アカウント管理では「誰のアカウントがあるか」を把握することが出発点ですが、それだけでは十分ではありません。同じくらい重要なのが、そのアカウントが何にどこまでアクセスできるかを決めて維持する権限管理です。アカウントの一覧化についてはアカウント管理システムの基本で解説しているので、この記事では権限そのものの設計と、管理者権限の棚卸しの進め方を扱います。
権限管理とは何か
権限管理とは、業務上必要な範囲に限ってアクセスを許可し、その状態を継続的に維持する取り組みです。ポイントは「決めること」と「維持すること」が両方必要だという点です。導入時にきれいに設計した権限であっても、人の異動や業務の変化に合わせて見直されなければ、実態と設計は少しずつずれていきます。権限管理は一度きりの設定作業ではなく、運用として回し続けるものだと考えてください。
過剰権限はなぜ生まれるのか
意図して過剰な権限を与える組織はほとんどありません。それでも過剰権限が生まれるのは、日々の運用の積み重ねに理由があります。
- とりあえず管理者権限を付ける — 必要な権限を切り分けるのが手間なため、確実に業務が回る管理者権限を渡してしまう
- 異動のたびに権限が足し算される — 新しい部署で必要な権限を追加する一方、前の部署の権限が外されないまま残る
- 一時的に付けた権限が戻らない — 一時対応や繁忙期のために付与した権限が、終わった後もそのまま維持される
- 台帳で権限を表現しきれない — 権限の粒度が細かくなると管理が煩雑になり、結果として大きな単位で付与してしまう(アカウント管理台帳の限界も参照)
いずれも個別に見れば小さな判断ですが、積み上がると「必要以上の権限を持つアカウント」が組織内に多数存在する状態になります。
過剰権限が被害を拡大させる仕組み
権限管理が重要なのは、権限の広さが侵害されたときの到達範囲をそのまま決めてしまうからです。アカウントが1つ乗っ取られたとき、そのアカウントに与えられていた権限の範囲が、そのまま攻撃者が触れる範囲になります。権限が業務に必要な最小限であれば影響は限定されますが、管理者権限であれば広範囲に及びます。
特に影響が出やすいのがランサムウェアです。侵入後の横展開や暗号化できる範囲は、奪ったアカウントの権限に依存します。逆に言えば、権限を絞ることは被害範囲を絞ることに直結します。侵害後の動きについてはランサムウェアの基本対策、認証情報が漏れた場合の影響についてはパスワード漏洩の影響も参考になります。
最小権限の原則を実務に落とす
最小権限の原則とは、業務に必要な最小限の権限だけを与えるという考え方です。言葉としては単純ですが、実務に落とすには手順が必要です。次の順序で整理すると進めやすくなります。
- 役割ごとに必要な権限を定義する — 個人単位で考えると際限がなくなるため、まず業務上の役割を洗い出し、その役割に必要な権限を決めます
- 個人ではなく役割やグループに権限を付ける — 権限を役割に紐づけておけば、人の入れ替わりは所属の変更だけで済み、権限の付け忘れ・外し忘れが減ります
- 一時付与は期限を決める — 例外的に強い権限を渡す場合は、付与時点で終了時期と戻す担当者を決めておきます
- 異動時は足すのではなく組み替える — 新しい役割の権限を付与するのと同時に、前の役割の権限を外すことを一連の作業として扱います
すべてを一度に整えるのは現実的ではありません。まずは影響の大きい管理者権限から着手し、順次範囲を広げていくのが実務的です。
管理者権限の棚卸しの手順
管理者権限に絞った棚卸しは、比較的短い時間で効果が出やすい取り組みです。次の流れで進めます。
- 管理者権限を持つアカウントを洗い出す — 業務システム、クラウドサービス、社内サーバーなど、対象を分けて一覧にします
- 業務上の必要性を持ち主に確認する — 管理側の判断だけで外すと業務が止まるおそれがあるため、利用状況を本人と業務責任者に確認します
- 不要なものを外す — 現在使っていない権限、過去の役割に紐づく権限から順に外します
- 残った管理者アカウントは認証を強化する — 業務上どうしても必要な管理者権限には、多要素認証などの追加対策を優先的に適用します
アカウント全体を対象とした棚卸しの頻度や進め方はID棚卸しの記事で、サーバー側の特権アカウント固有の運用はWindows Serverの特権アカウント管理で扱います。
権限管理と認証強化はセットで考える
権限を絞る取り組みは重要ですが、それだけでは不十分です。認証が突破されてしまえば、絞った範囲は正規の利用者と同じように使われてしまいます。特に管理者権限を持つアカウントは、認証段階で止められるかどうかが影響の大きさを左右します。多要素認証の基本やWindows OSログインの2要素認証と組み合わせて、権限と認証の両面から整えていくことをおすすめします。
まずは自社の状況を確認する
権限管理がどこまでできているかは、組織の規模や利用しているシステムによって異なります。applippliの無料診断では、約3分の質問に回答するだけで、自社のID・アカウント管理と権限管理の対応状況を確認できます。まず現状を把握したうえで、優先順位の高いところから手を付けてみてください。