課題発掘セッション
ざんねんなエンタープライズ・アイデンティティ～あなたの会社のゼロトラストは大丈夫？～

2021年11月26日
デジタルアイデンティティWG

宍戸 りさ

https://www.jnsa.org/active/std_idm.html

Copyright 2021 NPO日本ネットワークセキュリティ協会

キャリア 2年半の新人がエンタープライズ・アイデンティティについて考えてみた

Copyright 2021 NPO日本ネットワークセキュリティ協会

本日のお話自己紹介

アイデンティティの難しさ

ゼロトラストにおけるアイデンティティって??

アイデンティティの課題を体系的に整理したい

具体的に何を考えれば良いの??

まとめ2

Copyright 2021 NPO日本ネットワークセキュリティ協会

登壇者自己紹介
宍戸 りさ

SHISHIDO, Risa

情報処理安全確保支援士(株)NTTデータ セキュリティ技術部 サイバーセキュリティ統括部
NTT DATA Corporation, Security Engineering Dep., Cyber Security Sec.

“Digital Identity” をキーワードにセキュリティコンサルティングを行っています

広く一般の方々向けに情報発信もしています⚫ サイバーセキュリティに関するグローバル動向四半期レポート⚫ 国内通信事業者さま向け認証基盤見直しPJ「決済サービスに求められるセキュリティについて」 ほか多数執筆⚫ DATA INSIGHT⚫ 国内金融事業者さま向け認証関連要件検討PJ

ハンコをやめたい！その時考えるべきこと

https://www.nttdata.com/jp/ja/data-insight/2020/0706/⚫ デジタルアイデンティティコンサルティングのためのフレームワーク作成

Zoomを安全に使うには？

https://www.nttdata.com/jp/ja/data-insight/2020/0917/⚫ FMひがしくるめ に生出演など
3

https://www.youtube.com/watch?v=T-uyL1ADt8I
Copyright 2021 NPO日本ネットワークセキュリティ協会

ゼロトラストにおけるアイデンティティって??
コロナ禍の働き方変革で、情報の「守り方」も大きく変化しました

Copyright 2021 NPO日本ネットワークセキュリティ協会

コロナ禍で働き方が大きく変わりました

働く場所の多様化

使う端末の多様化

接続先の多様化

オフィスや取引先の拠点だけでなく、自宅やカフェ、シェアオフィスから仕事をするようになりました

会社備え付けのPC以外に、貸与するモバイル端末の種類も増え、私用端末の業務利用を許容するケースもあります

オンプレシステムや社内のファイルサーバで情報を管理していた環境から、クラウドに業務環境が大きく広がりました

5

Copyright 2021 NPO日本ネットワークセキュリティ協会

コロナ禍で働き方が大きく変わりました

クラウド上の業務環境への情報保管ややり取り

インターネットアクセス

オフィスや取引先拠点など

会社の端末

自宅やシェアオフィスなど

オンプレミスの社内システムやファイルサーバなど
6

私用端末などCopyright 2021 NPO日本ネットワークセキュリティ協会

働き方の変革は「守り方」の考え方を変えました
After/With COVID-19

Before COVID-19

働き方• オフィスの自席で業務• オフィスの自席• 主なアクセス先は社内、データセンタ等• 社内/データセンタ ＋ クラウドなどへアクセス• 対面で会議• 対面で会議• データセンタにセキュリティ機能をセキュリティ集約し、すべてのアクセスを経由させる
対応• グローバルIPによるアクセス制御を実施
守り方

極論、NWで強固に守れば良い＋ 在宅/リモートで業務→ オンラインで会議• クラウド/デバイスにセキュリティ機能を持たせ直接クラウドにアクセスする• IPによる制御に頼らず、多要素認証を行いアクセス制御を実施
ゼロトラスト の概念が必要

7

Copyright 2021 NPO日本ネットワークセキュリティ協会

ゼロトラスト って何でしょう??
Microsoftは、下記順番で組織のセキュリティへのアプローチを成熟させ、ゼロトラストの実装方法を最適化できると提唱しています

