本文の内容は、2024年9月19日に Crystal Morin が投稿したブログ(https://sysdig.com/blog/balancing-identity-management-and-risk-tolerance/)を元に日本語に翻訳・再構成した内容となっております。
ペースが速く、規模が大きいデジタルビジネスの世界では、ユーザー ID (人間とマシンの両方) に関連する許容可能なリスク許容度を確立して管理することが、組織におけるセキュリティの重要な要素です。この課題の最前線にあるのは、堅牢なセキュリティを確保することと、イノベーションを妨げない環境を維持することの間で適切なバランスを取る必要があることです。結局のところ、ID はクラウドの新しい境界です。残念ながら、このバランスを誤ると、生産性が低下したり、組織が重大なセキュリティリスクにさらされたりする可能性があります。
アイデンティティセキュリティとリスクの境界線を引く
本質的に、アイデンティティ管理に関するリスク許容度は、セキュリティと使いやすさのバランスにかかっています。MFA 要件を厳格に適用したり、プロジェクトやアプリケーションの管理者の数を制限したりするなどのセキュリティ対策は、保護を強化してセキュリティ リスクを軽減しますが、日常のワークフローや時間的制約のあるタスクを複雑にすることで、ユーザーを苛立たせる可能性があります。一方、セキュリティ障壁を不必要に下げて使いやすさと柔軟性を優先すると、不正アクセスや侵害のリスクが高まります。
組織は、経営幹部と取締役会によって決定され、合意されたリスク許容限度を設定し、受け入れることで、この微妙なバランスをうまく保たなければなりません。利害関係者は、セキュリティとリスクの境界線をどこに引くかについて、十分な情報に基づいた決定を下す必要があります。リスク管理に対する効果的なアプローチでは、運用上の影響とセキュリティの脅威の両方を考慮し、リスク許容度が経営幹部レベルで決定されるようにします。
実践的なアイデンティティリスク管理
人気の高いクラウド サービス プロバイダーの 1 つである AWS の典型的なシナリオをいくつか考えてみましょう。クラウド ID の管理が困難になっているのは、一時的な仮想リソースによってもたらされたパラダイム シフトが一因です。対応するすべての仮想クラウド リソースの動的な性質、人間とマシンの ID の混在、機密性の高い S3 バケットデータへのアクセスを必要とするサードパーティサービスの増加により、クラウド ID は本質的に複雑になっています。これらの課題はすべて、許容されるリスクの許容度が高いことを意味しますが、組織が ID リスクを大幅に削減するために使用できるツールがあります。
現実世界の課題
組織には何百もの AWS アカウントがあり、IAM ロールを利用してクラウド資産全体のさまざまなリソース (S3 バケット、EC2 インスタンス、多数の Lambda functionなど) へのアクセスを管理しているとします。時間が経つにつれて、何百、何千ものさまざまなロールを手動で管理することは不可能になります。多くの場合、これらのロールはサービスの中断を防ぐために広範囲に割り当てられる傾向があるため、従業員は過度に単純化された、過剰な権限を持つアクセスポリシーを使用することになります。さらに、クラウドでアプリケーションの展開を管理する運用チームの中断を回避するという大義名分のもと、過度に許可された ID がレビューされるのではなく、継続的に維持される可能性が非常に高くなります。
このシナリオをより詳細に見てみましょう。開発者は当初、デバッグの目的で特定の S3 バケットへのフルアクセスを「一時的に」付与されていました。しかし、これらの権限は最初のタスクが完了した後も長く残っていました。クラウドスタックに存在しなくなったアプリケーション専用に以前に作成された IAM ロールはどうでしょうか。関連するリソースが消去されたため、そのロールは不要になったことはわかっていますが、その同じ長期間有効な古いロールは、敵対者にとって潜在的なバックドアとなります。後から考えれば、これは明らかで簡単に修正できますが、付与された権限の 98% が未使用であることを考えると、多くの組織が毎日この過度のリスクを負っていると想定するのは妥当です。
この文脈では、対処方法によっては組織のリスクポートフォリオに直接影響を与える可能性がある、未解決の懸念事項が 2 つあります。
- 過剰な権限アクセス: これは、ユーザーまたはアプリケーションが必要以上のアクセス権を保持し、アカウントが侵害された場合にデータが漏洩するリスクが増加するシナリオです。
- 可観測性と可視性の欠如: 関連リソースの数が増えると、マルチアカウント環境全体でどのように権限を追跡および管理すればよいのでしょうか? (上記のシナリオで説明したように、企業は非常に大規模なエンタープライズアカウント内に数百の個別の AWS アカウントを持っている可能性があります。)
適切なツールを見つける
クラウド セキュリティポスチャー管理 ( CSPM ) およびクラウド インフラストラクチャーエンタイトルメント管理 ( CIEM ) ツールは、まさにこのような問題を解決するために設計されています。上記の AWS シナリオでこれらのツールがどのように役立つかを以下に示します。
- CSPM:これらのツールは、クラウド環境のセキュリティ構成を継続的に監視し、過剰な権限のアクセス、誤って構成された権限、未使用のロールにフラグを立てます。たとえば、CSPM ソリューションは、デバッグタスクの完了後も S3 バケットへのフル アクセス権を持つ過剰な権限の開発者アカウントについてセキュリティチームに
