# NIST サイバーセキュリティフレームワーク 2.0 の PR.AA を共有アカウントに当てはめる

PR.AA は、建物やシステム、データに入れる人を認められた人に限ることを求め、6 項目に分けています。手段は定めませんが、NIST の例は 1 人 1 つの認証情報を挙げており、共有を残すなら使った人の確かめ方と止め方の説明が要ります。

更新日: 2026-10-14

NIST サイバーセキュリティフレームワーク(CSF)2.0 の PR.AA は、ID の管理、認証、アクセスの管理を扱う分類です。IPA の訳では「アイデンティティ管理、認証、アクセス制御」と呼びます。会社の建物やシステム、データに入れるのを、認められた人・サービス・機器に限ることを求め、6 つの項目に分けています。CSF は手段を決めない文書なので、共有アカウントを禁じる文はありません。ただ、NIST が別に公表している取り組みの例は、1 人に 1 つの認証情報(パスワードなど、本人を確かめるための情報)を挙げています。共有アカウントを残すなら、誰が使ったかをどう確かめ、担当を外れた人をどう止めるかを、自社の言葉で説明できるようにしておきます。

## CSF 2.0 はどんな文書か

CSF 2.0 の文書番号は NIST CSWP 29 で、2024 年 2 月 26 日に NIST(米国国立標準技術研究所)が公表しました。概要には、規模や分野、対策の進み具合を問わず、どの組織でも使えると書かれています。本文は、組織が自ら選んで使う場合と、政府の方針で求められる場合の両方を想定しています。IPA が日本語訳を公開していますが、訳文には NIST の公式な翻訳ではないと断り書きがあります。

CSF の中心は、目指す状態(成果)の一覧です。統治・識別・防御・検知・対応・復旧の 6 つの機能があり、その下に分類、さらに細かい項目が続きます。PR.AA は「防御」の機能に属する分類の一つです。本文は、成果をどう達成するかは定めないと明記し、手段の説明は NIST のウェブサイトにある補足の資料に任せています。2018 年の CSF 1.1 では、同じ領域は PR.AC という分類で 7 項目ありました。2.0 では PR.AA の 6 項目に組み直され、ほかの分類へ移った項目もあります。

## PR.AA の 6 つの項目

IPA の訳では、PR.AA は、物理的及び論理的資産(建物や機器、データやシステム)へのアクセスが「認可されたユーザー、サービス、及びハードウェアに限定」されている状態です。そのうえで、不正アクセスのリスクに応じて管理されていることを求めます。6 つの項目を言い換えると次のとおりです。

- PR.AA-01: 認められた人・サービス・機器の ID と認証情報を、組織が管理している。
- PR.AA-02: 本人であることを確かめたうえで、ID を認証情報に結びつけている。確かめ方は、使う場面に応じて決める。
- PR.AA-03: 使う人・サービス・機器が本人か確かめられている。
- PR.AA-04: ログインの結果を別のシステムへ伝える情報が守られ、確かめられている。
- PR.AA-05: 誰に何を許すかを決まりで定め、運用し、見直している。権限は必要最小限にし、一人に任せきりにしない分担(職務の分離)を組み込んでいる。
- PR.AA-06: 建物や部屋への出入りを、リスクに応じて管理し、監視している。

04 は一度のログインで複数のサービスに入れる仕組みの中で使う情報の話で、06 は建物の出入りの話です。共有アカウントの扱いに直接かかわるのは、01・02・03・05 の 4 つと読めます。

## NIST の取り組みの例は何を挙げているか

NIST は、各項目の達成の仕方を示す「Implementation Examples」(取り組みの例)を英語で公開しています。CSF の本文は、これを想定上の例と位置づけています。すべての手段の一覧でも、最低限やるべきことの基準でもないという説明です。例のうち、共有アカウントに関わるものを訳すと次のとおりです(この節と次の節の例の訳は、この記事によるもの)。

- PR.AA-01: 社員や社外の作業者のアクセスの申請を起こし、記録・確認して応じる。必要ならシステムやデータの持ち主の許可を得る。認証情報を発行し、管理し、取り消す。
- PR.AA-02: 原文は「Issue a different credential for each person (i.e., no credential sharing)」です。1 人ごとに別の認証情報を発行し、共有しないという例です。
- PR.AA-03: 多要素認証(2 つ以上の方法でログインを確かめること)を求める。パスワードの強さの下限を決める。
- PR.AA-05: 定期的に、また人が役割を変えたり辞めたりしたときに権限を見直し、要らなくなった権限をすぐに取り消す。権限を必要最小限にする。場所や時間帯など、申請した人と対象の性質を見て許可を決める。

