What is access control?

アクセス・コントロール

セキュア・アクセスとは？

サイバーセキュリティにおけるアクセス・コントロールとは、企業が企業のデータとリソース全体にわたって許可されたアクセスを管理できるようにする一連のプロセスと手順のことである。アクセス・コントロール・ポリシーは、ユーザが本人であることを確認し、組み込まれたコントロールに応じて適切なアクセス・レベルを割り当てる。

サイバーセキュリティ・チームは、アクセス制御フレームワークを使用して、事業運営や顧客のプライバシーにとって重要な特定の情報や場所にアクセスできるユーザを管理します。ユーザ、従業員、ベンダーが、それぞれの職務を遂行するために必要なアクセスしかできないように、アクセスを制限することが重要です。

アクセス・コントロールの導入は、サイバーセキュリティにとって不可欠な要素です。許可されたユーザのみが必要なリソースに適切にアクセスできるようにすることは、組織が多数の攻撃ベクトルからのデータ侵害を回避するのに役立ちます。

セキュアアクセスの利点

管理の簡素化

アクセス・コントロール・システムは、従業員の認証情報とデータ・アクセスを管理する簡単な方法を組織に提供します。サイバーセキュリティ・チームは、一元化されたアクセス・コントロール・システムを通じて、すべてのネットワーク入口アクティビティを追跡・監視し、異常を特定してリスクを軽減し、データ侵害を防止することができます。

継続的なアクティビティ・トラッキング

他のシステムは、異常なアクティビティがないかネットワークを監視するのに役立ちますが、アクセス・コントロール・システムは使いやすく、アクセス可能なすべての場所に適用できます。サイバーセキュリティ活動だけでなく、入退室管理システムは、ビルへの入館、データセンターへのアクセス、その他入退室管理システムが稼動しているあらゆる場所を統合することができます。

アクセスレベルの簡単な調整

アクセス・コントロール・システムを使えば、特定の時間枠の中で特定のユーザーにネットワーク・アクセス・パラメータを設定したり、IT専門家がデータベースにアクセスしたりすることが簡単にできる。最も優れている点は、サイバーセキュリティのための最新のアクセス・コントロール・システムのほとんどが遠隔操作できることです。数回クリックするだけで、必要に応じてネットワークアクセスを調整することができます。

資格要件の一元管理

サイバーセキュリティにおけるアクセス・コントロール・システムのもう一つの特徴は、セキュリティ・レベル、従業員の責任、その他の要因に応じて特定のクレデンシャルを要求できることである。これによりITチームは、どのユーザがどのデータにアクセスできるかをよりよく追跡することができ、さらにはオンサイトのデータ・センターの場所を保護することができる。

リスクの最小化、セキュリティの向上

アクセス・コントロール・システムの最終的な目標は、業務を妨げることなく、オンロケーション、ネットワーク、クラウドのリソースのセキュリティを強化することである。アクセス・コントロールが正しく実装されれば、組織はサイバーセキュリティの態勢を大幅に改善し、データ・リスクを最小限に抑えることができる。

安全なアクセスの種類

サイバーセキュリティ・チームがユーザーとビジネス・データを保護するために実装できるアクセス制御には、いくつかの種類がある。

属性ベースのアクセス制御：IAMポリシーに基づいてアクセスを定義するコンテキストベースのポリシー。

裁量的アクセス制御：データ所有者がアクセス権とルールによってアクセス制御を決定できるモデル。

強制アクセス制御：個人と、その個人がアクセスを許可されるリソース、システム、データに基づく厳格なポリシー。

役割ベースのアクセス制御：ユーザーが組織の役割に基づいてアクセスを割り当てられるアクセス制御ポリシー

ブレイク・グラス・アクセス・コントロール（Break-glass access control）：重大なイベント発生時に、通常のアクセス許可をバイパスできる緊急アカウントを組み込んだポリシー。

ルールベースのアクセス制御：管理者が様々な条件に基づいてデータやリソースへのアクセスを制御するルールを定義するフレームワーク。

セキュア・アクセスの構成要素

アクセス・コントロールは、単なる1つのツールやポリシーではない。むしろ、ネットワーク・アクセスの安全性を確保するために、多くのコンポーネントが連携して管理されるサイバーセキュリティのフレームワークである。これらのコンポーネントには以下が含まれる：

認証：ユーザーのアイデンティティを確立すること。
認可：各ユーザーのアクセス権と権限を指定する。
アクセス：ユーザーが権限を持つデータ、リソース、システムへのアクセスを許可する。
管理：適切なアクセスを追加、削除、調整する。
監査：サイバーセキュリティチームがユーザーの活動データを分析し、潜在的な違反を発見し、承認手順を緩和することを可能にする。

アクセス・コントロール・ポリシー

組織が顧客に安全なサービスを提供し、不正行為からデータを守るために、データコンプライアンスのポリシーや規制がいくつか設けられている。

ペイメントカードシステムに関するPCI DSS(Payment Card Industry Data Security Standard)

