スマートカード認証がありながらも、なぜ政府機関に企業向けパスワード管理が不可欠なのか？

元連邦政府のCISOとして、政府機関内で「スマートカード認証があれば企業向けパスワードソリューションと特権アクセス管理 (PAM) ソリューションが不要になる」という根強くはびこる危険な誤解を目にしてきました。 この思い込みは、綿密に調べるに値する重大なセキュリティ脆弱性を生み出します。

一次認証の向こう側にある現実

個人識別認証 (PIV) や共通アクセスカード (CAC) の認証情報によって、プライマリーユーザーアカウントに堅牢な認証が提供されますが、これでは政府機関が日常的に直面している認証の課題のほんの一部しか解決できません。 政府機関のITインフラの現実ははるかに複雑で、スマートカード認証をサポートできないシステムやアクセスポイントが多数存在します。

政府機関の業務に依然として不可欠なレガシーアプリケーションが関わる広大な背景について考えてみましょう。 これらのシステムの大半は、現代の認証基準が確立される前に開発されているため、従来のパスワードベースのアクセスに依存し続けています。

基本的なバックグラウンドプロセスと自動タスクを可能にするサービスアカウントも同様に、スマートカード認証の対象範囲外です。

共有管理アカウントは、セキュリティの観点から理想的ではありませんが、多くの機関にとっては今もなお必要悪であり、慎重な管理と監視が求められます。

最新の企業向けパスワード管理ソリューションでは、AES 256ビット暗号化と楕円曲線暗号 (ECC) による軍事レベルの保護が提供されます。 これらのソリューションはゼロ知識アーキテクチャの原則に基づいて動作します。つまり、ソリューションプロバイダーですらユーザーデータや復号キーにアクセスすることはできません。 暗号化と復号化はすべてユーザーのデバイス上で行われるため、機密性の高い連邦政府のデータは常に保護されます。

外部サービスの課題

連邦政府機関にとって特に厄介な課題は、連合アイデンティティ管理やスマートカード認証をサポートしていない外部ウェブサービスへのアクセスを管理することです。 連邦政府職員が使用する多くのクラウドサービス、サードパーティツール、業界固有のプラットフォームは、依然として従来のユーザー名とパスワードの認証に依存しています。

これらのサービスは、多くの場合、任務を首尾よく遂行するために不可欠ですが、完全に機関の一次認証インフラの外側にあります。 マーケティングチームはソーシャルメディア管理プラットフォーム、研究チームは科学データベースのサブスクリプション、調達スペシャリストはベンダーポータルというように、それぞれが必要とするアクセスは通常どれも、独自の認証システムを義務づけています。

外部サービスの認証情報の急増により、セキュリティチームにとっては、可視性に大きな穴ができています。 一元化された管理手段がないと、セキュリティチームは従業員がどの外部サービスにアクセスしているか、認証情報がどのように保存・共有されているか、定期的なパスワードローテーションなどの基本的なセキュリティ施策が守られているかどうかを監視する方法がありません。

シャドーITは特に懸念されます。チームが適切なセキュリティレビューを受けずに新しいサービスを採用すれば、組織に未知のリスクをもたらす可能性があります。 従業員が退職すると、外部サービスアカウントを特定してデプロビジョニングすることがほぼ不可能になり、危険なアクセスポイントが無期限に開いたままになる可能性があります。

企業向けパスワード管理ソリューションを採用すれば、すべての外部サービスの認証情報を一元的に管理するシステムが提供されるため、先に述べた可視性の課題に対処できます。 セキュリティチームは、どのサービスに誰がいつアクセスしているかを即座に把握できるようになります。 これらのシステムがあれば、パスワードの複雑さの要件や自動ローテーションスケジュール、適切なアクセス制御などのセキュリティ機能をネイティブにサポートしていないサービスも実施できます。