## 共有アカウントに当てはめたときに問われること

[共有アカウント](/guides/shared-accounts/what-is-shared-account)(1 つの ID とパスワードを複数の人で使うもの)は、上の 4 項目のそれぞれで説明が要ります。分けられるものは分けるのが先で、分けられない場合の整理は[共有アカウントを個人アカウントに分けられないケースの整理](/guides/shared-accounts/when-accounts-cannot-be-split)にあります。

### 認証情報を組織が持っているか(PR.AA-01)

パスワードがチャットやメモで人から人へ伝わると、会社は今どこにあるかを把握しにくくなります。例にある「取り消す」も、共有のパスワードでは全員の分を一度に変えることになります。

### 使った人を ID に結びつけられるか(PR.AA-02)

一つのパスワードを複数の人が使うと、サービスの記録の上では全員が同じ ID として残ります。その時間に誰が使っていたかは、記録からは分かりません。例が「共有しない」を挙げるのは、この結びつきを保つためと読めます。共有を残すなら、使う前に本人を確かめ、誰がいつ使ったかを別に残す方法を決めておくことになります。

### 本人の確かめ方(PR.AA-03)

小規模事業者向けの手引き(SP 1300)は、多要素認証を使えるすべてのアカウントで、多要素認証を求めることを優先するよう勧めています。共有アカウントも例外ではありません。コードが一人のスマホにしか届かない場合、ほかの人はログインのたびにその人に頼むことになります。方式ごとの問題は[共有アカウントの二段階認証を複数人で使うときの問題と選択肢](/guides/shared-accounts/sharing-two-step-verification)にまとめています。

### 外れた人をすぐに止められるか(PR.AA-05)

共有アカウントには、辞めた人の分だけを取り消す操作がありません。止めるにはパスワードを変えて、残る全員に配り直すことになります。変えるまでの間は、辞めた人もまだ入れます。パスワードを知っている人は全員が同じ権限で使うため、人ごとに[最小権限](/guides/access-basics/what-is-least-privilege)を当てることもできません。

PR.AA の外の項目も関わります。検知の機能の DE.CM-03 は「人員の活動及び技術の利用が監視されている」状態を挙げています(IPA 訳)。共有アカウントでは、記録から使った人を分けられないので、この状態を示しにくくなります。統治の機能で取引の終了後の扱いを定める GV.SC-10 の例には、要らなくなった取引先のアクセスがすぐに止められたかを確かめる、があります。取引先の人も同じパスワードを知っていると、その分だけを止められません。

## 組織プロファイルに共有アカウントを書く

CSF は、組織プロファイル(自社の今の状態と目指す状態を、項目ごとに書き出したもの)を作る使い方を示しています。今の状態を書いたものを現状プロファイル、目指す状態を書いたものを目標プロファイルと呼びます(IPA 訳)。

共有アカウントについては、分けられずに残るアカウントを一覧にし、項目ごとに今の状態を書くと差が見えます。誰がパスワードを知っているか(01)、使った人をどう確かめているか(02)、二段階認証のコードを誰が受けるか(03)、辞めた人をいつ止めているか(05)です。小規模事業者向けの手引きにある「必要な人にだけアクセス及び権限を限定しているか？不要となった場合に、アクセスを取り除いているか？」(IPA 訳)という問いも、この表で答えられます。

CSF の本文は、現状プロファイルを取引先や見込み客に自社の状態を伝えるためにも使えるとしています。共有アカウントの扱いを書いた表は、取引先からセキュリティについて聞かれたときにも使えます。法令や指針の全体像は[法令・ガイドラインとアカウント管理](/guides/compliance)にまとめています。


## よくある質問

**CSF 2.0 は共有アカウントを禁止していますか**

本文に禁じる文はありません。CSF は目指す状態を示し、手段は定めない文書です。ただし NIST が公表している取り組みの例は、1 人ごとに別の認証情報を発行し、共有しない方法を挙げています。