企業のFWの後ろにあるすべてのものが安全であると信じる代わりに、Instead of believing everything behind the corporate firewall is safe,制御外のNWからのアクセスであるかのように各要求を検証します。

the Zero Trust model assumes breach and verifies each as though it originated from an uncontrolled network.
ゼロトラストモデルは、「決して信じず、常に検証を」ということを教えてくれます。
（中略）the Zero Trust model teaches us to "never trust, always verify."
https://docs.microsoft.com/en-us/security/zero-trust/

8

Copyright 2021 NPO日本ネットワークセキュリティ協会

ゼロトラストの第一歩がアイデンティティ
Microsoftは、アイデンティティがゼロトラストを実装する上での最初のキー要素であると提唱しています

アイデンティティって、なに？
社員証のこと？

ログインに使う “ID” のこと？
ID管理が重要ってこと？

認証に関係するもの？
https://docs.microsoft.com/en-us/security/zero-trust/

何すればいいんだっけ？
9

Copyright 2021 NPO日本ネットワークセキュリティ協会

“アイデンティティ”って、具体的に何を考えれば良いの??
アイデンティティに関して気付けている課題は、多くの場合「氷山の一角」です

Copyright 2021 NPO日本ネットワークセキュリティ協会

どのようなことを考えれば良いのでしょうか？
リモートワークに伴うセキュリティの課題の1つをゼロトラストの概念で解決することを例に考えてみます
クラウドはオンプレのシステムと違って常に攻撃に晒されており、PW 認証だけだと不正アクセスのリスクが高い…

多要素認証をおこないアクセス制御を実施したいが、様々なクラウドに一律適用し、適切に管理・運用するのはとても難しい…

IDaaS* を導入すれば利便性が上がりそうだ！

クラウド・モバイル前提ではIP アドレスによるアクセス制御は役に立たない…

* クラウド経由でID管理やアクセス制御などを提供するサービス
11

Copyright 2021 NPO日本ネットワークセキュリティ協会

どのようなことを考えれば良いのでしょうか？

では、自社の要件にフィットするパッケージ製品やサービスの選定のみを行えばよいのでしょうか？

IDaaS* を導入すれば利便性が上がりそうだ！

* クラウド経由でID管理やアクセス制御などを提供するサービス
12

Copyright 2021 NPO日本ネットワークセキュリティ協会

エンドユーザに見えている課題だけでは足りません
エンドユーザにとっての課題感

IDaaSを導入しよう
ID管理出来ている？

ID統合出来ている？

対象ユーザは？
対象システムは？
人事系システムどんな方式にと連動できる？
したい？
認証連携のSaaSの管理プロトコルは？
出来ている？
認証方法は？
アクセス制御は制約事項は？
デバイス管理どうする？
出来ている？
運用面での規程は？
ルール整備大丈夫？

認証連携の仕組みある？
13

見えている課題を達成するために実は考える必要がある様々な要素
Copyright 2021 NPO日本ネットワークセキュリティ協会

アイデンティティの難しさ
アイデンティティの分野は、思っているよりも複雑です

Copyright 2021 NPO日本ネットワークセキュリティ協会

こんな難しさがあります
セキュリティの分野でよく行われるリスクアセスメントでは、例えばこんなヒアリングが可能です
インターネットとの接続点にIDS/IPSを設置していますか？
していない

Lv1

Lv2

Lv3

Lv4

Lv5

Lv1:初期 Lv2：管理された Lv3：定義された Lv4：定量的に管理された Lv5：最適化している

ある程度明確なベストプラクティス（こうあるべき）が存在し、実施レベルを定量評価できる
お客さまの状況によって回答内容がそこまで変わらない（ある程度想定できる）
15