従業員が退職したときには、外部サービスへのアクセス権をすぐに特定して取り消せます。 企業向けパスワードマネージャーで時間に基づく1度限りのパスワードを使用した多要素認証を設定する機能もあり、退職後に元従業員が政府のアカウントにアクセスし続けることを防ぎます。 疑わしいアクセスパターンや認証情報の不正な共有も迅速に検出して対処します。 おそらく最も重要なのは、ソリューションによりすべての外部サービスアクセスの包括的な監査証跡が得られるので、政府機関はコンプライアンスを維持し、潜在的なセキュリティインシデントが深刻化する前に検出できることでしょう。

最新の政府機関インフラのセキュリティを確保

政府機関の最新のIT環境は、DevOpsツールやパイプライン、クラウドサービスプロバイダーのアカウント、データベースの認証情報、SSHキーの追加により、ますます複雑化しています。 これらの各コンポーネントは、従来の認証情報で保護しなければならない重要なアクセスポイントです。

最新のPAMソリューションは、レコードレベルの暗号化を実装することでこの課題に対処します。各データはAES-256 GCMを使用して個別に暗号化され、転送中のデータにはTLS 1.3の追加保護レイヤーが適用されます。

特権アクセスの現状を理解する

政府機関における特権アクセスの課題は、個々のユーザー認証をはるかに超えています。

Privileged access challenges for federal agencies	How a modern PAM solution addresses these challenges
Unmanaged privileged credentials create dangerous backdoors that are not protected by PIV/CAC authentication.	Remove/rotate shared credentials, enforce least privilege and ensure continuous monitoring to prevent unauthorized access and close backdoors that PIV/CAC alone can’t secure.
Emergency break-glass accounts must be maintained for critical system access during infrastructure failures.	Implement time-limited access controls that automatically revoke elevated privileges after a specified period, while maintaining detailed audit logs of who accessed these powerful accounts and what actions they performed.
System-to-system authentication, which enables automated processes and integrations, requires secure credential management that smart cards cannot provide.	Automatically generate and rotate complex passwords on a regular schedule, eliminating the security risks of hardcoded credentials in configuration files or scripts.

またPAMでは、承認されたユーザーに特権認証情報が一時的に発行され、使用後に自動的に変更されるチェックアウト手順を実装し、共有管理アカウントの混乱に秩序をもたらします。

この方法で、複数の管理者が同じアカウントにアクセスする必要がある場合でも、特定の個人をベースに各セッションを追跡できるようになります。

加えて、PAMソリューションは特権セッションを記録できます。これを利用して、セキュリティチームは監査やセキュリティ調査が必要な場合に管理アクションを確認できます。

サードパーティベンダーのアクセスに関しては、PAMソリューションは、時間、場所、特定のシステムリソースによってアクセスを制限するきめ細かな制御を備えています。 ベンダーには、自動的に期限が切れるジャストインタイムの特権アクセスを付与でき、アカウントがアクティブになっていることを忘れてしまうリスクが排除されます。

このシステムはネットワークのマイクロセグメンテーションを実施し、ベンダーが広範囲にネットワークにアクセスするのではなく、特別に許可されたシステムのみにアクセスできるようにします。

一時的な管理権限昇格の場合、最新のPAMソリューションはワークフローシステムと統合して承認プロセスを自動化します。 ユーザーの権限レベルに昇格が必要な場合は、政府機関のセキュリティポリシーに基づいて適切な承認者にルーティングされるリクエストを送信します。 リクエストが承認されると、指定された期間自動的に昇格が許可され、その後取り消されます。同時に、リクエスト、承認、使用状況に関する完全な監査証跡も保たれます。

インフラとコンプライアンスに関する考慮事項

最新のPAMソリューションは、連邦政府機関の厳しいコンプライアンス要件を満たすように設計されています。 主要なソリューションは、ISO 27001、GDPR、CCPA、HIPAAなどの重要な基準への準拠を維持しながら、FedRAMPおよびStateRAMPの認可も取得しています。 地理的に複数のデータセンターがあり、機関は好みのデータホスティング地域を選択できるのでデータ主権に関する懸念にも対処できます。

