PAM (特権アクセス管理) 
クラウドおよびアイデンティティプラットフォームにおけ
ゼロスタンディング特権 (ZSP) と最小権限の主な違いは、最小権限がアイデンティティのアクセス範囲を制限するのに対し、ZSPはアクセス範囲とその期間の両方を制限する点です。 最小権限では、すべてのユーザーやマシンに対して業務遂行に必要な最小限の権限のみが付与されますが、タスク完了後もそれらの権限が残り、恒久的な常時アクセスが放置される傾向があります。 ZSPは、最小権限の考え方に時間の概念を加えて進化させたものです。常時アクセスを最小限に抑えるのではなく完全に排除し、リクエストされたときにのみ一時アクセスを付与し、不要になるとすぐに取り消します。
以下では、各モデルの詳細、主な違い、組織が両方を導入すべき理由を詳しくご紹介します。
ゼロスタンディング特権とは？
ゼロスタンディング特権 (ZSP) は、組織内のあらゆるアイデンティティ (人間とマシンの両方) に対する恒常的な特権アクセスを排除します。 ZSPでは、デフォルトで特権アクセスを保持するアイデンティティはありません。代わりに、ユーザーはタスクごとに一時アクセスをリクエストし、タスクが完了するとその権限が自動的に取り消されます。 ZSPの目的は、攻撃者に悪用される可能性のある常時アクセスをアカウントに付与しないことです。
ZSPは、アクセスを事前にプロビジョニングするのではなく、実行時に各アクセスリクエストを評価することで機能します。 ユーザーがアクセスをリクエストすると、ポリシーによってリクエストがリアルタイムで評価され、要求したユーザー、要求されているアクセス内容、適用される条件に基づいて、そのアクセスが適切かどうかが判断されます。 承認されると、タスク固有の最小限の権限のみが付与され、タスクが完了すると直ちにそのアクセス権が失効します。 これにより、実際に使用されている短い期間のみ、権限が存在することが保証されます。
ZSPの導入が重要となるのは、常時アクセスは、あらゆる環境において最も持続的な攻撃対象領域の1つであるためです。 恒常的なアクセス権限は時間の経過とともに蓄積される傾向があり、これは特権クリープとして知られています。 攻撃者が恒常的なアクセス権限を持つアカウントを侵害した場合、ネットワーク内を水平移動し、アクセス権を昇格させて広範囲に被害をもたらす可能性があります。 ZSPは、必要な時に必要な期間だけ特権を付与することで、リスク発生の期間を大幅に狭め、万が一認証情報が1つ侵害されたとしても、被害に遭う範囲を抑えることができます。
最小権限の原則 (PoLP) とは？
最小権限の原則 (PoLP) とは、すべてのアイデンティティに対して、業務遂行のために必要な最小限のアクセス権のみを付与し、それ以上の権限は与えないという考え方です。最小権限の実装は、人間のユーザーだけでなく、アプリケーション、デバイス、システムにも適用されます。 各アイデンティティのアクセスを実際に必要なデータやシステムのみに制限することで、最小権限はユーザーがアクセスできる範囲を制限し、不正な変更を防ぎます。 最小権限は、攻撃対象領域を最小限に抑え、内部脅威を低減し、万が一アカウントが侵害された場合でも水平移動を制限するための基本的な管理策です。
しかし最小権限の限界は、それが対象とするのはアイデンティティが持つアクセスの範囲のみであり、そのアクセスが維持される期間までは必ずしも対象としていない点にあります。 権限は通常、ロールに基づいて割り当てられた後、そのまま維持されるため、タスクが完了してもアクセス権が取り消されずに残ってしまう可能性があります。 その結果として常時アクセス、つまり不要になった後も無期限に存続する特権が発生します。 そのため、明確に範囲を限定された最小権限であっても、攻撃対象領域が恒常的に残ってしまう可能性があります。だからこそ、その隙を埋めるためにZSPが重要となるのです。
ゼロスタンディング特権と最小権限の主な違い
ZSPと最小権限の主な違いの1つは、「範囲」と「時間」という点にあります。 簡潔に言えば、最小権限はアクセスできる範囲を制限するのに対し、ZSPはアクセスできる範囲およびアクセスを保持できる期間を制限します。 つまりZSPは、最小権限の自然な進化形であり、リスクを低減するという同じ目的を時間軸へと拡張するものです。 ZSPと最小権限の具体的な相違点は以下のとおりです。
| Zero standing privilege | Least privilege | |
|---|---|---|
| Main focus | Access scope and time | Access scope |
| Default state | Zero access by default | Baseline access is assigned and persists |
| Access duration | Temporary, auto-revoked access | Ongoing, permanent access |
| Time dimension | Central to the model | Not addressed |
| How access is granted | Provisioned on request, evaluated at execution time | Provisioned ahead of need through roles |