患者の健康データに関するHIPAA（医療保険の相互運用性と説明責任に関する法律

クラウド上に顧客データを持つサービス・プロバイダーのためのSOC 2（ServiceOrganization Control 2）

ISO 2700（国際標準化機構）は、組織が消費者データを保護する能力を実証するサイバーセキュリティ基準である。

アクセス制御ポリシーのベストプラクティス

アクセス・コントロール・ポリシーの導入を検討している組織の多くは、ITチームやサイバーセキュリティの専門家にアクセスできる大規模な組織です。以下のアクセス制御ポリシーを実装するには、あらゆる規模の企業がサイバーセキュリティを深く理解した開発者を雇う必要があります。

ユースケースが第一、コンプライアンスは第二

コンプライアンスや規制は通常、一般的な組織のニーズに合わせて策定される。しかし、これらは消費者の安全を守るための最低限の要件であることが多い。コンプライアンス要件と、組織に影響を及ぼす可能性のある現実のシナリオとのバランスをとる。

アクセスと役割は密接な関係にある

各従業員は、他の組織要件に加えて、固有のユーザー名、パスワード、2MFA、および生体認証情報を持つべきである。アクセス・レベルを評価する際、各アクセスの割り当てに役割と責任が関わってくることは確実です。特定の役割に結びついたアクセスを特定することは、アクセス・コントロールの実装を開始する絶好の機会です。

最小特権の原則に従う

最小特権の原則とは、従業員は職務を遂行するために必要最小限のアクセス権しか持つべきでないというものである。それ以上のアクセスはセキュリティ・リスクであり、それ以下は生産性の妨げとなる。

アクセス・ポリシーを頻繁に見直す

サイバーセキュリティ・チームは、様々なイベントや継続的なメンテナンスのためにアクセス・ポリシーを見直すワークフローを作成すべきである。多くのアクセス・コントロール・システムは、AIツールを活用してこれらのプロセスを自動化しているが、従業員の退社手続きや一時的なアカウント、契約上のアカウントなどのイベントについては、手作業による監査が必要になる可能性がある。

定期的な社員教育

最後に、IT担当者だけでなく、すべての従業員がアクセス・コントロールのベスト・プラクティスについてトレーニングを受けるべきである。年1回のトレーニングと、ポリシーの変更や新しいセキュリティ機能が追加された際の追加トレーニングは、データ漏洩につながる重大なユーザーのミスを防ぐために不可欠です。

アクセス・コントロールとアイデンティティ・アクセス管理の比較

アクセス・コントロールとアイデンティティ・アクセス管理（IAM）は、しばしば明確化が必要である。しかし、この2つにはいくつかの重要な違いがある。

アクセスは、ユーザが特定のリソース、Web サイト、またはデータベースを使用できるかできないかを決定する。ユーザーの身元認証は、アクセス決定の一部である。しかし、これは、ユーザーが特定のシステムへのアクセスを許可されたと主張する人物であることを証明するための別個の手続きである。アクセス管理とは、認証されたユーザーがデータや会社のリソースに特権的にアクセスできるかどうかを、アクセス制御が決定する方法である。

アイデンティティ管理とアクセス管理の違いは、属性の分析方法である。アイデンティティ管理はユーザーに関する属性を管理し、アクセス管理はそれらの属性を特定のセキュリティ・ポリシーに基づいて評価し、アクセスの可否を判断する。

アクセス・コントロール・システムは、組織がユーザーの行動を追跡してサイバー攻撃を防止し、データ漏洩を軽減するのに役立つ。アクセス・コントロールにはさまざまな種類がありますが、すべてを実装する必要があるのは一部の組織だけです。サイバーセキュリティ・チームは、自社の環境を評価して最も脆弱な要素を発見し、それに応じてアクセス制御ポリシーに従っていることを確認するための措置を講じる必要があります。サイバーセキュリティにおけるアクセス・コントロールが正しく実施されれば、企業は組織全体で安全なIT環境を維持することができる。

ネットワーク・セキュリティのためのCylanceGATEWAY

CylanceGATEWAY™は、AIを活用したZero Trust Network Access（ZTNA）です。これにより、遠隔地の従業員は、管理対象または非管理対象のあらゆるデバイスから、クラウド内または構内のあらゆるアプリケーションへ、あらゆるネットワークを介して安全なネットワーク接続を確立することができます。このクラウドネイティブなZTNAソリューションは、あらゆるアプリケーションへのスケーラブルなアウトバウンド専用アクセスを提供すると同時に、重要な資産を権限のないユーザーから保護し、攻撃対象領域を最小限に抑えます。

CylanceGATEWAYのマルチテナント・アーキテクチャは、デジタルトランスフォーメーションと分散型業務向けに設計されています。その強力なAIと機械学習は、セキュリティ体制を改善し、きめ細かく動的なセキュリティポリシーとアクセス制御の設定と管理を簡素化します。

詳細はこちら