NIST 800-53のセキュリティ制御への準拠を維持する機関には、PAMソリューションに、多数の制御ファミリーに直接対応する重要な機能が用意されています。 アクセス制御 (AC) ファミリーでは、PAMは、1人の管理者が重要なシステムに限度なくアクセスできないようにすることで、職務の分離 (AC-5) を実装します。 最小権限 (AC-6) には、きめ細かなアクセス制御と一時的な権限昇格ワークフローを通じて対応します。 システムがリモートアクセス制限 (AC-17) を実施し、すべての特権コマンド (AC-17(1)) を監視します。

本人確認と認証 (IA) ファミリーの中では、PAMソリューションは識別子管理 (IA-4) の要件を満たすため、特権アカウントのライフサイクルを自動化します。 認証管理 (IA-5) には、自動パスワードローテーションと暗号鍵管理を通じてサポートします。 組織が定義したパスワードの複雑さの要件と変更頻度を強制するシステムの機能は、IA-5(1) 仕様に直接対応しています。

監査および説明責任 (AU) ファミリーでは、最新のPAMソリューションにより、すべての特権アクセスの試行とアクションの包括的な監査レコード (AU-2) が維持されます。 タイムスタンプ、ユーザーID、アクセスされたシステムコンポーネントなどの監査記録 (AU-3) のコンテンツが提供されます。 システムは監査レコードの保持 (AU-11) をサポートし、セキュリティチームが疑わしい行動パターンを特定するのに役立つ監査レビュー、分析、レポート機能 (AU-6) を提供します。

運用権限 (ATO) の維持という点では、PAMソリューションは、特権アクセスパターンと潜在的なセキュリティ違反をリアルタイムで可視化することで、継続監視の要件に役立っています。 詳細な監査証跡とコンプライアンスレポートにより、定期的な評価の際に、機関がセキュリティ制御への継続的な適合を示すことができます。 PAMソリューションは、手動での介入が必要となる多くのセキュリティ制御を自動化することで、継続的なATOの維持にかかる負担を軽減し、機関のセキュリティ態勢を強化します。

継続的なATOをサポートする主な機能:

• ポリシー違反や疑わしいアクセスパターンに関するリアルタイムアラート
• パスワードポリシーとアクセス制限の自動適用
• 特権セッション活動の継続的な監視
• セキュリティ制御への準拠を示す定期的な評価レポート
• セキュリティ情報とイベント管理 (SIEM) システムとの統合によるセキュリティの集中監視
• システムセキュリティ計画における制御実装を自動で文書化

さらに、最新のPAMソリューションは、構成管理 (CM) ファミリーとシステムと通信の保護 (SC) ファミリーに不可欠な制御を提供します。 特権アカウントのベースライン構成 (CM-2) を維持し、暗号化されたチャネルを通じて安全なシステム間通信 (SC-8) を実施します。

これらのソリューションによって実装されているゼロトラストアーキテクチャの原則は、最新の連邦サイバーセキュリティ指令およびゼロトラストアーキテクチャに関するNISTガイダンスと一致しています。

連邦政府機関におけるDevOps革命

連邦政府が最新の開発慣行に移行する中で、スマートカード認証では対応できない新たなセキュリティ要件が導入されています。 CI/CDパイプラインの安全なシークレット管理が不可欠となり、ダイナミックな認証情報のインジェクションとAPIベースのアクセス制御が必要になりました。 これらのソリューションの伝送セキュリティにより、クライアントアプリケーションとクラウドストレージ間のすべてのデータ転送が256ビットおよび128ビットのTLSを使用して暗号化され、証明書は安全性の高いSHA2アルゴリズムを使用して署名されます。

