アカウント管理では「誰のアカウントがあるか」を把握することが出発点ですが、それだけでは十分ではありません。同じくらい重要なのが、そのアカウントが何にどこまでアクセスできるかを決めて維持する権限管理です。アカウントの一覧化についてはアカウント管理システムの基本で解説しているので、この記事では権限そのものの設計と、管理者権限の棚卸しの進め方を扱います。
権限管理とは何か
権限管理とは、業務上必要な範囲に限ってアクセスを許可し、その状態を継続的に維持する取り組みです。ポイントは「決めること」と「維持すること」が両方必要だという点です。導入時にきれいに設計した権限であっても、人の異動や業務の変化に合わせて見直されなければ、実態と設計は少しずつずれていきます。権限管理は一度きりの設定作業ではなく、運用として回し続けるものだと考えてください。
過剰権限はなぜ生まれるのか
意図して過剰な権限を与える組織はほとんどありません。それでも過剰権限が生まれるのは、日々の運用の積み重ねに理由があります。
- とりあえず管理者権限を付ける — 必要な権限を切り分けるのが手間なため、確実に業務が回る管理者権限を渡してしまう
- 異動のたびに権限が足し算される — 新しい部署で必要な権限を追加する一方、前の部署の権限が外されないまま残る
- 一時的に付けた権限が戻らない — 一時対応や繁忙期のために付与した権限が、終わった後もそのまま維持される
- 台帳で権限を表現しきれない — 権限の粒度が細かくなると管理が煩雑になり、結果として大きな単位で付与してしまう(アカウント管理台帳の限界も参照)
いずれも個別に見れば小さな判断ですが、積み上がると「必要以上の権限を持つアカウント」が組織内に多数存在する状態になります。
過剰権限が被害を拡大させる仕組み
権限管理が重要なのは、権限の広さが侵害されたときの到達範囲をそのまま決めてしまうからです。アカウントが1つ乗っ取られたとき、そのアカウントに与えられていた権限の範囲が、そのまま攻撃者が触れる範囲になります。権限が業務に必要な最小限であれば影響は限定されますが、管理者権限であれば広範囲に及びます。
特に影響が出やすいのがランサムウェアです。侵入後の横展開や暗号化できる範囲は、奪ったアカウントの権限に依存します。逆に言えば、権限を絞ることは被害範囲を絞ることに直結します。侵害後の動きについてはランサムウェアの基本対策、認証情報が漏れた場合の影響についてはパスワード漏洩の影響も参考になります。
最小権限の原則を実務に落とす
最小権限の原則とは、業務に必要な最小限の権限だけを与えるという考え方です。言葉としては単純ですが、実務に落とすには手順が必要です。次の順序で整理すると進めやすくなります。
- 役割ごとに必要な権限を定義する — 個人単位で考えると際限がなくなるため、まず業務上の役割を洗い出し、その役割に必要な権限を決めます
- 個人ではなく役割やグループに権限を付ける — 権限を役割に紐づけておけば、人の入れ替わりは所属の変更だけで済み、権限の付け忘れ・外し忘れが減ります
- 一時付与は期限を決める — 例外的に強い権限を渡す場合は、付与時点で終了時期と戻す担当者を決めておきます
- 異動時は足すのではなく組み替える — 新しい役割の権限を付与するのと同時に、前の役割の権限を外すことを一連の作業として扱います
すべてを一度に整えるのは現実的ではありません。まずは影響の大きい管理者権限から着手し、順次範囲を広げていくのが実務的です。
管理者権限の棚卸しの手順
管理者権限に絞った棚卸しは、比較的短い時間で効果が出やすい取り組みです。次の流れで進めます。
- 管理者権限を持つアカウントを洗い出す — 業務システム、クラウドサービス、社内サーバーなど、対象を分けて一覧にします
- 業務上の必要性を持ち主に確認する — 管理側の判断だけで外すと業務が止まるおそれがあるため、利用状況を本人と業務責任者に確認します
- 不要なものを外す — 現在使っていない権限、過去の役割に紐づく権限から順に外します
- 残った管理者アカウントは認証を強化する — 業務上どうしても必要な管理者権限には、多要素認証などの追加対策を優先的に適用します
