Evidian

Identity and Access
Management (IAM)
金融サービスのためのセキュアなデジタルトランスフォーメーションへの戦略的アプローチ

目次
はじめに

03

金融機関のセキュリティ着目点

04

いつでもどこでも利用できる、セキュアなデジタル作業環境
ゼロトラストモデル
シームレスなエクスペリエンス
オンプレミスとマルチクラウド
企業コンプライアンス
リスク軽減

IAM によるセキュリティ強化

05

アクセス権の要件モデル化
強力な多要素認証

シームレスな IAM

06

権限の割り当てと変更の監視を容易にする
パスワード管理
既存インフラストラクチャの再利用

コンプライアントな IAM

06

ビジネスへの責任の委譲
権利がいつでも充当されることの保証
必要なユーザー認証の制御
コンプライアンスの証明と監査の有効化

Identity and Access Management の作用

07

結論

07

Evidian IAM Suite

2

Trusted partner for your Digital Journey

はじめに

困難な時代の信頼醸成
金融機関は、顧客体験の向上とセキュアなリモートワークを必要とする新たな経営モデルに適応するために、デジタルトランスフォーメーション（以下、DX）を加速することを余儀なくされています。このトランスフォーメーションは企業の進化を促しますが、同時にリスクの増大にもつながります。COVID-19 のパンデミックが発生しているこの 12 カ月間
において、世界中の金融機関や保険会社を狙ったサイバー攻撃や未遂事例が急増しています。在宅勤務への移行と IoT やコンシューマデバイスからのデータフローの増加は新たなセキュリティ脆弱性をもたらしており、機密データを保護し、リスクを軽減し、不正行為を防止する方法について問題提起しています。

Verizon の 2021 年データ漏洩/侵害調査報告書によりますと、この分野のデータ漏えいの 44%は内部関係者によるものです (2017 年以降、増加のペースは遅いものの、着実に増加しています) 。一般的に、外部関係者は Web アプリケーションをサイバー攻撃のターゲットにしたり、電子メールをランサムウェアのターゲットにしたりします。これとは対照的に、社内での情報漏えいは、作業ミスや設定ミス、さらには社内の従業員による悪意のある行為であることが多いです。従業員に業務上必要のない権限を与えること (職務分掌違反) や、不健全なパスワードの状態 (複数のアカウントで同じパスワードを再利用している) は、セキュリティの失敗事例です。ヒューマンエラーやパスワードの誤用は見過ごされがちですが、企業にとっては、IT システムへの不正侵入を防ぐ上での重要な課題のひとつでしょう。
金融および保険会社は、従業員の ID とアクセス権の管理といった内部の脅威を軽減するための戦略を導入する必要もあります。

「2020 年 2 月初めから 4 月末にかけて、金融機関を標的とした攻撃は238%増加しました。」「53%の人が、同じパスワードを複数のアカウントで再利用していることを認めています」

出典:VMware Carbon Black の脅威データ

出典:securitymagazine.com/

信用と信頼を守るために適切な ID 管理が不可欠
金融機関および保険会社は、レスポンスタイムを短縮し、より多くのデータを処理するために、DX の取り組みの一環として事業運営をクラウドに移行しています。ハイブリッド環境を最大限に活用し、かつ複数の ID 管理のリスクを軽減するには、従業員のアクセスを制御する必要があります。

Identity and Access Management (IAM) は、適切なリソースへのアクセスを適切な理由で適切なタイミングで提供し、誰が何にアクセスし、なぜアクセス出来るのかと共に、アクセスがどの様に使用されているかを可視化するビジネスプロセスとツールのセットです。IAM は IDをセキュアにし、アクセスを制御し、組織全体のポリシーを遵守します。

ID 情報が盗まれると、攻撃を受けるリスクが高まります。IAM で常に監視をすることは、いかなる情報セキュリティプログラムにおいても不可欠です。強力な認証、ユーザアカウントの動作の監視、特権アカウントの管理、および最小権限によるアクセス制御はきわめて重要です。
CISO Executive Network、2020 年 6 月

Identity and Access Management (IAM)

3

金融機関のセキュリティの着目点
銀行が直面するセキュリティ上の課題は、投資会社や保険会社にとっても同じです。
いつでもどこでも利用できる、セキュアなデジタル作業環境
金融機関は、さまざまな支店、子会社、パートナー企業からアクセス可能な一元化された共有ソリューションを導入できるようになりました。しかし、セキュリティ上の不安は解消しなくてはなりません。ローカルユーザが独自のリクエストを送信できるようにすることで、ローカルユーザの管理を中間管理者に委任したり、エンドユーザに直接委任したりできることが不可欠です。ユーザデータの機密性と完全性を保護することは、金融機関にとって非常に重要です。