Copyright 2021 NPO日本ネットワークセキュリティ協会

こんな難しさがあります
同じようにアイデンティティについてヒアリングしようとするとこうなります
従業員ってどこまで含む？
オンプレはできている

SaaSはやりたいができていないシステム数多くないし、不便してないからSSOは不要従業員が使うシステムでSSOは実現できていますか？

オンプレの中でも一部だけできているオンプレとSaaSの間まで含めてできている

SaaSは許可制なので乱立しているから管理しきれない

オンプレの中にはこういう種別があって…

お客さまによって状況はまちまちで、明確なベストプラクティス（こうあるべき）がない
前提条件によって分岐させようとすると分岐数が膨大になり、結果の整理が難しくなる
一概に「良い/悪い」を定義できず、実施レベルを定量評価できない

16 Copyright 2021 NPO日本ネットワークセキュリティ協会

普通に課題と原因を分析しようとするとこうなります
原因

ヒアリングで見えた課題
ID間のID払出数に不整合が生じている・・・

ID体系が複数存在する⚫ エンドユーザに見えている
課題から、原因を紐解くのが難しいケースが多い

・・・

ID棚卸が手作業、人事情報と連携していないものもある
ID払出し可否の統一的なルールがない

ID管理部門が複数存在する

・・・

ID管理の明確なルールが無い

ID払出し・アクセス権付与がシステム毎に行われている

・・・

システム利用者個人を特定できない共有IDがある⚫ 原因の素因数分解が難しい⚫ 課題と原因が N:M で関連しており、紐解きが困難

ID管理の運用が形骸化している

・・・
ID/PW発行・管理ルールが不明瞭
パスワード運用がシステム毎に異なる
・・・
ID登録ミスに気づく仕組みがない

申請手続きがシステム毎に異なる⚫ 課題の全体像や、解決の優先度が見えてこない⚫ かなり分野に精通した有識者にのみ成せる業…

共有IDを利用している※過去に弊社で実施した課題の整理結果の一部。
本当はもっと数が多くて複雑でした。

17

Copyright 2021 NPO日本ネットワークセキュリティ協会

アイデンティティの課題を体系的に整理したい
エンタープライズ・アイデンティティの課題を整理する枠組みを作ってみました

Copyright 2021 NPO日本ネットワークセキュリティ協会

アイデンティティを整理する軸（エンタープライズ）アイデンティティに関する既存の枠組みには例えばこんなものがあります
NIST SP800-63

NIST（アメリカ国立標準技術研究所）が発行している ”Digital Identity Guideline”
次のページで紹介する観点でアイデンティティ保証レベルを定義しているガイドライン
https://pages.nist.gov/800-63-3/

ISO/IEC 24760

ISOによる ”IT Security and Privacy -A framework for identity management-”
アイデンティティ管理に主眼をおき、用語や概念を定義している
https://www.iso.org/standard/77582.html

AAAモデルITシステムにアクセスしてきたユーザが正しいかを確認し、アクセス許可を与え、その情報を記録し管理するという、セキュリティの考え方のモデルの1つ
https://www.designet.co.jp/faq/term/?id=QUFBJNSA DI WGによるチェックリスト

JNSA DI WG が2017年に作成した「ID管理システム導入における現状把握チェックリスト」
どの程度ID管理ができているのか、どの部分が不足しているのかを知るためのワークシート
https://www.jnsa.org/result/2017/std_idm/