アカウント全体を対象とした棚卸しの頻度や進め方はID棚卸しの記事で、サーバー側の特権アカウント固有の運用はWindows Serverの特権アカウント管理で扱います。
棚卸しの対象からこぼれやすいのが、Windowsサーバーの特権アカウント、システム連携用のサービスアカウント、外部委託先への貸与アカウントです。それぞれWindowsサーバーの特権アカウント管理、サービスアカウントの管理方法、委託先・ベンダーアカウントの管理で扱っています。権限変更の履歴を残す方法はアクセスログの監査で見るべきポイントを参照してください。
権限管理にかかる費用の考え方
権限管理は「製品を買うかどうか」の判断だと捉えられがちですが、費用が発生する箇所は3つに分かれます。どこにいくらかけるかを決める前に、何にお金と時間がかかるのかを分けて見てください。
| 費用が発生する箇所 | 内容 |
|---|---|
| 棚卸しの工数（人件費） | 最初の1回が最も重く、以降は差分だけになります。製品を入れてもこの工数はゼロになりません |
| 既存機能の活用（追加費用なし） | Active Directory のグループ、クラウドサービスの役割設定など、契約済みの範囲でできることが残っている場合があります |
| 製品・上位ライセンス | 利用者数に応じた課金が一般的です。実際の金額は契約内容によって異なるため、見積もりで確認してください |
費用を抑えたい場合、最初に手を付けるべきは製品の比較ではなく、契約済みの機能で何ができるかの確認です。管理者権限を持つアカウントを減らすところまでは、多くの環境で追加費用なしに進められます。まず現状を数えるところからで、確認手順は管理者権限を持つアカウントを一覧で確認する手順にまとめています。
逆に、見落とされやすいのが運用開始後の継続コストです。権限の申請・承認を誰が受けるか、退職・異動のたびに誰が反映するか。ここを決めずに製品だけ入れると、設定が実態から乖離していきます。
取引先や審査で権限管理を問われたときの対応
取引先のセキュリティ確認や、認証制度の審査で「アクセス権限をどのように管理していますか」と問われる場面が増えています。このとき求められているのは、完璧な仕組みではなく説明できる状態です。
- 誰がどの権限を持っているかを示せる — 一覧が出せれば形式は問われません
- 付与・変更・削除のときに何をするかが決まっている — 手順が文書になっていること
- 実施した記録が残っている — いつ・誰が・何をしたか
この3点が揃っていない状態で「厳格に管理しています」と回答するのが、最も避けたい対応です。後から記録の提出を求められた際に何も出せません。制度ごとに求められる記録の粒度はPマークのアクセス制御、取引先から対応状況を問われる場面はSCS評価制度で扱っています。監査全般への備えはアカウント管理と各種基準・監査対応を参照してください。
権限管理と認証強化はセットで考える
権限を絞る取り組みは重要ですが、それだけでは不十分です。認証が突破されてしまえば、絞った範囲は正規の利用者と同じように使われてしまいます。特に管理者権限を持つアカウントは、認証段階で止められるかどうかが影響の大きさを左右します。多要素認証の基本やWindows OSログインの2要素認証と組み合わせて、権限と認証の両面から整えていくことをおすすめします。
プライバシーマークの審査では、権限の付与・変更・削除について記録が問われます。 Pマークのアクセス制御で、残すべき記録と抜けやすい対象を整理しています。
実際に誰が管理者権限を持っているかを洗い出すコマンドと手順は Windowsで管理者権限を持つアカウントを一覧で確認する手順にまとめています。
まずは自社の状況を確認する
権限管理がどこまでできているかは、組織の規模や利用しているシステムによって異なります。applippliの無料診断では、約3分の質問に回答するだけで、自社のID・アカウント管理と権限管理の対応状況を確認できます。まず現状を把握したうえで、優先順位の高いところから手を付けてみてください。