きめ細かなアクセス制御により、金融機関は、限られたユーザーのみがユーザのデータにアクセスできるようにし、データを表示および管理できるようにします。これにより、意図しないデータ漏洩の可能性をさらに減らすことができます。

セキュリティの強化は、顧客データへのアクセスを制限および監視することによって階層型セキュリティを実現することも意味します。

企業内の特定のアクションはより大きな脅威を表し、ユーザはそれらを実行するために特別な措置を取る必要があります。強力な認証と多要素認証の両方は、機密性の高いアクションへのアクセスを強化し、関連するユーザが問題のアクションを実行することが正当かつ安全であることを企業に保証します。

ゼロトラストモデル

シームレスなエクスペリエンス

企業の情報システムで使用される一連のテクノロジーの前に、まずゼロトラスト・セキュリティを念頭に置く必要があります。どの人も(社内外を問わず)あるいはどのデバイスも (BYOD または COPE を)信頼しないことです。目標は、ユーザーが何をしなければならないか、いつそれをする必要があるかに応じて、必要な権利だけをユーザーに与えることです。ゼロトラストとは、常に問うことを意味します。

金融機関は、安全で使いやすく、常に追跡可能なシステムで日常業務ができる必要があります。これは管理者の人数を増やさず実現できなければなりません。アプリケーションや Web サイトのような既存の資産を変更することなく、現在のインフラストラクチャを再利用できることが重要です。しかし、急速に変化する社会や変化するデジタル作業環境では、クラウド (SaaS) のようなシームレスなインフラストラクチャの利便性を活かしつつ、新しいテクノロジーや DX の最先端を走り続けることがますます重要になっています。

• 従業員の ID はリスクを抱えていませんか？
• どのようなリソースにアクセスしようとしていますか？
• アクセスしようとしているリソースはハイリスクですか、ローリスクですか？
• 従業員はオフィスから接続していますか？
• 従業員は別の認証方法を使用して接続する必要がありますか？
• アクセスを許可/拒否しますか?
• セキュリティ警告を上げますか?
• 従業員の接続に関連するグローバルリスクは何ですか？

さらに、パスワード管理はどの企業にとっても、特に従業員にとっても深刻な課題となります。各アプリケーションのパスワードを覚えておくことは、セキュリティ面で危険なだけでなく (たとえば、一人の従業員がすべてのアプリケーションに対して同じパスワードを持っている場合) 、入力の手間もかかります。課題は、アプリケーションに接続するたびに認証を行わないようにして、セキュリティを強化し、規制上の制約を満たすことです。企業は従業員の手間を省き、より盗難されにくく安全なパスワードの利用を推奨する必要があります。

クラウドであれ SaaS であれ、現代の企業のデジタル環境は絶えず変化しています。ゼロトラストによって、企業は従来の境界を越えたコントロー
ルと可視性を取り戻します。

最後に、ヘルプデスクの負担を軽減するために、企業システム内にセルフサービス機能を持つことが必要です。

オンプレミスとマルチクラウド

リスク軽減

クラウドは DX を可能にする重要な要素です。オンプレミスソリューションと比較して導入時間が短いことや、急速な成長を可能にするコスト対比率や機能の柔軟性などの理由から、クラウド (または SaaS) ソリューションは企業の DX 実現においてますます重要になるでしょう。クラウドとオンプレミスの両方のソリューションの組み合わせは、IT システムのコントロールを維持しながら時代の流れに追随したい金融機関の進むべき方向といえるでしょう。

金融機関は、定期的に認証要件(CFTe、CMT)を増やしています。したがって、IAM システム内のガバナンス機能は、会社の資産に対する権限、ロール、アクセス権を付与する前にユーザの認可の有効性を確認する必要があります。

企業コンプライアンス

最後に、金融および保険セクターの期待に応える IAM ソリューションによって、次のことが可能になります。

さらに、会社の IAM システム内の分析ソリューションでは、システム内の矛盾や脅威を検出できるビュー、ダッシュボード、レポートを編集することでリスクを軽減することができます。たとえば、不正やエラーを防ぐために職務分掌違反を強調表示します。

規制上の要件を満たすために、金融機関と保険会社リスクを管理するための措置を講じなければなりません。特に、情報システムへのアクセスコントロールを強化しデータの完全性および機密性を保護する必要があります。
金融機関・保険会社は、コンプライアンス(Basel 3、SarbanesOxley、GDPR、PCI DSS)および認定(公認金融技術者 CFTe、公認市場技術者 CMT)の要件を定期的に引き上げています。したがって、適切な IAM ソリューションは、これらの要件を最優先事項として含む必要があります。コンプライアンスへの対応策は、企業がコンプライアンス要件を満たすのに役立つ IAM アナリティクスおよびレポーティングツールで見つけることができます。

