performing-access-review-and-certification

アクセスレビューと認証の実施

概要

ユーザーが役割に応じた適切なアクセス権を持っていることを確認するため、体系的なアクセスレビューと認証を実施します。このスキルでは、レビューキャンペーンの設計、レビュー担当者の選定、リスクベースの優先順位付け、マイクロ認証の戦略、そして SOX、HIPAA、PCI DSS の要件への準拠に向けた是正措置の追跡について扱います。

使用するタイミング

• アクセスレビューと認証を伴うセキュリティ評価を実施するとき
• 関連するセキュリティイベントに対してインシデント対応手順に従うとき
• 定期的なセキュリティテストや監査活動を実施するとき
• 実地テストを通じてセキュリティ管理策を検証するとき

前提条件

• アイデンティティとアクセス管理の概念およびツールに関する基礎知識があること
• 安全に実行するためのテスト環境またはラボ環境にアクセスできること
• 必要な依存関係をインストール済みの Python 3.8 以上が利用できること
• テスト活動に対する適切な承認を得ていること

目的

• エンタープライズアプリケーション全体にわたるアクセスレビューキャンペーンを設計・実行する
• レビュー対象範囲に対してリスクベースの優先順位付けを実装する
• レビュー担当者の選定方式（マネージャー、アプリケーションオーナー、ハイブリッド）を構成する
• 権限データの収集と提示を自動化する
• 不適切なアクセスの検出事項に対する是正を追跡する
• 監査人向けのコンプライアンス証跡を生成する

主要な概念

アクセスレビューの種類

1. ユーザーアクセスレビュー: マネージャーが直属の部下のすべての権限を認証する
2. 権限レビュー: アプリケーションオーナーが特定の権限を持つすべてのユーザーを認証する
3. ロールレビュー: ロールオーナーがロールのメンバーシップと権限を認証する
4. 特権アクセスレビュー: セキュリティチームが高リスク・特権アクセスをレビューする
5. SOD レビュー: 職務分掌（Separation of Duty）に違反する競合が存在しないことを確認する

リスクベースの優先順位付け

• 高リスク: 特権アクセス、財務システム、PII/PHI システム、外部公開アプリ
• 中リスク: 社内業務アプリケーション、共有ドライブ、コラボレーションツール
• 低リスク: 標準的な従業員向けツール、読み取り専用アクセス、公開情報システム

レビューキャンペーンのライフサイクル

1. 計画: 対象範囲、レビュー担当者、スケジュール、エスカレーションを定義する
2. データ収集: すべての ID ソースから権限を集約する
3. 配布: レビュー項目を適切な認証者に割り当てる
4. 認証: レビュー担当者が各権限を承認または取り消す
5. 是正: 不適切なアクセスを取り消し、期限を徹底する
6. 報告: コンプライアンス証跡と指標を生成する
7. 完了: キャンペーンをアーカイブし、検出事項を次のサイクルに反映する

ワークフロー

ステップ 1: レビュー対象範囲とスケジュールを定義する

• 対象となるアプリケーションとシステムを特定する
• レビュー頻度を決定する: 四半期ごと（SOX）、半年ごと、年次
• キャンペーンのスケジュールを定義する: レビュー期間、エスカレーション日、最終締切
• 応答しないレビュー担当者に対するエスカレーションの連絡経路を確立する

ステップ 2: データ収集と集約

• 各アプリケーションからユーザーと権限の対応関係を抽出する
• HR データ（在籍従業員、役割、部署、マネージャー）と突き合わせる
• 退職者や異動者で依然としてアクセス権を保持しているユーザーを特定する
• 高リスクの権限（管理者、DBA、システム、特権）にフラグを付ける
• 権限の機密性とユーザーの役割に基づいてリスクスコアを算出する

ステップ 3: レビュー担当者の割り当て

• マネージャーによるレビュー: 直属のマネージャーが部下のアクセスを認証する
• アプリケーションオーナーによるレビュー: アプリのオーナーがそのアプリケーションのすべてのユーザーを認証する
• ハイブリッドモデル: マネージャーが標準的なアクセスを、アプリオーナーが特権アクセスをレビューする
• 代理者の管理: 監査証跡を残したうえで、レビュー担当者による代理任命を許可する

ステップ 4: 認証キャンペーンを実行する

• レビュー担当者に明確な指示を添えて通知を送信する
• 権限をコンテキスト（最終使用日、リスクレベル、役割に基づく正当性）とともに提示する
• レビュー担当者に、各項目を明示的に承認するか取り消すことを求める
• 完了率を追跡し、リマインダーを送信する
• 期限経過後に管理職へエスカレーションする

ステップ 5: 是正と追跡

• 取り消しを IT 運用チームへ自動的にチケット化する
• 取り消しの実行に対する SLA を設定する（高リスクの場合は 24～48 時間）
• 取り消しが完了したことを検証する（権限を再確認する）
• ビジネス上の正当な理由がある逸脱について例外を管理する
• すべての例外を有効期限とともに文書化する

ステップ 6: レポートと証跡

• キャンペーンの完了指標を生成する
• アプリケーションごとのコンプライアンスレポートを作成する
• 監査に対応可能な証跡パッケージを作成する
• レビューサイクル全体の傾向を追跡する
• 調査結果をリスク評価プロセスにフィードバックする

セキュリティコントロール

コントロール	NIST 800-53	説明
アクセスレビュー	AC-2(3)	アカウント権限の定期的なレビュー
アカウント管理	AC-2	アカウントのライフサイクル管理
最小権限	AC-6	必要最小限のアクセスの強制
職務分掌	AC-5	SOD 競合の特定
監査ログ	AU-6	アクセス監査記録のレビュー

よくある落とし穴

• ゴム印承認: レfurers が内容を精査せず、すべてのアクセスを承認してしまう
• 対象範囲の不備: レビューキャンペーンから重要なアプリケーションが漏れる
• 是正の追跡不足: システム上ではなく書類上だけでアクセスを取り消している
• レビュー担当者の割り当てが一貫しておらず、カバレッジに抜けが生じる
• サービスアカウントおよび非人間 ID を対象に含めていない

検証

• 対象範囲内のすべてのアプリケーションがキャンペーンに含まれている
• 全権限の 100% にレビュー担当者が割り当てられている
• キャンペーンの完了率が 95% を超えている
• 取り消しが SLA 内に実行されている
• 監査証跡パッケージが完全で、アーカイブされている
• SOD 違反が特定され、文書化されている
• 例外が業務上の正当な理由と有効期限とともに文書化されている