クラウドアイデンティティの課題

連邦政府機関がマルチクラウドやハイブリッドクラウドのアーキテクチャを採用するようになり、これまで前例にないID管理の課題に直面しています。 各クラウドサービスプロバイダー (CSP) は、独自の権限モデル、認証方法、アクセス制御を備えた独自のIDシステムを支持しています。 AWSはID管理とアクセス管理 (IAM) のロールとポリシーを使用し、Azureはロールベースのアクセス制御 (RBAC) を実装し、Google Cloud Platformには独自のIAMフレームワークがあります。 このように異なるアイデンティティシステムを管理することになるため、特に一時的な認証情報、サービスアカウント、クロスクラウドアクセス要件を扱う場合に、非常に複雑になります。

以下に挙げる事柄を考慮すると、この課題はさらに深刻になります。

• 自動的に作成・削除される動的なクラウドリソース
• ジャストインタイムアクセスを必要とする一時的なコンピューティングインスタンス
• 複数のクラウドサービスで認証が必要なマイクロサービス
• 複数のクラウド環境にまたがるCI/CDパイプライン
• クラウドリソースへの安全なアクセスを必要とするサーバーレス関数
• 機密認証情報を管理する必要があるコンテナオーケストレーションシステム

クラウドネイティブPAMの重要なロール

クラウドネイティブのPAMソリューションは、ダイナミックなクラウド環境に特化して設計されているため、このような課題の対処に不可欠です。 従来の静的なオンプレミスのインフラ向けに設計されたPAMソリューションとは異なり、クラウドネイティブPAMソリューションは、クラウドリソースの一時的な性質と動的なアクセス管理の必要性を理解しています。

クラウドネイティブPAMソリューションが提供する重要な機能:

• クラウドサービスプロバイダーのID管理とアクセス管理システムとのネイティブ統合
• 新しいクラウドリソースの自動検出とオンボーディング
• コンテナ化されたアプリケーションのための動的な認証情報のインジェクション
• クラウドリソースのためのジャストインタイム特権昇格
• クラウドサービスアカウントの認証情報の自動ローテーション
• マルチクラウド環境全体にわたる統合アクセスポリシー

安全なCI/CD運用のために、クラウドネイティブPAMソリューションは、動的な認証情報のインジェクションとAPIベースのアクセス制御を通じて安全なシークレット管理を提供します。 これらのソリューションの伝送セキュリティにより、クライアントアプリケーションとクラウドストレージ間のすべてのデータ転送が256ビットおよび128ビットのTLSを使用して暗号化され、証明書は安全性の高いSHA2アルゴリズムを使用して署名されます。

DevSecOpsの統合

最新のクラウドネイティブPAMソリューションは、APIファーストアーキテクチャを通じてDevSecOpsワークフローにシームレスに統合され、包括的な自動化とInfrastructure-as-Code (インフラをコードとして管理) の実装を可能にします。 このアーキテクチャアプローチにより、セキュリティチームは現代の急速な開発をサポートしながら、一貫した制御を維持することができます。 これらのソリューションは、一般的なCI/CDプラットフォームやコンテナオーケストレーターとネイティブに統合されているため、セキュリティ制御が後付けではなく、開発パイプラインに直接組み込まれます。

これらのソリューションが提供する最も重要な機能の1つは、アプリケーションのダウンタイムを引き起こすことなく実行できる自動化されたシークレットのローテーションです。 これにより、継続的な運用を維持しながら、セキュリティポリシーに従って認証情報が定期的に更新されます。 このシステムは、すべてのクラウド環境にわたって一元化された監査ログを維持しています。そのためセキュリティチームは、開発ライフサイクルを通じて認証情報とシークレットにどのようなアクセスがあり、どのように使用されているかを包括的に把握できるようになります。

セキュリティチームは、Policy-as-Code (ポリシーをコードとして管理) 機能によりインフラ全体で一貫したセキュリティポリシーを定義し、施行することができます。 これらのポリシーは、アプリケーションコードと同じプロセスを使用してバージョン管理、テスト、展開できるため、セキュリティ要件は別個の問題ではなくインフラの基本的な部分として扱われます。 クラウドネイティブのセキュリティツールと監視システムの統合により、潜在的な脅威をリアルタイムで特定し対応できる統合されたセキュリティエコシステムが構築されます。

