performing-privileged-account-access-review

特権アカウントのアクセスレビューの実施

概要

特権アカウントのアクセスレビューは、昇格された権限を持つユーザーが引き続きそのアクセスを必要としているかを確認する、重要なアイデンティティガバナンスプロセスです。このレビューでは、ドメイン管理者、サービスアカウント、データベース管理者、クラウド IAM ロール、アプリケーションレベルの特権アカウントを対象とします。定期的なアクセスレビューは、SOC 2、PCI DSS、HIPAA、SOX のコンプライアンスフレームワークで義務付けられており、通常、特権レベルの高いアカウントについては四半期ごとに実施する必要があります。

使用するタイミング

• 特権アカウントのアクセスレビューを実施するセキュリティ評価を行う場合
• 関連するセキュリティイベントについて、インシデント対応手順に従う場合
• 予定されたセキュリティテストまたは監査活動を行う場合
• 実地テストを通じてセキュリティ制御を検証する場合

前提条件

• PAM ソリューションが導入されていること（CyberArk、BeyondTrust、Delinea、または同等の製品）
• アイデンティティガバナンスプラットフォーム（SailPoint、Saviynt、または同等の製品）
• すべてのプラットフォームにわたる特権アカウントの完全なインベントリ
• SLA とエスカレーション手順を定めたアクセスレビューポリシー
• 指定されたレビュー担当者（アカウント所有者、マネージャー、セキュリティチーム）

基本概念

特権アカウントのカテゴリ

カテゴリ	例	リスクレベル	レビュー頻度
ドメイン管理者	Enterprise Admin、Domain Admin、Schema Admin	重大	毎月
サービスアカウント	SQL サービス、バックアップエージェント、監視エージェント	高	四半期ごと
クラウド IAM	AWS root、Azure Global Admin、GCP Owner	重大	毎月
データベース管理者	DBA アカウント、sa/sys アカウント	高	四半期ごと
アプリケーション管理者	アプリ管理者ロール、管理者スコープを持つ API キー	中	半年ごと
緊急／ブレークグラス	Firecall アカウント、緊急アクセス	重大	使用のたび

4 つの柱によるレビューフレームワーク

DISCOVER                    VALIDATE                    REMEDIATE                 MONITOR
    │                           │                           │                       │
    ├─ Enumerate all            ├─ Verify business          ├─ Remove excess        ├─ Continuous
    │  privileged accounts      │  justification            │  privileges           │  monitoring
    │                           │                           │                       │
    ├─ Identify orphaned        ├─ Confirm account          ├─ Disable orphaned     ├─ Anomaly
    │  accounts                 │  ownership                │  accounts             │  detection
    │                           │                           │                       │
    ├─ Map permissions to       ├─ Check compliance         ├─ Enforce password     ├─ Session
    │  business roles           │  with policies            │  rotation             │  recording
    │                           │                           │                       │
    └─ Classify by risk         └─ Review last usage        └─ Implement JIT        └─ Audit
       level                       and activity                access                  logging

ワークフロー

ステップ 1：アカウントの検出とインベントリ作成

環境全体の特権アカウントを列挙します。

Active Directory：

• Domain Admins、Enterprise Admins、Schema Admins グループ
• AdminCount=1 属性を持つアカウント
• SPN（Service Principal Names）を持つサービスアカウント
• 委任権限を持つアカウント（無制約／制約付き）

クラウドプラットフォーム：

• AWS：AdministratorAccess、PowerUserAccess、または iam:* 権限を持つ IAM ユーザー／ロール
• Azure：Global Administrator、Privileged Role Administrator、Security Administrator ロール
• GCP：組織／プロジェクトレベルの Owner、Editor ロール

データベース：

• SQL Server：sysadmin、db_owner、securityadmin 固定ロール
• Oracle：DBA、SYSDBA、SYSOPER 権限
• PostgreSQL：superuser、createrole、createdb 属性

ステップ 2：レビュー基準の設定

各特権アカウントを、以下の基準に照らして評価する必要があります。

1. 業務上の正当性：ユーザーの現在の役割で、この権限が必要ですか？
2. 最小権限：より低い権限でタスクを実行できますか？
3. アカウントのアクティビティ：過去 90 日間にアカウントは使用されていますか？
4. コンプライアンス状況：アカウントはパスワードポリシーと MFA 要件を満たしていますか？
5. 職務分掌：このアクセスによって SoD の競合が生じますか？
6. 所有者：責任を負う所有者が割り当てられ、現在も有効ですか？

ステップ 3: レビューを実施する

各アカウントについて、指定されたレビュー担当者は次の作業を行う必要があります。

1. アカウントの詳細、権限、最終アクティビティ日を確認する
2. 必要なアクセスであることを文書化された正当な理由とともに承認（認定）する
3. 不要になったアクセス、またはレビュー担当者が権限を正当化できないアクセスを取り消す
4. 異常なアクティビティまたはポリシー違反が検出された場合、調査のためにフラグを立てる
5. レビュー担当者が判断できない場合、エスカレーションする

判断マトリクス:

条件	アクション
アクティブなユーザー、正当化された権限	認定 - アクセスを維持
アクティブなユーザー、過剰な権限	是正 - 最小権限まで縮小
90 日を超えて非アクティブ	アカウントを無効化し、所有者に通知
所有者が特定されていない	アカウントを無効化し、セキュリティチームにエスカレーション
SoD 競合を検出	是正 - 再割り当てまたは補償的統制を追加
ブレークグラスアカウント	最終使用が承認されたものであることを確認し、認証情報をリセット

ステップ 4: 是正と適用

レビューが完了した後:

• SLA 期間内に認定されなかったアカウントのアクセスを取り消す
• 14 日以内にレビューされなかったアカウントに対して、自動取り消しを実装する
• 認定済みのすべての特権アカウントの認証情報をローテーションする
• 可能な場合は、常時付与された特権を just-in-time (JIT) アクセスに変換する
• 最新のアカウントインベントリで PAM 保管庫を更新する

ステップ 5: レポートとドキュメント化

次の内容を含むレビューレポートを作成する:

• レビューされたアカウントの総数と対象範囲内の総数
• 認定率（承認数と取り消し数の比較）
• 平均レビュー完了時間
• 期限超過のレビューとエスカレーション
• 実施された是正アクション
• 前回のレビューサイクルとの比較

検証チェックリスト

• 特権アカウントの完全なインベントリが文書化されている
• すべてのアカウントに責任を持つ所有者/レビュー担当者が割り当てられている
• レビュー基準と判断マトリクスが定義されている
• レビュー担当者が SLA（14 日）内に認定を完了している
• 取り消されたアカウントが無効化され、認証情報がローテーションされている
• 孤立アカウントが特定され、無効化されている
• サービスアカウントが最小権限の観点でレビューされている
• ブレークグラスアカウントが承認された使用のみであるか監査されている
• メトリクスと傾向を含むレビューレポートが作成されている
• 是正チケットが作成され、完了まで追跡されている
• コンプライアンス監査のための証跡が保存されている

参考資料

• NIST SP 800-53 AC-2: Account Management
• CIS Controls v8 - Control 5: Account Management
• Netwrix PAM Best Practices Guide
• StrongDM PAM Best Practices 2025