ゼロスタンディング特権と最小権限が連携する仕組み
最小権限はZSPの基盤となるもので、この2つは連携して機能するように設計されています。 組織が常時アクセスを実質的に排除するには、まず最初に、各アイデンティティにとって必要最小限のアクセスがどのようなものかを把握する必要があります。 最小権限は、ユーザーが持つべきアクセス権の範囲を組織に示し、ZSPは、ユーザーがそのアクセス権を一時的な期間のみ保持できるようにします。 これは、ZSPを、最小権限、ジャストインタイム (JIT) アクセス、自動取り消しの組み合わせだと考えると分かりやすいでしょう。 最小権限によって最小範囲が定義され、JITアクセスによってそのアクセスがリアルタイムで付与され、自動取り消しによって常時特権として残らなくするという仕組みです。 ゼロスタンディング特権は、この3つを組み合わせることで実現できます。つまり、必要な範囲のアクセスを必要なときにのみ付与し、不要になった時点ですぐに取り消すというものです。
ゼロスタンディング特権の導入方法
多くの組織は、段階的なプロセスを経てZSPを導入します。 ZSPは最小権限が基盤になっているため、多くのチームはまずアクセス範囲を絞り込み、その後で、残った常時アクセスを削除することによってZSPを実現しています。 ZSPへのアプローチ方法は次のとおりです。
- 常時アクセスを把握し、アクセス権が残存する場所を特定する。まずは、すべての人間およびマシンのアイデンティティをマッピングし、それぞれが保持するアクセス権を把握することから始めます。完了したプロジェクトに関連付けられたアカウントや、広範なアクセス権を持つサービスアカウントなど、サポート対象の機能の期間を超えて残存している権限を特に重点的に確認します。このような監査を行うことで、特権クリープの発生場所が明らかになり、優先的に排除すべき常時アクセスのリストを作成できます。
- 最小権限をデフォルトとして徹底する。常時アクセスを削除する前に、組織は各アイデンティティが実際に必要とする最小限のアクセス権を明確に定義しておく必要があります。ロールベースのアクセス制御 (RBAC) を使用して職務内容に応じた権限を割り当て、ロールが実際に必要とする範囲を超える権限はすべて削除します。最小権限をベースラインとすることで、アクセス権が付与された際、すでに対象範囲が可能な限り厳格に絞り込まれている状態を確保できます。
- 自動失効するJITアクセスを追加する。この手順により、最小権限がZSPに変換されます。対象範囲が限定された権限を恒常的に割り当てるのではなく、ユーザーまたはワークロードが特定のタスクのために要求したときにのみプロビジョニングを行い、タスクが完了するか割り当てられた時間が経過した時点で自動的に失効するように設定します。時間制限付きアクセスにより、特権はアクティブな使用時のみに存在するよう徹底されます。
- 承認ワークフローと詳細な監査証跡を追加する。特権が付与される前に、誰がどのようなアクセスを何の目的で要求しているかを検証するポリシーチェックや承認ステップを、すべてのアクセスリクエストに課す必要があります。これを包括的なログおよびセッション録画と組み合わせることで、特定のシステムに誰がいつアクセスし、どのような操作を実行したかを完全に把握できます。こうした監査証跡により、不審なアクティビティの検知が容易になり、規制フレームワークへのコンプライアンスを実証できます。
- 短時間のみ有効な認証情報でZSPをNHIに拡張する。サービスアカウント、アプリケーション、AIエージェントは、環境内で最も強力な常時アクセスを保持していることが少なくありません。組織は、人間のユーザーに適用するのと同じ原則をこれらにも適用する必要があります。つまり、長期間有効かつ静的な認証情報を、自動的にローテーションされる短時間のみ有効な認証情報に置き換え、タスク完了に必要な期間だけマシンアイデンティティにアクセス権を付与するのです。クラウドネイティブ環境では、非人間アイデンティティ (NHI) の数が人間アイデンティティの数の約144倍存在するため、これらをZSPモデルに組み込むことは、すべてのアイデンティティを保護する上で極めて重要です。
Keeperでゼロスタンディング特権を適用
ZSPと最小権限は、同じ戦略に基づいて組み合わせることで最も効果を発揮します。 ZSPを徹底するということは、ベースラインとして最小権限を適用し、自動失効を伴うJITアクセスを追加し、それらの制御をすべてのアイデンティティに拡大することを意味します。 KeeperPAM®のようなクラウドネイティブのゼロ知識型アイデンティティセキュリティソリューションは、統合プラットフォームにおけるRBAC、JITアクセス、高度な監査を通じて、組織による最小権限の徹底と、ZSPの実現に向けた取り組みを支援します。 KeeperPAMを使用すると、アクセスが必要な時にのみ付与されて自動的に取り消されるため、攻撃対象領域がアクティブに使用されているわずかな期間に限定され、常時特権がリスクとなるのを防ぐことができます。
KeeperPAMのデモをお申し込みください。組織全体で最小権限を徹底し、ZSPを実現する方法をご確認いただけます。
