一般的な異常（例 IPアドレスブラックリスト）
異常の検知

異常の検知
当該Subjectに関する異常（例 通常と異なるAction）

当該identifierに関する異常（例 通常と異なる時間帯のアクセス）
ポリシー管理ポリシー管理AuthN時ルール

Copyright (c) 2000-2018

AuthZ時ルール

NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Action on
Object課題・コメント【課題・コメント】• NIST 800-63-3 に沿った形での整理が必要• Subjectは「人」に限定したほうがわかりやすい• いくつかのユースケースで検討を進める• トランザクション認証などは状態遷移を含めないと整理ができない• AuthNとAuthZはもっと細かく考えたほうがよいなど
Copyright (c) 2000-2018

NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

NIST SP800-63-3

https://pages.nist.gov/800-63-3/
https://www.jipdec.or.jp/sp/topics/event/20171013.html

デジタル認証のガイドライン

登録プロセス
身元保証

認証とライフサイクル管理

フェデレーションとアサーション

Copyright (c) 2000-2016 NPO日本ネットワークセキュリティ協会

19再整理（１）：認証（AuthN）

利用デバイスの割当行おうとする
ActionとObject

アクセス時の環境要素

Digital Identity
Provisioning
本人の識別

利用デバイス
アクセス経路Credentialの適切な発行

ネットワーク

Credentialの保護

ネットワークレベル認証

Subject

AuthN

Subjectの過去の認証履歴・統計

OK

この辺で利用認証要素が決まる

ポリシー管理Subject非特有の認証統計
静的異常データ（ブラックリストIPなど）
過去の履歴

AuthN時ルール

Copyright (c) 2000-2018

NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

NG再整理（２）：認可(AuthZ)
アクセス時点でのAttribute&Actionロール
Subject
Attribute

誤操作、不正操作、漏洩などによる損害
ObjectAttribute

ActionAuthN OK

Action on
ObjectAuthZ＝強度認証に使われた要素（AuthNContext）

AuthNを実施した主体
アクセス元IPアドレスなどのアクセス時の環境要素

ポリシー
管理

Subjectの過去のAction履歴・統計

Subject非特有のAction統計

MAC, DAC,RBAC

静的異常データ（あり？）
AuthN時の要素

過去の履歴

Copyright (c) 2000-2018

AuthN時ルール

NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

NG
アクセス不適切a.アクセス権無し
b.こういうことやったらアクセスしてOK（例 認証強度不足）

トランザクション認証

AuthZ

AuthN

AuthN

認証

より強い要素で認証

未認証

認証済
（L1）

状態の変化

トランザクション認証と呼ばれるモノ。
以下どちらもあり得る
・ 認証済（L2）に遷移する
・ 都度実施される認証済
（L2）

状態の変化
状態の変化
継続認証と呼ばれるモノ。
離席やトランザクション終了などにより状態の変化を検知

認証の状態変化→ 認証した瞬間だけでなくそれ以降の状態変化も考慮に入れる必要あり
Copyright (c) 2000-2018

NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

方針転換【元々の方針】• アクセスコントロール系のキーワードや概念の定義をはっきりさせて、それを元に（汎用的なユースケースで使える）アクセスコントロールモデルを整理する【転換後の方針】• WGメンバの知見から特定のユースケースのアクセスコントロールモデルを描き、それにキーワードや概念をマッピングする• 対象ユースケースは、人によるインターネットサービスへのWebブラウザーアクセスとする

Copyright (c) 2000-2018

NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

今後の方針【モチベーション】• NIST 800-63における各種レベル（LoIA, LoA, etc.）への背景理解を助ける【対象者】• 認証、認可について、学び始めた人たち【ゴール】• アクセスコントロールのモデルにおける、認証と認可の位置づけを明確化• 実際のユースケース（人によるWebサービス利用）を踏まえて、認証及び認可に影響する要素を図示＋明確化• 認証・認可に関わるキーワードは、上図の中にどう位置付けられるか定義

Copyright (c) 2000-2018

NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

５．2018年度の活動テーマ

Copyright (c) 2000-2018

NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

2018年度の活動テーマ【テーマ】
・IoTにおけるチャットボットの認証と認可等・アイデンティティとIoT（IDoT）
・認証要素、認可要素、その関係の整理・アイデンティティLT大会
・ID管理チェックリストのCCMへの逆マッピング
・クラウド環境におけるアイデンティティ管理６章の検証
・教育コンテンツ制作検討（オンライン教育）【その他】
・他団体対応Copyright (c) 2000-2018 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会