4

Trusted partner for your Digital Journey

ユーザエクスペリエンスのシームレス化

セキュリティ
カバレッジの強化
コンプライアンスの促進

目標は、これらの主要要素の間で適切なバランスをとることです。

IAM によるセキュリティ強化「ID 管理とリソースへのアクセスコントロールは、より安全なデジタル作業環境を構築し、信頼性を強化するのに役立ちます。」
アクセス権の要件モデル化
従業員にアクセス権を割り当てるために、IAM Suite はロールベースのアクセスコントロール 制御(RBAC) および組織ベースのアクセスコン
トロール制御 (OrBAC)に基づくアプローチを使用します。これらを使用すると、特定のロール (通常は社内の職務) に権限を紐付けられます。役割の拡散を避けるため、Evidian では 「組織」 という概念を使用して、特定の組織で特定の業務を行う従業員の権利を定義しています。
例外に対処するために (ロール割当てを通さずに) 直接権限を割り当てることもできます。

この機能には、ロールに関連付けられた権限の割り当てと管理を容易にするために、組織的および階層的な包含と除外の概念も含まれています。職務分掌を管理する規則は、同じ人物に整合性の取れない組み合わせの権限を割り当てることを避け、一貫性を確保します。
この機能は、従業員一人ひとりの権限のライフサイクルプロセスを動的に識別し、それらのプロセスの動作を企業のニーズに合わせて簡単に調整するためにも内部で使用されます。

強力な多要素認証
IAM Suite では、従業員は次のような複数の方法を使用して認証を受けることができます。
• ユーザーID とパスワード• TOTP (時間ベースのワンタイムパスワード)• X .509 証明書スマートカード• SAML (サービス・プロバイダ/アイデンティティ・プロバイダ) トークン
• Radius プロトコルに基づく認証方式• 仮想キーボードとグリッド・カードのパスワード:各ユーザは 1 回限りのチャレンジを解く固有のカードを持つ• スマートフォン経由のプッシュ認証• SMS OTP または E メール OTP:各ユーザは、携帯電話または E メール (あるいはその両方) を介して OTP を取得できる• バイオメトリクス、指紋、顔認証

パスワード、PIN、タップ、および署名/ロックが可能な非接触型
NFC/Mifare カード• Kerberos およびその他の Windows ドメイン認証方式• CAS、OpenID、OAuth などの外部認証メカニズムまたはSDK.FIDO 2.0 を使用した任意の外部メカニズムへのリンク• スマートフォン経由の QR コード
これらの認証方式を組み合わせて多要素認証を提供できます。必要な認証のレベルは、アプリケーションごとに異なる場合があります。

シームレスな IAM
権限の割り当てと変更の監視を容易にする
アクセスコントロール制御により、各種権限を従業員に簡単に割り当てることができます。また従業員に影響を与える機能の変更を、関連する権限の変更とあわせて監視することも可能です。
IAM Suite はユーザーの属性値を使用して権限を伴うロールを割り当てます。例外を定義することもできます。たとえば、銀行代理店で働くすべての従業員は、外部ユーザとは対照的に、年次休暇申告アプリケーションにアクセスする役割を持っている必要があります。

この機能を使用すると、新規採用された従業員に 1 つ以上のロールを簡単に割り当てることができます。また、社内で異動した従業員の新しいロールに動的に適応することもできます。たとえば、本社に異動する銀行オフィスの従業員は自動的に適切なアクセス権限を取得します。
これにより、企業は、ユーザーが職務を変化させている間の任意の時点で最適な権限を持つことを保証できます。
ロール割り当てプロセスを使用して個人にロールを割り当てることもできます。

パスワード管理

既存のインフラストラクチャの再利用

IAM Suite はシングルサインオン (SSO) 機能を提供します。この機能を使用すると、従業員は 1 回だけ認証することにより、アプリケーションにアクセスするための認証の新しいリクエストは IAM Suite によって考慮されます。これにより、長い週末や休暇の後にパスワードを忘れてしまう問題は解決します。

IAM Suite は、既存の環境を変更することなく統合できます。
顧客用の Web サイトは、変更することなく IAM Suite を使用してセキュアにできます。これにより、認証されたユーザは、高度なサービスを利用したり、自己登録機能を提供したりできます。

