企業におけるID管理の全体像
2023/12/14 株式会社NTTデータグループ© 2023 NTT DATA, Inc.

© 2023 NTT DATA, Inc.

ID管理とは？
ID管理(Identity Management)は非常に幅広い技術、業務、ルールを含む。業務をスムースに進め、かつ個人情報保護、J-SOXなどの法令順守のほか、プライバシーマーク、ISMS認証など様々な資格が要求する制御を実現する必要あり© 2023 NTT DATA, Inc.

2

ID管理の全体像
NTTデータによる独自のフレームワーク②当人認証
Authentication①身元確認
Proofing③認証連携 Federation④認可 Authorization⑤セッション管理
SessionManagement⑥アクセス制御
Access Control• ID情報• クレデンシャル• 属性情報システム

ID情報

クレデンシャル

証跡情報
属性情報⑦ライフサイクルマネジメント© 2023 NTT DATA, Inc.

システム

⑨ガバナンスGovernance⑧証跡管理
Accounting

システム

3Life cycle Management

ID管理の全体像検討すべき多くの課題②当人認証
Authentication①身元確認
Proofing• ID情報• クレデンシャル• 属性情報認証• 方式・要素• 認証の対象

身元確認• 身元確認の実施• 利用する証明書類• 属性情報の確認

認証強化／利便性向上• ログイン時の認証の要件(社内からアクセス/社外からアクセス)• 多要素認証⑧証跡管理
Accounting

証跡情報

ID情報
証跡管理
• ログ／証跡の収集、分析、保管• ログ監視システ
ムとの連携

クレデンシャル

④認可 Authorization

認証連携• どのような情報を渡すか• SSOの実現方式• 認証連携方式• サポートプロトコル

クレデンシャル(PW)管理• 種類• ルール／条件• 状態変更• 発行方法• セルフサービス有無

アカウント管理• 信頼できるIDデータソース• 独自に発行するID管理• 人事、契約イベントとの連動• 棚卸し

セッション管理• 個々のシステムにて認証～認可の状態を保存／延長／廃棄システム

4⑥アクセス制御
Access Control
認可ポリシー/認可モデル• アクセス制御モデル

システム

プロビジョニング• 自動/手動• リアルタイム/バッチ• 利用プロトコル

属性情報/権限情報管理• プロファイル管理• ロール/グループ/権限管理• メンテナンス、自動更新⑦ライフサイクルマネジメント© 2023 NTT DATA, Inc.

⑤セッション管理
SessionManagement

Life cycle Management

属性情報

システム

ガバナンス（IGA）• 法令、社外資格、社内規程/ポリシー• プライバシー管理• 利用規約、プライ
バシーポリシー⑨ガバ
ナンス

Governance

ID情報• ID付与体系• 共有アカウントの有無• 非人格アカウントの有無③認証連携 Federation

ID管理の全体像
ソリューション導入により解決できる部分、ルール策定（適切なものを参照）、適切な運用など多様な対応が求められる③認証連携 Federation②当人認証
Authentication①身元確認
Proofing④認可 Authorization【認証連携】
・SAML
認証連携・OpenID
connect• どのような情報を渡すか• SSOの実現有無
・Kerberos
認証連携製品

DIルール• ID情報
• クレデンシャル・犯収法• 属性情報・各種本人確認ガイドラ
イン（民間、行政）
身元確認
••
•

・OTP
・パスワード・SMS
認証強化／利便性向上
・Authenticator• ログイン時の認証の要件(社内からアクセス/社外から・FIDO(パスキー)アクセス)• 認証強化の仕組みの有無…
認証• 方式・要素• 認証の対象

身元確認の実施有無
実施方法
属性情報の確認••⑧証跡管理
Accounting

・SIEM
証跡情報
・ITDR

ID情報

証跡管理
• ログ管理システムとの連携有無• 保管／分析システム

認可ポリシー/認可モデル• アクセス制御モデル(IBAC/ RBAC/ABAC)
Web
SSO

ソリューション

システム

システム

【認可】
・OAuthクレデンシャル(PW)管理種類
ルール／条件
状態変更
発行方法
セルフサービス有無

プロビジョニング• 自動/手動• リアルタイム/バッチ/JIT

クレデンシャル

ID管理ソリューション
アカウント管理• Active Directory (IDのデータソース）の有無• 人事イベントとの連動方法• 状態変更のフロー

プロファイル管理• グループ／権限管理• メンテナンス⑦ライフサイクルマネジメント© 2023 NTT DATA, Inc.