警告できます。また、廃止されたアプリケーションに関連付けられた古い IAM ロールも特定します。Sysdig のクラウド内のIAM ロールのポスチャーレポートを使用すると、検出されたロール情報をすばやく並べ替え、フィルター処理、ランク付けして、ロールとその権限に関連する ID リスクを修正できます。 - CIEM: CSPM とは異なり、CIEMソリューションは、特に人間および非人間のアイデンティティに対するクラウド権限に関する詳細な可視性を提供し、攻撃対象領域を削減するための具体的な洞察を与えます。AWSの例においては、CIEMツールがすべてのロール、グループ、およびポリシーを分析し、どのユーザーが過剰な権限を持っているかを強調し、最小権限の構成を推奨します。
SysdigのIAM Policy Generation,のようなCIEMソリューションは、実際の使用状況に基づいて動的に権限を調整することで、最小権限の強制を自動化し、ユーザーやアプリケーションが必要なリソースにのみアクセスできるようにします。
プロアクティブなIAM戦略の確立
アイデンティティとアクセス管理（IAM）は、エンドユーザー、従業員、マシンのアイデンティティに特に関連したリスク許容度を受け入れ、管理するためのセキュリティの基盤です。IAMのベストプラクティスは、組織のリスク許容度を最小限に抑え、ユーザーアクセスが適切に管理・監視されることを確保するためのポリシーの実施に繋がります。IAM内でアイデンティティリスクを軽減する主な戦略には以下が含まれます：
- ロールベースのアクセス制御 (RBAC):このアプローチは、職務に応じて定義されたユーザー ロールに基づいて、プロジェクトや機密情報へのアクセスを制限し、機能 (編集者、コメント投稿者、閲覧者など) を制限します。これにより、不必要な露出が減り、明確に定義された安定したロールを持つ組織でのデータ漏洩のリスクが軽減されます。
- 属性ベースのアクセス制御 (ABAC):この戦略では、特性 (ユーザーの部門や職務など) とユーザー、リソース、環境の属性の組み合わせを使用してアクセスを制限します。これらの制御は RBAC に比べて動的で詳細であり、アクセスが動的で多様でコンテキストに依存する組織に最適です。ABAC は実装と保守がより複雑ですが、クラウド環境で運用している組織では、柔軟なアクセス制御によりサプライ チェーンと ID リスク管理が大幅に改善されます。
- CIEM による最小権限の原則: RBAC や ABAC と同様に、最小権限の原則により、ユーザーは役割に必要なアクセス権のみを持つようになり、アカウントの侵害による潜在的な損害を最小限に抑えることができます。さらに、これにより、セキュリティ チームは、調査やデータ分析中に異常なユーザー イベントをより適切に把握し、優先順位を付けることができます。ユーザーが通常とは異なる行動をしていたのか、権限が昇格されているのかを迅速に判断できるからです。
- 多要素認証 (MFA) とシングルサインオン (SSO):これらのセキュリティ実装により、ユーザー ID の不正使用を防ぎ、リソースへの適切なアクセスを保証するためのセキュリティレイヤーが追加されます。MFA は単独では摩擦を増やす可能性がありますが、不正アクセスのリスクを大幅に軽減します。一方、SSO は認証を一元化してユーザー フレンドリーなエクスペリエンスを実現します。これらのセキュリティ メカニズムを一緒に実装することが、攻撃者を企業環境から排除する最も迅速で簡単な方法です。
- 継続的な監視:このセキュリティ対策により、疑わしいアクティビティをリアルタイムで検出し、潜在的な脅威に迅速に対応できます。リアルタイム検出と自動応答アクションにより、セキュリティ チームは、攻撃者が環境に深く入り込む前に不正ユーザーを特定して修復できます。侵入されると、攻撃にはわずか数分しかかかりません。
IAMは、セキュリティと使いやすさのバランスを取り、アクセス制御を調整して組織のリスク許容度を最小限に抑える上で重要な役割を果たします。上記のIAMベストプラクティスを実施することで、アイデンティティに関する脅威に対する組織のリスク許容度はほぼゼロに近づくはずです。プロアクティブ（事前対応）とリアクティブ（事後対応）の両方のアイデンティティ管理コントロールを導入することで、組織内でアイデンティティが侵害されるリスクは非常に低くなります。
時間の経過とともにリスク許容度を適応させる
リスク許容度は一定ではありませんが、最小限に抑える必要があります。組織が進化するにつれて、ユーザー管理に関するリスク許容度を確立するためのアプローチも進化する必要があります。急速な成長、技術の進歩、新たな脅威などのビジネス環境の変化により、リスク許容度レベルの定期的な再評価が必要になります。たとえば、セキュリティ侵害が発生した後、組織は調査中にさらなるリスクを軽減するために、一時的にユーザー アクセス制御を強化する場合があります。同様に、新しい規制により、コンプライアンスを維持するためにアクセス管理ポリシーの調整が必要になる場合があります。
トレーニングと意識の重要性の強化
最善の IAM プラクティスを導入したとしても、人為的ミスや厳しい期限は、リスク許容度の受け入れ率に重大な影響を及ぼします。ユーザーの行動はセキュリティ対策を後押しすることも、弱体化させることも考えられるため、ユーザーの行動とセキュリティ プロセスを組織のリスク許容度に合わせるには、継続的なトレーニングと意識向上プログラムが不可欠です。関連するリスクとセキュリティプロトコルの重要性についてユーザーに定期的に教育し、注意喚起することで、組織の全体的なセキュリティ体制にプラスの影響を与えることができます。
適切なバランスを見つける
ユーザー管理におけるリスク許容度管理は、セキュリティと使いやすさの適切なバランスを見つけることを伴う、複雑ですが重要なタスクです。組織のリスク許容度レベルを慎重に定義し、堅牢な IAM 戦略を実装し、新しい課題が現れるたびに継続的に適応することで、組織はセキュリティの脅威から身を守りながら、ユーザーが効率的に役割を遂行できるようにすることができます。
デジタル時代において、ユーザー管理におけるリスク許容度を習得することは、単に賢明なだけでなく、生き残るために必要です。