特権アクセス管理（PAM）のやさしい解説

すべてのテクノロジーシステムでは、ユーザに異なるアクセスレベルを提供することでセキュリティを管理しています。この役割ベースのセキュリティモデルは、システム管理者に強力なコントロールを提供し、各ユーザがシステムで実行できるアクションを決定します。最小特権の原則では、各ユーザにはその職務を遂行するために必要なアクセス権だけが与えられ、それ以上のアクセス権が与えられないようにします。したがって、プラットフォームのセキュリティを強化するために、組織は管理機能にアクセスする特権を持つユーザの数を制限する必要があります。制限された情報へのアクセス、ユーザの追加や削除、アプリケーションの再構成などのアクションには、セキュリティおよび運用上の影響があるため、信頼できるユーザのみがこれらのタスクを実行するための適切なアクセス権を持つようにする必要があります。

こうした特権アカウントは、スーパーユーザ���������は管理者と呼ばれることがよくあります。ただし、特権アカウントは、人間以外のシステムユーザを指す場合もあります。例えば、一部のエンタープライズサービスでは、機密データまたは制限されたネットワークにアクセスするためにシステムアカウントが必要です。また、通常のユーザのアクセスを許可する暗号化キーのような共有シークレットに依存するサービスもあります。これらの特権アカウントはべて、機データセキュアな環境にアクセスできるので、こうしたものを保護するための追加のセキュリティ対策を実装する必要があります。

特権アクセス管理（PAM）は、通常のユーザを超える特別なアクセス権または機能を持つIDを保護するための情報セキュリティ（Infosec）メカニズムです。他のすべての情報セキュリティソリューションと同様に、PAMは、ユーザ、プロセス、およびテクノロジーの組み合わせによって機能します。

特権アカウントは、テクノロジー環境にもたらすリスクがあるため、特別な注意をもって扱われます。例えば、管理者またはサービスアカウントの資格情報が犯罪者の手に渡った場合、組織のシステムと機密データが侵害される可能性があります。

攻撃者が特権アクセスアカウントを悪用するとき、データ漏洩が発生します。これらのアカウントはテクノロジー環境のすべての扉を開ける鍵を保持しているため、保護の追加レイヤを強化する必要があります。この追加のセキュリティが、特権アクセス管理ソリューションです。

テクノロジー環境では、特権アクセスは通常のユーザを超えて、昇格した機能を持つアカウントを指します。例えば、Linux環境では、rootユーザは、ユーザを追加、修正、削除し、ソフトウェアをインストール/アンインストールし、標準ユーザによるアクセスが禁じられている、オペレーティングシステムの制限された領域にアクセスできます。Windows環境にも同様のセキュリティ制限がありますが、rootユーザではなく、管理者と呼ばれています。

実世界の銀行の例を使用して、特権アクセスの概念を説明しましょう。一般的な銀行には、顧客、出納係、支店長がいます。各「ユーザ」は、銀行の現金にアクセスに関して、異なるレベルの権限を持っています。顧客は、自分の口座のお金にのみアクセスできます。出納係は、各自のドロワー内のすべての現金にアクセスできるため、通常の顧客より多くの権限があります。支店長は、銀行の金庫室に保管されているすべての現金にアクセスできるため、出納係よりさらに権限が大きくなります。テクノロジーシステムでも、この階層型特権アクセスモデルを使用します。システム内のユーザの役割は、ユーザができることとできないことを決定します。

この銀行の例では、出納係と支店長は、特権アクセスを持つユーザです。これらの役割は、顧客よりも多くの銀行の現金にアクセスできるため、銀行は、出納係または支店長にアクセスを許可する前に、追加のセキュリティ対策を実装する必要があります。例えば、就職希望者は、就職の面接中に犯罪歴を確認される場合があります。銀行で働き始めると、その役割により、物理的なアクセスも決定されます。例えば、出納係はセキュリティエリアに立ち入ることができるかもしれませんが、金庫室に入るために必要な特権アクセスは、支店長のみが持っています。