WebAP用Framework• 使用しているプロトコル

•••
•
•

共有アカウントの有無
非人格アカウントの有無

セッション管理• 個々のシステムにて認証～認可の状態を保存／延長／廃棄⑥アクセス制御
Access Control

5Life cycle Management

・個人情報保護法
ガバナンス（IGA）
・J-SOX• 法令、社外資格、社
内規程/ポリシー
・Pマーク• プライバシー管理・ISMS• 利用規約、プライバ
・FISC安全対策基準
シーポリシー

属性情報

⑨
ガバ
ナン
ス

Governance

ソリューション
・eKYC
ID情報
•
ID付与体系
・公的個人認証(JPKI)⑤セッション管理
Session Management

例１）IDのライフサイクル（ライフサイクル）
利用者の状態変化（社員：入社、退社、休職、復職、出向、出向復帰、契約社員：契約開始、契約中断、契約復帰、契約満了など）をタイムリーに把握し、ID管理の状態（利用者、各種属性）に早急に反映する必要がある。

有効期限延長（定期教育、契約確認）
正アカウント申請（教育、誓約書等）

入社・契約

利用準備

利用可能

削除
有効期限切れインシデント解消、復職→

契約完了・退職←インシデントの恐れ、休職、出向

一時停止

退社

期限切れ →←再雇用© 2023 NTT DATA, Inc.

退社・死亡

停止

再契約・復職

保存期限満了管理期間満了
期限切れ →← 期限延長6停止準備

例２）複数のIdentifier
当社ではひとつのIdentityは３つのIdentifierを保有

・個人ID：システムのログなどで利用される。7桁英数字。利用者は意識しない変更不可(IAMが発行）。社内公開可
・公開ID：主にコミュニケーションにおける人の識別に利用される（姓名をもとにIAMが発行）
変更可（姓名変更時など）。社内公開可
・ログインID ：ログイン時に利用。7桁の英数字（社員：初期値は社員番号、それ以外はIDシステムが発行）。
変更可。社内公開不可© 2023 NTT DATA, Inc.

7

例３）複数のアイデンティティの使い分け
複数のアイデンティティを持つことがあり、それを使い分ける利用者が存在するため、アイデンティティの切り替えとそれに基づくアクセス制御を実装する必要あり。

例）
NTTデータ社員ー＞NTTデータのグループ企業であるNTTデータABC社に出向
ー＞NTTデータABC社から、NTTデータのプロジェクトXYZに参画
この社員は３つのアイデンティティをもち、それぞれ異なる属性および権限を制御する必要がある。
・NTTデータ社員（出向中）・NTTデータABC社員（出向受け入れ）
・NTTデータの協力会社社員（プロジェクトXYZ参画）© 2023 NTT DATA, Inc.

8

例４）ID発行基準
IDの発行は下記の３条件を満たすものが対象。ID発行範囲の拡大を可能とするため、RPはIDを保有することのみで利用を許してはならなず、なんらかのアクセス制御を実施する必要がある

条件）
・当社との間に契約（雇用契約、派遣契約、業務委託契約等業務の実施に関するもの）があること・セキュリティに関する十分な知識を有すること（社内で教育及びテストを実施）
・問題を発生した際に責任を取る社員が明確になっており、当人がそれに合意していること
例外）
・インターン学生
・保険営業*
・自動販売機（オフィスグリコ等を含む）メンテナンス、補充要員** 当社では入退館もID管理システムに統合されているため、アテンドなしでの入館が必要な利用者はID取得が必要© 2023 NTT DATA, Inc.

9

例５）アクセス制御
利用者の各種属性（役職、所属、業務、参画プロジェクトなど）を適切に把握し、「最小限の原則」にのっとり、サービス利用におけるアクセス制御を実施する必要がある。

最小権限の原則とは、情報セキュリティや計算機科学などの分野において、コンピューティング環境の特定の抽象化レイヤー内で全てのモジュール（主題によっては、プロセス、ユーザー、プログラム）がその正当な目的に必要とされる情報と計算資源のみにアクセスできるように制限する設計原則である[1][2]。
Wikipediaよりhttps://ja.wikipedia.org/wiki/%E6%9C%80%E5%B0%8F%E6%A8%A9%E9%99%90%E3%81%AE%E5%8E%9F%E5%89%87

すべての利用者は正当な目的に必要な情報「のみ」にアクセスできる© 2023 NTT DATA, Inc.

10

適切なアクセス制御とは？

営業部

開発部

総務部

経理部

人事部

管理者

一般
社員

派遣
請負等
© 2023 NTT DATA, Inc.