19

Copyright 2021 NPO日本ネットワークセキュリティ協会

アイデンティティを整理する軸身元確認
Proofing

当人認証
Authentication

NIST SP800-63

●

●

●

ISO/IEC 24760

●

●

●

AAAモデルJNSA DI WGによるチェックリスト●

認可
Authorization

認証連携
Federation

証跡管理
Accounting

●

●

●

●

●

●

●

20

ライフサイクル管理
Lifecycle
Management

Copyright 2021 NPO日本ネットワークセキュリティ協会

エンタープライズ・アイデンティティで重要な6軸
当人認証
Authentication

認可
Authorization

物理的な ”その人” と電子的な “ID” の紐づけ

持ち主当人による
ID の使用かどうかの確認

アクセス権限の制御とサービスの提供

認証連携 Federation

証跡管理 Accounting

ライフサイクル管理
Lifecycle Management

複数サービス間でのアカウントの紐づけ

利用状況や履歴の記録

アカウントの状態管理

身元確認

Proofing

21

Copyright 2021 NPO日本ネットワークセキュリティ協会

エンタープライズ・アイデンティティで重要な6軸
当人認証
Authentication

認可
Authorization

物理的な ”その人” と電子的な “ID” の紐づけ

持ち主当人によるID の使用かどうかの確認

アクセス権限の制御とサービスの提供

認証連携 Federation

証跡管理 Accounting

ライフサイクル管理
Lifecycle Management

複数サービス間でのアカウントの紐づけ

利用状況や履歴の記録

アカウントの状態管理

身元確認

Proofing

22

Copyright 2021 NPO日本ネットワークセキュリティ協会

情報セキュリティ委員会
身元確認
Proofing

認証
Authentication

認証連携
Federation

認可
Authorization

システム

システム

Digital Identity

ID情報

クレデンシャル

証跡情報
属性情報
証跡管理
Accounting

ライフサイクルマネジメント

ガバ
ナン
ス

Governance

ID情報
クレデンシャル
属性情報

システム

Lifecycle Management

情報セキュリティ委員会
身元確認
Proofing

認証
Authentication

認証連携
Federation

認可
Authorization

アクセス
権限の制御とサービス提供
複数サービス間でのアカウント紐づけ“人”と”ID”の紐づけ

システム

証跡管理
Accounting

ID情報認可に必要なユーザ情報

クレデンシャルのア
状カ
態ウ
管ン
理ト

属性情報

ライフサイクルマネジメント

Lifecycle Management

ガ
バナン
ス

Governance

ID情報
クレデンシャル
属性情報

証跡情報

システム

持ち主当人によるID の使用か確認

Digital Identity

利用状況や履歴の記録

システム

情報セキュリティ委員会
身元確認
Proofing

認証
Authentication

認証連携
Federation

認可
Authorization
認可ポリシー/認可モデル• アクセス制御モデル• アクセス制御方式

身元確認• 実施有無• 実施方法• 例外想定認証連携• SSOの実現有無

Digital Identity

証跡情報

証跡管理
Accounting

ID情報
ID情報
• IDとして使用する情報• 付与体系、一意性• 共有アカウントの有無、管理方法• 非人格アカウントの有無

クレデンシャル

システム

プロビジョニング• 自動/手動• リアルタイム/バッチ/JIT

クレデンシャル(PW)管理• ルール• 保存方法• 発行方法、セルフサービス有無

アカウント管理• ADの有無、導入範囲• 人事イベントとの連動方法• 状態変更のフロー

ライフサイクルマネジメント

ロール/権限管理• コラボアカウントの有無• 兼務の有無• 人事イベントとの連動• 個別割り当ての有無• 例外運用の有無

Lifecycle Management

システム

属性情報

ガバナンス（IGA）• 社内規程/ポリシーの有無• 棚卸し• プライバシー管理

ガバナンス

Governance

ID情報
クレデンシャル
属性情報

証跡管理• ログ管理システムとの連携有無• ログの使用用途

システム

認証強化/利便性向上• ログイン時の認証の要件(社内からアクセス/社外からアクセス)• 認証強化の仕組みの有無• 証明書の要否まとめ

Copyright 2021 NPO日本ネットワークセキュリティ協会

奥深さ・面白さ、分かっていただけましたか？

アイデンティティはゼロトラスト環境実現のための第一歩です

多くの場合、アイデンティティに関して見えている課題は氷山の一角です

エンタープライズ
アイデンティティの課題と原因は複雑に絡み合っています

エンタープライズ
アイデンティティの全体像を整理するための枠組みを作成しました

エンタープライズ・アイデンティティって具体的に何を考えればよいのか、考えるヒントになれば幸いです
27Copyright 2021 NPO日本ネットワークセキュリティ協会

ご清聴ありがとうございました☺
本資料に関するお問い合わせは以下までお願いいたします
NTTデータ セキュリティ技術部
security-contact@kits.nttdata.co.jp

Copyright 2021 NPO日本ネットワークセキュリティ協会

Copyright 2021 NPO日本ネットワークセキュリティ協会