クラウド固有のセキュリティ要件への対応

以下のクラウドネイティブPAMソリューションの機能により、政府機関は独自のクラウドセキュリティ要件を満たすことができます。

• クラウドリソースに対するきめ細かなアクセス制御の実装
• クラウドサービスのための一時的なジャストインタイム認証情報の提供
• サービス原則と管理対象IDの認証情報の管理
• クラウド間認証とハイブリッドクラウド認証のセキュリティ確保
• クラウドサービスアカウントのライフサイクルの自動化
• クラウド環境全体で包括的な監査証跡を維持

最も重要なのは、これらのソリューションにより政府機関は、オンプレミスシステムから複数のクラウドプロバイダーに至るまで、インフラ全体で一貫したセキュリティ態勢を維持することが可能になる点です。 クラウド環境内での特権昇格とラテラルムーブメントを防止するために必要な集中管理と可視性が提供され、それと同時に最新のDevOps慣行に必要な俊敏性と自動化をサポートします。

災害復旧と事業継続性

連邦政府のセキュリティ計画で、堅牢なバックアップと復旧機能の必要性は、重要なれど見過ごされがちです。 最新のPAMソリューションは、すべてのレコードの完全な改訂履歴を維持し、制限なく以前のデータバージョンを回復して戻すことを可能にします。 この機能は、運用の継続性を維持し、潜在的なセキュリティインシデントから回復するために不可欠です。

重要な情報を安全に保管するためのドキュメント

最新のPAMソリューションは、認証情報管理の枠を越えて、災害復旧や事業継続計画において重要な役割を果たす安全なドキュメントストレージ機能を提供します。 政府機関のチームは、次のような重要文書を安全に保存・管理できます。

• 緊急対応手順とプレイブック
• システム構成ドキュメント
• ネットワーク図とインフラマップ
• 災害復旧計画および手順
• ビジネス継続性文書
• 緊急連絡先リストとエスカレーション手順
• バックアップと復元の手順
• ベンダーサポート契約と連絡先情報

これらのドキュメントは、認証情報を保存する時と同じ軍事レベルの暗号化で保護されます。データはレコードレベルでAES-256 GCMを使用して暗号化されるため、 機密の復旧文書は安全に保たれ、緊急時にも権限のある担当者がアクセスできます。

緊急対応のための安全なドキュメント共有

危機的な状況では、チームは重要な文書に即時かつ安全にアクセスする必要があります。 最新のPAMソリューションは、緊急時の対応を妨げることなくセキュリティを維持する高度なドキュメント共有機能を通じてこの課題に対処します。

システムはロールベースのアクセス制御を実装し、緊急対応チームに重要な文書への時間制限付きアクセスを提供することで、重大なインシデントが発生しても機密情報を保護します。 すべての文書へのアクセスは詳細に記録され、政府機関がコンプライアンスを維持し、対応の有効性を評価するのに役立つ監査証跡が作成されます。

安全な共有インフラは、社内のチームにとどまらず、必要に応じて外部のインシデント対応パートナーとのコラボレーションをサポートします。 チームはオフラインでも最新バージョンの対応手順に安全にアクセスできるため、ネットワーク障害やシステム障害が発生した場合でも業務を継続できます。

このセキュリティとアクセシビリティの組み合わせにより、対応チームは連邦環境で必要とされる厳格なアクセス制御と監査機能を維持しながら、必要な情報を必要なときに確実に入手できます。

ボルトの複製と高可用性

最新のPAMソリューションは、複数の地域にまたがる高度なボルトレプリケーションを通じて事業継続を保証します。 この分散アーキテクチャは、厳格なセキュリティ制御を維持しながら、認証情報とドキュメントストレージの回復力のある基盤を構築し、ボルトのコンテンツを自動的に同期します。 マルチリージョンのアプローチでは、地域的な停電や災害時でも重要なリソースに途切れることなくアクセスでき、自動フェイルオーバー機能により運用が中断されることはありません。 政府機関は、安全な施設が複数あるという冗長性と、ローカルアクセスポイントのパフォーマンス上の利点の両方のメリットがあり、同時にデータレジデンシー要件への準拠を維持できます。