特権アクセス管理は、さまざまなコンポーネントで構成されるセキュリティメカニズムです。ソリューションが解決しようしいる���キュリティ問題に応じて、異なるプロセスとテクノロジーが作用します。

名前が示す通り、特権アカウント管理は、標準ユーザを超える高度なシステムアクセス権を持つアカウントを管理および監査するメカニズムを指します。一部の特権アクセス管理システムでは、特権アカウント管理が資格情報を保存するテクノロジーを指します。例えば、管理者は、さまざまなアプリケーションとエンタープライズリソースにわたって特権アカウントにアクセスするための手法を定義および制御するポータルを管理する場合があります。特権アカウント管理ポータルでは、特権アカウントの資格情報（パスワードなど）を特殊で非常に安全なパスワードボールトに保存します。資格情報の保存に加えて、ポータルはアクセスの条件に関するポリシーを実施できます。例えば、重要なシステムを実行する特権サービスアカウントの資格情報を保持する場合があります。そのような資格情報へのアクセスが必要なユーザは、固有の認証メカニズムを使用する必要があるかもしれません。これらのポータルは、資格情報の安全を保つために、誰かがアクセスした後にボールト内とシステム上のパスワードを自動的に変更するようなケースもあります。

特権セッション管理は、管理者が特権ユーザのアクティビティを監視、管理、および監査できるようにする特権アクセス管理ソリューションのコンポーネントです。標準ユーザを超える機能を持つ、内部および外部のユーザおよび接続されたシステムによって開始されたセッションを追跡および記録します。これらのソリューションは、特権アカウントが関与する異常なセッションアクティビティをセキュリティ管理者に通知することで、リスクを軽減します。

上述したように、特権アクセス管理は、ユーザ、プロセス、テクノロジーを組み合わせて行います。したがって、PAMソリューション実装の最初のステップは、特権アクセスを持つアカウントを特定することです。その後、企業は、それらのアカウントに適用するポリシーを決定する必要があります。

例えば、サービスアカウントは、保存してある資格情報にユーザがアクセスするたびにパスワードを更新しなければならないとするポリシーがあります。すべてのシステム管理者に多要素認証（MFA）を実施するものもあります。すべての特権セッションの詳細な記録を保持するというポリシーも、組織が実装する可能性がある選択肢です。理想的には、各プロセスは特定のリスクに対応する必要があります。例えば、サービスアカウントのパスワードを強制的に変更することは、内部関係者による脅威のリスクを軽減します。同様に、すべての特権セッションの記録を保持することで、セキュリティ管理者は異常を特定することができ、MFAを実施することでパスワード関連の攻撃を軽減できる実績のあるソリューションとなります。

特権アカウントを特定し、PAMポリシーを決定したら、組織は特権アクセス管理を監視および実施するテクノロジープラットフォームを実装できます。このPAMソリューションは、組織のポリシーを自動化し、セキュリティ管理者に特権アカウントを管理および監視するためのプラットフォームを提供します。

特権アクセス管理ソリューションには、組織のPAMポリシーをサポートする機能を備えている必要があります。一般的に、エンタープライズPAMには、ボールト、自動ローテーション、自動生成、および承認ワークフローを含む自動パスワード管理機能があります。これらのパスワード管理機能に加えて、管理者に多要素認証を実装および実施する機能を提供する必要もあります。

エンタープライズクラスの特権アクセス管理ソリューションは、組織に特権アカウントのライフサイクルを管理する機能も提供する必要があります。つまり、管理者に、アカウントの作成、修正、および削除を自動化する機能を提供する必要があります。最後に、PAMソリューションは堅牢な監視およびレポート作成を提供する必要があります。セキュリティ管理者は特権セッションを監視し、異常を調査する必要があるので、リアルタイムの可視性と自動アラートをセキュリティ管理者に提供する必要があります。

