SCS評価制度（Supply Chain Security評価制度）への対応を進める中で、自社の認証・アクセス制御の運用を改めて確認している企業も多いのではないでしょうか。

SCS評価制度では、ユーザーIDの発行・変更・削除やアクセス権管理に関するルールの整備だけでなく、それらを適切に運用することが求められています。しかし、これまでのセキュリティ対策はサイバー攻撃などによる侵入を防ぐことに重点が置かれ、侵入後の被害拡大を防ぐ特権アクセス管理は後回しになりがちでした。そのため、特権アクセス管理は性善説に基づいて運用され、管理方法もExcel台帳による手運用を実施している企業も少なくありません。

ではなぜ今、SCS評価制度で認証・アクセス制御が重視されるのでしょうか。本稿ではその背景とともに、Excel管理が抱える課題や、これから求められるアクセス管理のあり方について考えていきます。

なぜ今、認証・アクセス制御が重要なのか

かつて企業のセキュリティ対策は、「外部から侵入させないこと」が中心でした。ファイアウォールなどによって社内ネットワークの境界を守ることで情報資産を保護するという考え方です。

しかし近年は、VPNの脆弱性やクラウドサービスの認証情報の窃取などをきっかけに攻撃者が企業ネットワークへ侵入し、その後社内で権限を拡大しながら重要システムへ不正アクセスするケースが増えています。攻撃者は侵入後、認証情報を悪用しながらネットワーク内を横断的に移動する「ラテラルムーブメント」を行い、認証基盤や重要サーバーに到達します。そして最終的には、システムの停止や機密情報の窃取、ランサムウェアによるデータの暗号化といった深刻な被害を引き起こし、業務停止や情報漏えいなど、企業活動そのものに大きな影響を及ぼしかねません。

実際に、サイバー攻撃による被害は現在も後を絶たず、連日のように報道されています。このようにランサムウェア攻撃やサプライチェーン攻撃の増加、クラウド利用の拡大などを背景に「侵入を完全に防ぐことは難しい」という前提でセキュリティ対策を考える必要が出てきました。

だからこそ今、「誰が」「いつ」「どのシステムにアクセスできるか」「何をしているのか」を把握することが重要になっています。SCS評価制度において認証・アクセス制御が重視される背景にも、こうした考え方があります。

Excel管理の限界

セキュリティ上のリスクが認識されている一方で、アクセス管理をExcel台帳で運用している企業は今なお少なくありません。Excel管理は特別なシステムを導入する必要がなく、低コストで始められるうえ、自社の運用にもなじみやすいためです。また、これまでは管理対象となるシステムやアカウント数も比較的限定的であり、大きな問題なく運用できていた企業も多かったのではないでしょうか。

しかし近年は、前述したセキュリティ脅威の増加に加え、クラウドサービスの活用拡大やシステム数の増加により、管理すべきアカウントやアクセス権限が急速に増えています。その結果、運用面においてもExcel管理の限界が見え始めています。

よくあるケースとしては、「退職者のアカウントが残っている」「異動前の権限が削除されていない」「台帳と実際の設定が一致していない」といったものが挙げられます。

組織変更や人事異動が頻繁に発生する環境では、これらをすべて手作業で管理し続けることは容易ではなく、更新漏れや確認不足も生じやすくなります。また、管理方法が属人化し、運用担当者が変わることで「なぜその権限が付与されているのか」を説明できなくなるケースも少なくありません。

SCS評価制度が求めているのはルール整備だけではない

認証・アクセス制御というと、特権ID管理のルールを整備することだと考えられがちです。もちろん、ルール整備は重要です。しかし、SCS評価制度が見ているのはそれだけではありません。

たとえ規程が整備されていても、「退職者のアカウントが放置されている」「定期的な権限棚卸しが実施されていない」「承認プロセスが形骸化している」といった状態では、実効性のある管理が行われているとはいえません。重要なのはルールを作ることではなく、そのルールに基づいた運用を継続できることです。
つまり、認証・アクセス制御は単なるIT部門の管理業務ではなく、企業全体のセキュリティガバナンスの一部として捉える必要があります。

これから求められるアクセス管理のあり方

SCS評価制度への対応を進めるうえで重要なのは、管理者個人に依存しない運用を実現することです。

前述のように、認証・アクセス制御は退職者アカウントの削除漏れや異動後の権限見直し漏れなどがリスクとなります。しかし、これらを人手だけで確実に管理し続けることには限界があります。組織変更や人事異動のたびに複数のシステムを確認し、申請内容や権限設定を突き合わせながら管理する運用は、担当者に大きな負担をかけるだけでなく、ミスが発生する要因にもなります。

また、SCS評価制度が求めているのは、単にルールを整備することではなく、そのルールに基づいて適切に運用されている状態を維持することです。そのためには、「誰が」「いつ」「どのシステムにアクセスし」「どんな操作をしているのか」を継続的に把握できる仕組みが欠かせません。

例えば、人事異動や入退社の情報と連携しながらアカウントを管理し、申請・承認・権限棚卸しのプロセスを標準化・仕組化することで、運用負荷と管理リスクの双方を軽減できます。また、複数のシステムに分散した管理者権限や特権アカウントを一元的に把握できれば、不適切な権限の早期発見にもつながります。結果として、監査対応やSCS評価制度への対応も効率的に行えるようになります。

今後はアクセス管理を単なる「管理台帳の維持作業」として捉えるのではなく、「継続的に統制された状態を維持するための仕組み」として考えることが求められるのではないでしょうか。認証・アクセス制御は、企業のセキュリティ対策を支える基盤として、その重要性がますます高まっています。

まとめ

SCS評価制度が認証・アクセス制御を重視している背景には、「侵入を防ぐこと」だけでは企業を守れなくなったという現実があります。これから重要になるのは、誰がどの権限を持ち、その状態が適切に維持されているかを継続的に把握できることです。
Excelによる管理が直ちに問題というわけではありません。しかし、組織やシステムの規模が拡大するなかで、その運用負荷や管理リスクは確実に高まっています。
SCS評価制度への対応をきっかけに、自社の認証・アクセス制御が継続的かつ効率的に運用できる仕組みになっているか、改めて見直してみてはいかがでしょうか。

《お役立ち資料》特権ID管理のすべてがわかる指南書「特権ID管理のAtoZ」

特権IDの基礎から管理のベストプラクティスまで網羅的に紹介したホワイトペーパーです。
是非自社のアイデンティティ管理の見直しと一緒にお役立てください。

☑こちらの資料で分かること
　・特権ID管理の基礎から、最新情報まで網羅的にご紹介
　・ゼロトラストセキュリティと特権ID管理
　・失敗しない特権ID管理ツールの選定ポイント