**取り組みの例は守らなければいけませんか**

CSF の本文は、例は想定上のもので、すべての手段の一覧でも、最低限やるべきことの基準でもないとしています。自社の状態と目標に合わせて選ぶための参考です。

**共有アカウントを残すと何を説明することになりますか**

誰がパスワードを知っているか、使った人をどう確かめるか、二段階認証のコードを誰が受けるか、外れた人をいつ止めるかの 4 つです。PR.AA-01・02・03・05 に当たります。

**日本語で読める資料はありますか**

IPA が CSF 2.0 の本文と、小規模事業者向けの手引きなどを日本語に訳して公開しています。訳文には、NIST の公式な翻訳ではないという断り書きがあります。

## 参考資料

- [NIST「The NIST Cybersecurity Framework (CSF) 2.0」(NIST CSWP 29、2024 年 2 月 26 日)](https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf)
- [IPA「米国国立標準技術研究所(NIST)サイバーセキュリティフレームワーク(CSF)2.0」(日本語訳、2024 年 11 月)](https://www.ipa.go.jp/security/reports/oversea/nist/ug65p90000019cp4-att/begoj9000000d400.pdf)
- [NIST「Framework for Improving Critical Infrastructure Cybersecurity Version 1.1」(2018 年 4 月 16 日)](https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.04162018.pdf)
- [NIST「NIST CSF 2.0 Implementation Examples」(2024 年 2 月 26 日)](https://www.nist.gov/system/files/documents/2024/02/21/CSF%202.0%20Implementation%20Examples.pdf)
- [IPA「NIST サイバーセキュリティ フレームワーク 2.0:スモールビジネス クイックスタートガイド」(NIST SP 1300 の日本語訳、2024 年 11 月)](https://www.ipa.go.jp/security/reports/oversea/nist/ug65p90000019cp4-att/begoj9000000d41r.pdf)
- [NIST「Cybersecurity Framework」](https://www.nist.gov/cyberframework)

## Junify の場合

**人手で続けると** 求められている措置を自社の運用に読み替え、アカウントの一覧・権限・記録を監査で出せる形で保ち、指針が改定されるたびに読み直すことになります。

**Junify なら** 現状プロファイルの 01 と 02 を書くとき、共有アカウントではパスワードを知る人と使った人を聞いて調べ、05 で人が外れればパスワードを配り直します。Junify に載せたアカウントは、導入時にパスワードを変えて Junify だけが持つので、01 には担当者に渡していないと書けます。02 には担当者がスマホで本人確認して使った記録を示せます。05 は使ってよい人から外せば入れなくなります。

Junify は、パスワードを渡さずに社内外の担当者へ仕事を任せるためのアクセス管理サービスです。担当者はスマホで本人認証し、カードをクリックするだけで必要なアカウントにログインできます。パスワードは開示されず、誰がいつどのアカウントを使ったかは個人単位で記録されます。

- [登録不要の体験デモを見る](https://www.junify.jp/bpo/try)
- [30 分デモを予約する](https://www.junify.jp/bpo/demo)

## 同じテーマの記事

- [CIS Controls v8.1 の Control 5(アカウント管理)と Control 6(アクセス制御管理)は何を求めるか](/guides/compliance/cis-controls-account-access-management): Control 5 は全アカウントの一覧、使われていないアカウントの停止、管理者専用アカウントを求めます。Control 6 は権限を与える・外す手順と、社外向けサービスと管理者の多要素認証を求めます。どれも IG1(最初の段階)です。
- [漏えい等の報告で、アクセスの記録(ログ)から示すこと](/guides/compliance/data-breach-report-access-logs): 報告の 9 項目のうち、アクセスの記録で裏づけるのは概要の経過、個人データの項目、本人の数、原因の 4 つです。見られていないことを記録で確かめられなければ、その範囲は漏えいかそのおそれに当たり得ます。
- [政府の統一基準が求める ID の管理と委託先の対策](/guides/compliance/government-unified-standards-accounts): 統一基準は、ID を適切に管理し、不要になれば速やかに止め、権限を必要最小限にするよう求めます。ガイドラインは 1 人 1 つの ID を原則とし、共用は使った人を特定できる仕組みを条件に認めます。委託先には情報を守る対策を契約で求めます。