特権アクセス管理（PAM）は、より広範なIDおよびアクセス管理（IAM）ソリューションのコンポーネントです。PAMは、特権アカウントを保護するために必要なプロセスとテクノロジーを扱います。一方、IAMソリューションは、特権アクセスだけでなく、すべてのアカウントに対して、パスワード管理、多要素認証、シングルサインオン（SSO）、およびユーザライフサイクル管理を提供します。

最小特権の原則（POLP）とは、ユーザ、ネットワーク、デバイス、およびワークロードが職務を遂行するために必要な最小のアクセス権を持ち、それ以上のアクセスを許可されるべきではないとするセキュリティモデルです。一方、特権アクセス管理は、特権アカウントを保護するために必要なセキュリティプロセスとテクノロジーを扱います。したがって、PAMは最小特権の原則を実施するために必要な要素のいくつかを有効にしますが、これを実行するテクノロジーはほかにもあります。

PAMは管理者に、特権アカウントを管理するために必要な機能、自動化、レポート作成を提供します。それに加えて、最小特権の原則もサポートして、標準ユーザを超える機能を持つアカウントのリスクを軽減するために必要な管理と監視を可能にします。ただし、組織は、最小特権の原則を実施するために他の情報セキュリティメカニズムにもアクセスできます。例えば、すべてのシステムにロールベースのアクセス制御（RBAC）を実装できます。最小特権の原則を実施する別の例としては、VLANを使用してネットワークをセグメント化して保護することや、ユーザが企業のワークステーションのローカル管理者でないことを確認することなどがあります。

特権アカウントは企業に重大なリスクをもたらすので、特権アクセス管理はすべての組織にとって不可欠です。例えば、標準のユーザアカウントを侵害した場合、攻撃者はその特定のユーザの情報にしかアクセスできません。しかし、特権ユーザアカウントに侵入できると、より多くのアクセスが可能となり、アカウントによってはシステムを妨害することすらできるかもしれません。

そのステータスとプロファイルにより、サイバー犯罪者は特権アカウントをターゲットにします。1人のユーザではなく、組織全体を侵害できる可能性があるからです。Forresterの推定ではセキュリティ侵害の80パーセントに特権アカウントが関係しているため、これらのコアのエンタープライズIDを保護し、監視することは非常に重要です。例えば、PAMソリューションなら、特定のサービスに複数のユーザがアクセスして同じ管理パスワードを知っているというようなセキュリティ上の脆弱性を解決できます。また、管理者が予期せぬ中断を引き起こすことを恐れてパスワードを変更したがらないために、長期間変更されていないパスワードのリスクも軽減します。

特権アクセス管理ソリューションの効果は、その実装次第で決まります。したがって、組織は次のベストプラクティスを検討する必要があります。

• 最小特権の原則を実装する - 特権アカウントは、最初に最小特権の原則を実装せずには管理できません。特権アカウントだけが特定のリソースにアクセスできるように環境をロックダウンすることは、PAMソリューションの成功の前提条件です。

• すべての特権アカウントを追跡する - 特権アカウントがPAMソリューションに含まれていない場合、特権アカウントを管理できません。

• 一時的な特権昇格を検討する - ユーザに恒久的な特権アクセスを許可する代わりに、必要なときのみ提供して、その後削除することを検討してください。

• ロールベースのアクセス制御を使用する - 特権アクセス管理は、異なるロールベースのアクセスレベルがあるシステムでのみ機能します。例えば、全員が管理者の場合、セキュリティ保護して管理することははるかに難しくなります。

• 自動化する - 自動化は人的ミスのリスクを削減し、情報セキュリティ環境の効率も向上させます。

• 監視し、記録し、監査する - すべての特権アカウントのアクティビティの継続的な監視と積極的な記録は、組織が環境を保護するために必要な洞察を確保するために不可欠です。ただし、記録を定期的に監査することも重要です。これを行わないと、組織は潜在的なリスクを特定し、それを軽減するための対策を実装するために必要な情報を得ることができません。