さらに、セルフサービスによるパスワードリセットにより、ヘルプデスクへの依頼にかかる時間を節約し、IT コストを削減できます。

成功はバランスの上に成り立っている

コンプライアントな IAM
ビジネスへの責任の委譲

権利がいつでも充当されることの保証

IAM Suite は、ID、ロール、アカウント、およびサービスを管理するためのプロセスの標準セットを提供します。

最小権限の原則 (PoLP:Principles of Least Privilege) とは、ユーザにそのユーザの職務機能を実行するために必要な最小限のアクセス権あるいはパーミッションを付与する情報セキュリティの概念を指します。

現在、50 以上のプロセスが標準として含まれています。
これらのプロセスを使用することで、権限とユーザーのライフサイクルに関する決定はビジネスユーザーに完全に委任されます。セキュリティ
担当者と運用マネージャはこれらの決定に対して説明責任を負います。
一元管理から、より現場に近い形で意思決定が行われる委任管理に移行できます。

必要なユーザー認証の制御
多くの組織 、特に金融市場では、アプリケーションへのアクセスはユー
ザのビジネスプロファイルだけでなく認定レベルにも依存しています。
現行の法令、保険、会社の定款などを遵守するために、一定のレベルの認定(トレーニング、認定、憲章への署名)が要求される場合があります。
監査時には、コンプライアンス報告書も要求される場合があります。
これらの要件を満たすため、Evidian IAM Suite は、権限を割り当てるときにユーザーが必要なレベルの認定を受けていることを確認する機能を備えています。この機能を使用すると、認定レベルの変更 (認定を取得したときに権限を付与するか、認定の有効期限が切れたときに権限を取り消すか) を時間の経過とともに検討することもできます。

6

Trusted partner for your Digital Journey

Evidian IAM Suite は、アクセス認証動作を実行する一連のプロセスを提供します。これらのアクセス認証動作により、マネージャーは 1 人または複数の従業員の既存の権限を検証/修正できます。最小権限の原則を尊重し、ユーザが多すぎる権限を持つリスクを減らすために不適切なアクセス権を削除できます。

コンプライアンスの証明と監査の有効化
IAM Suite は、監査担当者およびセキュリティコンプライアンス担当者が高度な分析機能を利用できます。
この機能では、IAM Suite の他のソリューションから直接データを収集し、ID およびアクセス管理システムの使用状況の追跡および分析できます。これにより、アクセスと権限付与の変化の傾向が明らかになります。
セキュリティ専門家は全体ビューから疑わしいイベントを検出し、IAM に対してリスク主導型のアプローチを取ることができます。

最後に、調整などの機能を使用すると、従業員が持つ必要がある権限として定義されたものと従業員が持つ実際の権限との間の不一致を検出でき、不一致に対する是正措置が提案されます。

Identity and Access Management の作用
金融機関の戦略的 ID 管理およびアクセス管理の要件は何か？ Evidian はそのニーズにどのように対応できるか？ そのようなソリューションのメリットは何か？
銀行や保険会社が直面する主な課題

ソリューション

• ユーザのライフサイクルプロセス自動化とアクセスガバナンスの実装• ユーザ権限の決定を運用担当者に委任する必要性• 監査の有効化と詳細なレポートを通じた市場の規制とキャパシティの• Evidian IAM Suite は、金融セクターの要件に対応することが実証

遵守• 厳格な職務分掌 (SOD) 管理による高度なセキュリティ要件• セキュリティレベルの要件、ユーザー権限ポリシーに基づいた適応認証による、複数のアプリケーションにわたる Web シングルサインオン（SSO)の必要性• メイン認証としてのパスワードを置き換えることによるパスワード疲れの回避• セルフサービスのパスワードリセット機能による非常時のアクセス。
• パスワードリセットによる時間節約とヘルプデスクのコスト削減• アプリケーションの設定を変更せずにスマートデバイスからアクセスできる (非侵入型) 。
• ソリューションは 24 時間 365 日アクセス可能なマルチサイトである
必要性

されている、包括的でモジュール化された柔軟な ID ソリューションを提供します

メリット
信頼性の高い ID に基づくユーザライフサイクル管理の自動化
運用担当者によるユーザ権限の適切な管理対象となるアプリケーションへのセキュリティポリシーに準拠した監視
整合性の取れない組合せを排除しリスクを低減強化されたパスワードポリシーと ID ガバナンスによるセキュリティ強化• Web アクセスとシングルサインオンによるアクセスセキュリティ強化とユーザの利便性向上• セルフサービスのパスワードリセットによるヘルプデスクのコスト削減。
• 非干渉型テクノロジーによるユーザエクスペリエンスの向上• 管理者、内部監査、企業コンプライアンス向けのレポート作成機能
••
•
•
•