11

ちゃんとアクセス制御をしよう
業務上システム利用権・アクセス権を持つ人
営業部

開発部

総務部

経理部

人事部

管理者

（組織＝経理部）＆（（種別＝管理者)|(種別＝一般社員）)

一般
社員

派遣
請負等
© 2023 NTT DATA, Inc.

12

ちゃんとアクセス制御をしよう
業務上システム利用権・アクセス権を持つ人
営業部

開発部

総務部

経理部

人事部

管理者

（組織＝経理部）＆（（種別＝管理者)|(種別＝一般社員）)

最小権限ではない 一般
社員

派遣
請負等© 2023 NTT DATA, Inc.

13

ちゃんとアクセス制御をしよう
業務上システム利用権・アクセス権を持つ人
営業部

開発部

総務部

経理部

人事部

管理者

楽ですが、全く最小権限じゃない

一般
社員

派遣請負等
© 2023 NTT DATA, Inc.

14

ちゃんとアクセス制御をしよう
業務上システム利用権・アクセス権を持つ人
営業部

開発部

総務部

経理部

人事部

ちょっとリスクは減ったけど、運用負荷大

管理者

最小権限じゃないし、「社員は悪いことしないだろう」
ゼロトラストは違います.

一般
社員

派遣
請負等
© 2023 NTT DATA, Inc.

15

ちゃんとアクセス制御をしよう
業務上システム利用権・アクセス権を持つ人
営業部

開発部

総務部

経理部

人事部

管理者

運用がしんどい…
c
付与したアクセス権を確実に削除要

一般
社員

派遣請負等
© 2023 NTT DATA, Inc.

16

アクセス制御のための仕組み
ID管理システムでは３つのアクセス制御モデルをサポート。アクセス制御のもととなる属性情報を最新とするためのライフサイクルマネジメントを実施

・IBAC(Identity Based Access Control) ：個人単位にアクセス権限を付与し、アクセス制御を実施
・人事/研修、給与明細、通勤/旅費、BYOD、モバイルアクセス等個人に関するもの
・多くの業務システムおよびビル管理会社が提供する入退館システム等も本モデルを利用。権限の付与/削除が負担に・RBAC(Role Based Access Control)：人に役割を割り当て、役割に基づき、アクセス制御を実施
・ファイルサーバ、コミュニケーショングループ、業務システムなど時々の役割に基づくもの
・ABAC(Attribute Based Access Control)：Identity内の属性およびDynamicに変化する情報（時刻、アクセス元IPアドレス等）をもとにアクセス制御
・適切な属性付与により、柔軟なアクセス制御が可能（一つの仕組みでIBAC,RBACも実現可能）・ABACでの利用を容易とするための属性をID管理システムが提供（社員、管理職、所属部署等）
・XXX組織所属限り、管理職限り、社員限り、特定PJ関係者限りなどのアクセス制御が容易に実現可能・アクセス時間、アクセス元（自社オフィス、自宅、顧客拠点等）等ガバナンス、セキュリティ強化にも利用可能© 2023 NTT DATA, Inc.

17

EIAM/CIAM/教育機関におけるIAM
技術・フレームワークが同じID管理でも、企業内(EIAM: Enterprise Identity and Access Management)、コンシューマー（CIAM: Consumer Identity and Access Management）、教育機関におけるID管理の重要性、困難さ、目的は大きく異なる。

主目的

複雑さ

ガバナンス

EIAM(企業）

セキュリティ、コンプライアンス、生産性向上

一般に非常に複雑

一般的に利かせやすいが、M&A先、グローバル企業などは困難もCIAM(顧客）

ユーザ獲得と保護

比較的シンプル

難しい

大学（学生）

職員/学生の管理、知的 ？
財産保護、利便性向上© 2023 NTT DATA, Inc.

18

利かせやすい？

ID管理はビジネス課題と直結する
・企業内セキュリティ、コンプライアンス確保->企業内における適切なID管理・業務効率の向上->シングルサインオン、適切なアクセス制御

・テレワーク、モバイルワーク、クラウドサービス利用->ゼロトラストに対応したID管理

・パートナ企業連携、BPO強化

ｰ>パートナー企業、契約社員、委託先企業など社員のID管理、認証連携

・グループ会社のシナジーおよびガバナンス->グループ企業全体でのID管理

・グローバル化->各国の規範を守ったうえで、統一ポリシーに従ったグローバルID管理

・サプライチェーン管理ｰ>多大な企業の存在確認、反社チェック等。システム利用者のID管理

・先端技術の活用->大学、教育機関との認証連携

そのほか中途入社社員の増加と職歴の確認等© 2023 NTT DATA, Inc.
..

19