システムの高可用性設計は、単なる複製にとどまらず、認証情報と文書管理のライフサイクル全体を網羅しています。 各ボルトは独自の暗号化キーとセキュリティ制御を維持しながら、データの一貫性とセキュリティの両方を保証する大規模な分散システムに加わっています。 このアプローチにより、機関は機密情報を厳格に管理しつつ、ローカルシステムの状態や地域の可用性の問題に関係なく、権限を持つユーザーがアクセスできるようにします。

復旧シナリオとアクセス継続性

最新のPAMソリューションは、連邦政府機関が一般的に直面する包括的な回復シナリオをサポートします。 リーダーシップの移行時には、重要なアクセス情報の安全な引き継ぎと権限の委譲を可能にしつつ、引継ぎ計画を保護された状態に維持します。 システム復旧作業では、チームは安全に保存された復旧手順、バックアップ認証情報、システムの依存関係と構成に関する詳細な文書にアクセスできます。 このソリューションは、必要な認証情報や文書への安全なアクセスを提供するとともに、保護されたリモートアクセス手順と通信プロトコルを備えることで、リモートワーク業務へのスムーズな移行を促進します。

ベンダー管理には独自の復旧の課題がありますが、PAMソリューションはベンダー契約の安全な保管、ポータル認証情報への保護されたアクセス、エスカレーション手順の文書化を通じてこれらの課題に対処します。

この包括的なアプローチにより、政府機関は、日常的な人事異動から大規模なシステム停止まで、潜在的な混乱の全範囲にわたって業務の継続性を維持できます。 PAMソリューションは、重要な復旧情報への安全なロールベースのアクセスを提供することにより、機関がセキュリティとコンプライアンスの要件を維持しながら、あらゆる運用上の課題に迅速かつ効果的に対応できるようにします。

安全な認証情報管理、文書保管、共有機能を組み合わせることで、政府機関は危機的な状況下でも機密情報を保護しながら業務の継続性を維持できます。 災害復旧と事業継続に対するこの包括的なアプローチは、政府機関がセキュリティとコンプライアンスを維持しながら任務の要件を満たすのに役立ちます。

今後の展望を描く

連邦政府機関は、スマートカード認証も非常に重要ですが、包括的なアクセス管理戦略の1つの要素にすぎないことを認識しなければなりません。 最新の企業向けパスワード管理ソリューションおよび特権アクセス管理ソリューションは、スマートカード以外の認証情報の保護、安全な自動化の実現、開発業務のサポート、コンプライアンスの維持、侵害発生時のラテラルムーブメントの防止に必要な追加のセキュリティレイヤーになります。

連邦安全保障の将来は、スマートカードの物理的セキュリティと最新のPAMソリューションの高度な暗号保護を組み合わせた多層防御アプローチの実装にあります。 ゼロ知識アーキテクチャ、軍事レベルの暗号化、包括的なアクセス制御を活用することで、機関は今日の複雑なIT環境におけるあらゆる認証の課題に対応する強力なセキュリティ態勢を構築できます。

連邦政府のサイバーセキュリティで成功するには、認証とアクセス管理のあらゆる側面に対応する総合的なアプローチが必要です。 スマートカード認証の強みと最新のPAMソリューションを組み合わせることによってのみ、機関は運用効率を維持し、連邦基準に準拠しながら、進化するサイバー攻撃の脅威から保護するために必要なレベルのセキュリティを実現できます。

KeeperPAM®は、企業向けパスワード管理、シークレット管理、接続管理、ゼロトラストネットワークアクセス、リモートブラウザ分離を1つの使いやすいインターフェースにまとめています。今すぐデモを予約して、機関の安全を確保するためにKeeperPAMがどのように役立つかをご覧ください。