結論
Evidian IAM Suite の導入により、以下のメリットがあります。
• 情報システムにアクセスするユーザーの ID を管理する• 最小権限の原則を実装する• ユーザが特定のアプリケーションにアクセスするのに必要な認定を受けていることを検証し、時間の経過による変化に追随する• ビジネスニーズを熟知している人々に最も近い担当者にアクセス権管理を委譲する• 現在有効なアクセスガバナンスポリシーが常に遵守されるようにする• たとえば職務変更、長期休暇、雇用契約の変更などを反映するために、人々の権限の変更を直ちに検討する• 会社の組織変更が反映できる• セルフサービスによるパスワードリセット機能などを使用して、セキュリティーを損なうことなく、従業員自身でパスワードを管理できるようにする• 情報システムのガバナンスを示す一連のレポートにアクセスする• シンプルでセキュアなアクセスを提供する(パスワードを覚える必要がない)• 既存のインフラストラクチャに適応する• 細分化されたアクセス権限の制御により、特定の従業員のみが特定のデータにアクセスし、データの表示および管理をできるようにする• 規制要件を満たす

Evidian IAM Suite の機能詳細は本ホワイトペーパーで紹介しきれませんが、Evidian が金融機関のニーズを満たす理想的なパートナーであることを示しています。

Evidian IAM Suite
当社の IAM ソリューションは、高い機能性によりお客様やアナリストに認められています。Evidian IAM Suite は、個別でも組み合わせでも導入できる次のコンポーネントを提供します。実装は、オンプレミスで行うこともサービスとしてのソリューションとして導入することもできます。
Evidian Identity Governance and Administration は、承認ワークフローと組み合わせたセキュリティポリシーによって推進される、承認のガバナンスと、ID とアプリケーションへのアクセスの完全なライフサイクル管理を可能にします。

Evidian Authentication Manager は、スマートカードまたはトークン、X 509 証明書、非接触型 RFID カード、バイオメトリクス、ワンタイムパスワードなど、ワークステーションやモバイルデバイスでの強力な認証機能を提供します。

Evidian Web Access Manager は、セキュアなポリシーベースの認証、ID フェデレーション、Web SSO および多要素認証を提供します。

Evidian Analytics and Intelligence は Evidian IAM
Solution の生データを収集し、ダッシュボード、ビュー、レポートの形式での企業向けの付加価値を加えた情報に変換します。

Evidian Enterprise SSO を使用するとワークステーションやモバイルデバイスからエンタープライズおよびパーソナルアプリケーションにアクセスできるため、ユーザはパスワードの制約から解放されます。

Evidian SafeKit は、アプリケーションに高可用性とロード・バランシングをもたらします。

Identity and Access Management (IAM)7

ホワイトペーパー

Atos について
Atos は、105,000 人の従業員と 110 億ユーロを超える年間売上高を誇る、DX の世界的リーダーです。サイバーセキュリティ、クラウド、ハイパフォーマンスコンピューティングにおけるヨーロッパのナンバーワン企業である当社グループは、71 か国のすべての業界に合わせたエンドツーエンドのソリューションを提供しています。脱炭素化サービスと製品のパイオニアである Atos は、顧客のために安全で脱炭素化されたデジタルに取り組んでいます。Atos はAtos および Atos|Syntel のブランドで運営されています。Atos は、CAC 40 パリ株価指数に上場している SE (SocietasEuropaea) です。

Atos の目的は、情報空間の未来を設計することです。その専門知識とサービスは、多文化的アプローチにおける知識、教育、研究の発展を支援し、科学技術の卓越性の発展に貢献します。当社グループは、世界中のお客様、従業員、社会の構成員が、安全で安心な情報空間の中で、持続的に生活し、働き、発展することを可能にしています。

Find out more about us
atos.net atos.net/career
Let’s start a discussion together

出典元：Atos社 「Identity and Access Management (IAM) - The strategic approach to a secure digital transformation for financial services」
本コラムはAtos社に許可を得て、NTTコムウェアにて和訳しております。
NTT コムウェアは、Atos 社と戦略的協業契約を締結しております。

For more information on Evidian solutions for Telecom, please visit:www.evidian.com/telecommunications/www.evidian.com/telecommunications/

Atos, the Atos logo, Atos|Syntel are registered trademarks of theAtos group.
© 2021 Atos. Confidential information owned by Atos, to be usedby the recipient only. This document, or any part of it, may not be
reproduced, copied, circulated and/or distributed nor quoted without
prior written approval from Atos.