NIST サイバーセキュリティフレームワーク 2.0 の PR.AA を共有アカウントに当てはめる

NIST サイバーセキュリティフレームワーク(CSF)2.0 の PR.AA は、ID の管理、認証、アクセスの管理を扱う分類です。IPA の訳では「アイデンティティ管理、認証、アクセス制御」と呼びます。会社の建物やシステム、データに入れるのを、認められた人・サービス・機器に限ることを求め、6 つの項目に分けています。CSF は手段を決めない文書なので、共有アカウントを禁じる文はありません。ただ、NIST が別に公表している取り組みの例は、1 人に 1 つの認証情報(パスワードなど、本人を確かめるための情報)を挙げています。共有アカウントを残すなら、誰が使ったかをどう確かめ、担当を外れた人をどう止めるかを、自社の言葉で説明できるようにしておきます。

CSF 2.0 はどんな文書か

CSF 2.0 の文書番号は NIST CSWP 29 で、2024 年 2 月 26 日に NIST(米国国立標準技術研究所)が公表しました。概要には、規模や分野、対策の進み具合を問わず、どの組織でも使えると書かれています。本文は、組織が自ら選んで使う場合と、政府の方針で求められる場合の両方を想定しています。IPA が日本語訳を公開していますが、訳文には NIST の公式な翻訳ではないと断り書きがあります。

CSF の中心は、目指す状態(成果)の一覧です。統治・識別・防御・検知・対応・復旧の 6 つの機能があり、その下に分類、さらに細かい項目が続きます。PR.AA は「防御」の機能に属する分類の一つです。本文は、成果をどう達成するかは定めないと明記し、手段の説明は NIST のウェブサイトにある補足の資料に任せています。2018 年の CSF 1.1 では、同じ領域は PR.AC という分類で 7 項目ありました。2.0 では PR.AA の 6 項目に組み直され、ほかの分類へ移った項目もあります。

PR.AA の 6 つの項目

IPA の訳では、PR.AA は、物理的及び論理的資産(建物や機器、データやシステム)へのアクセスが「認可されたユーザー、サービス、及びハードウェアに限定」されている状態です。そのうえで、不正アクセスのリスクに応じて管理されていることを求めます。6 つの項目を言い換えると次のとおりです。

• PR.AA-01: 認められた人・サービス・機器の ID と認証情報を、組織が管理している。
• PR.AA-02: 本人であることを確かめたうえで、ID を認証情報に結びつけている。確かめ方は、使う場面に応じて決める。
• PR.AA-03: 使う人・サービス・機器が本人か確かめられている。
• PR.AA-04: ログインの結果を別のシステムへ伝える情報が守られ、確かめられている。
• PR.AA-05: 誰に何を許すかを決まりで定め、運用し、見直している。権限は必要最小限にし、一人に任せきりにしない分担(職務の分離)を組み込んでいる。
• PR.AA-06: 建物や部屋への出入りを、リスクに応じて管理し、監視している。

04 は一度のログインで複数のサービスに入れる仕組みの中で使う情報の話で、06 は建物の出入りの話です。共有アカウントの扱いに直接かかわるのは、01・02・03・05 の 4 つと読めます。

NIST の取り組みの例は何を挙げているか

NIST は、各項目の達成の仕方を示す「Implementation Examples」(取り組みの例)を英語で公開しています。CSF の本文は、これを想定上の例と位置づけています。すべての手段の一覧でも、最低限やるべきことの基準でもないという説明です。例のうち、共有アカウントに関わるものを訳すと次のとおりです(この節と次の節の例の訳は、この記事によるもの)。

• PR.AA-01: 社員や社外の作業者のアクセスの申請を起こし、記録・確認して応じる。必要ならシステムやデータの持ち主の許可を得る。認証情報を発行し、管理し、取り消す。
• PR.AA-02: 原文は「Issue a different credential for each person (i.e., no credential sharing)」です。1 人ごとに別の認証情報を発行し、共有しないという例です。
• PR.AA-03: 多要素認証(2 つ以上の方法でログインを確かめること)を求める。パスワードの強さの下限を決める。
• PR.AA-05: 定期的に、また人が役割を変えたり辞めたりしたときに権限を見直し、要らなくなった権限をすぐに取り消す。権限を必要最小限にする。場所や時間帯など、申請した人と対象の性質を見て許可を決める。

共有アカウントに当てはめたときに問われること

共有アカウント(1 つの ID とパスワードを複数の人で使うもの)は、上の 4 項目のそれぞれで説明が要ります。分けられるものは分けるのが先で、分けられない場合の整理は共有アカウントを個人アカウントに分けられないケースの整理にあります。

認証情報を組織が持っているか(PR.AA-01)

パスワードがチャットやメモで人から人へ伝わると、会社は今どこにあるかを把握しにくくなります。例にある「取り消す」も、共有のパスワードでは全員の分を一度に変えることになります。

使った人を ID に結びつけられるか(PR.AA-02)

一つのパスワードを複数の人が使うと、サービスの記録の上では全員が同じ ID として残ります。その時間に誰が使っていたかは、記録からは分かりません。例が「共有しない」を挙げるのは、この結びつきを保つためと読めます。共有を残すなら、使う前に本人を確かめ、誰がいつ使ったかを別に残す方法を決めておくことになります。

本人の確かめ方(PR.AA-03)

小規模事業者向けの手引き(SP 1300)は、多要素認証を使えるすべてのアカウントで、多要素認証を求めることを優先するよう勧めています。共有アカウントも例外ではありません。コードが一人のスマホにしか届かない場合、ほかの人はログインのたびにその人に頼むことになります。方式ごとの問題は共有アカウントの二段階認証を複数人で使うときの問題と選択肢にまとめています。

外れた人をすぐに止められるか(PR.AA-05)

共有アカウントには、辞めた人の分だけを取り消す操作がありません。止めるにはパスワードを変えて、残る全員に配り直すことになります。変えるまでの間は、辞めた人もまだ入れます。パスワードを知っている人は全員が同じ権限で使うため、人ごとに最小権限を当てることもできません。

PR.AA の外の項目も関わります。検知の機能の DE.CM-03 は「人員の活動及び技術の利用が監視されている」状態を挙げています(IPA 訳)。共有アカウントでは、記録から使った人を分けられないので、この状態を示しにくくなります。統治の機能で取引の終了後の扱いを定める GV.SC-10 の例には、要らなくなった取引先のアクセスがすぐに止められたかを確かめる、があります。取引先の人も同じパスワードを知っていると、その分だけを止められません。

組織プロファイルに共有アカウントを書く

CSF は、組織プロファイル(自社の今の状態と目指す状態を、項目ごとに書き出したもの)を作る使い方を示しています。今の状態を書いたものを現状プロファイル、目指す状態を書いたものを目標プロファイルと呼びます(IPA 訳)。

共有アカウントについては、分けられずに残るアカウントを一覧にし、項目ごとに今の状態を書くと差が見えます。誰がパスワードを知っているか(01)、使った人をどう確かめているか(02)、二段階認証のコードを誰が受けるか(03)、辞めた人をいつ止めているか(05)です。小規模事業者向けの手引きにある「必要な人にだけアクセス及び権限を限定しているか？不要となった場合に、アクセスを取り除いているか？」(IPA 訳)という問いも、この表で答えられます。

CSF の本文は、現状プロファイルを取引先や見込み客に自社の状態を伝えるためにも使えるとしています。共有アカウントの扱いを書いた表は、取引先からセキュリティについて聞かれたときにも使えます。法令や指針の全体像は法令・ガイドラインとアカウント管理にまとめています。