アクセス管理ソリューションは、企業がアプリケーションや IT システムへのアクセスを認証、承認、および監査するために使用されます。 ID およびアクセス管理 (IAM) ソリューションのコンポーネントとして頻繁に提供され、オンプレミスおよびクラウドベースのアプリケーション、サービス、および IT インフラストラクチャへのアクセスを厳密に管理することで、セキュリティを強化し、リスクを軽減します。 また、適切なユーザーが適切な時期に適切な理由で適切なリソースにアクセスできるようにするのにも役立ちます。 このブログ投稿では、特権アクセス管理の価格など、アクセス管理について詳しく説明します。
アクセス管理とは
アクセス管理は、システム、アプリケーション、または任意の IT インスタンスへの許可または指定されたユーザーのアクセスを識別、追跡、規制、および管理するプロセスです。
これは、IT 環境でアクセス権を安全に保つために使用されるすべてのルール、方法、方法論、およびテクノロジを含む包括的な概念です。
アクセス管理は基本的に、無効なユーザーを禁止しながら、有効なユーザーのアクセスを許可する、情報セキュリティ、IT、およびデータ ガバナンスの手順です。 AM は通常、ID アクセス管理 (IAM) と組み合わせて使用されます。 AM は、これらの役割とポリシーが遵守されることを保証しますが、ID 管理は、さまざまなユーザー、役割、グループ、およびポリシーを開発、プロビジョニング、および規制します。 AM ベースのアプリケーション/システムは、さまざまなユーザー ロールとプロファイルを保存し、データ/プロファイル/ロールに基づいてユーザー アクセス要求を処理します。
アイデンティティおよびアクセス管理
ID およびアクセス管理 (IAM) は、ユーザーの ID とネットワーク アクセス権の管理に重点を置いたサイバー セキュリティ分野です。 IAM のポリシー、プロセス、テクノロジーは企業によって異なりますが、IAM イニシアチブの目標は、適切なユーザーとデバイスが適切なタイミングで適切なリソースに適切な理由でアクセスできるようにすることです。
IAM は、複雑なマルチクラウド セットアップでのアクセス制御を簡素化するのに役立ちます。 企業ネットワークは現在、オンプレミス、リモート、およびクラウドベース (SaaS) のソフトウェアとデータ ソースにリンクされています。 人間のユーザー (従業員、クライアント、請負業者) と人間以外のユーザー (ボット、IoT デバイス、自動化されたワークロード、API) は、さまざまな理由でこれらのリソースにアクセスする必要があります。
IAM システムを使用すると、企業は各ユーザーに XNUMX つのデジタル ID を発行し、各ユーザーのアクセス権限を決定できます。 その結果、許可されたユーザーのみが会社のリソースにアクセスでき、組織が許可する方法でのみそれらのリソースを使用できます。
IAM の運用方法
本質的に、IAM は、許可されたユーザーが許可を超えずに必要なすべてのことを実行できるようにしながら、ハッカーを締め出すよう努めています。
ID およびアクセス管理システムの開発に使用されるポリシー、プロセス、およびツールと同様に、各企業のネットワークは独自のものです。 そうは言っても、すべてではないにしても大多数の IAM 実装は、次の XNUMX つの主要な機能をカバーしています。
＃1。 ID ライフサイクル管理
ネットワーク上のすべての人間または人間以外のエンティティのデジタル ID を開発および維持するプロセスは、ID ライフサイクル管理として知られています。
デジタル ID は、各エンティティが誰または何であるか、およびネットワーク上での実行が許可されていることをネットワークに通知します。 多くの場合、ID には基本的なユーザー アカウント情報 (名前、ID 番号、ログイン資格情報など) のほか、組織の機能、職務、アクセス権に関する情報が含まれます。
新しいエンティティのオンボーディング、経時的なアカウントとアクセス許可のアップグレード、およびアクセスが不要になったユーザーのオフボーディングまたはプロビジョニング解除のプロセスはすべて、ID ライフサイクル管理の一部です。
＃2。 アクセス制御
前述のように、各デジタル ID には、企業のアクセス制限に基づいて、ネットワーク リソースへのさまざまなレベルのアクセスがあります。 消費者は、クラウド プラットフォーム上の個人アカウントとデータにのみアクセスできます。 従業員は、HR ポータルなどの内部ツールだけでなく、クライアント データベースにもアクセスできます。 システム管理者は、顧客と従業員のアカウント、内部サービスと外部サービス、スイッチやルーターなどのネットワーク機器など、ネットワーク上のすべてのものにアクセスして変更することができます。
アクセス規制を作成して実施するために、多くの IAM システムはロールベースのアクセス制御 (RBAC) を採用しています。 RBAC での各ユーザーの権限は、職務または役職によって決まります。 企業がネットワーク ファイアウォールのアクセス許可を構成しているとします。 営業担当者は、職業上必要ないため、アクセスできる可能性はほとんどありません。 ジュニア レベルのセキュリティ アナリストは、ファイアウォールの構成を表示することはできますが、変更することはできません。 CISO はすべての管理権限を持っています。 会社の SIEM をファイアウォールに接続する API は、ファイアウォールのアクティビティ ログを読み取ることはできますが、それ以外は見ることができません。
＃3。 認証と認可
IAM システムは、ID を生成してアクセス許可を発行するだけではありません。 また、認証と承認を通じてこれらのアクセス許可を適用するのにも役立ちます。
認証とは、ユーザーが本人であることを証明するプロセスです。 ユーザーがリソースへのアクセスを求めると、IAM システムはその認証情報をディレクトリに保存されている認証情報と比較します。 それらが一致する場合、アクセスが許可されます。
ユーザー名とパスワードの組み合わせは基本レベルの認証を提供しますが、今日のほとんどの ID およびアクセス管理フレームワークは、追加の認証レイヤーを採用して、サイバー脅威に対する追加のセキュリティを提供します。
多要素認証。
多要素認証 (MFA) を使用する場合、ユーザーは ID を証明するために XNUMX つ以上の認証要素を送信する必要があります。 ユーザーの電話に付与されたセキュリティ コード、物理的なセキュリティ キー、または指紋スキャンなどのバイオメトリクスはすべて共通の要素です。
SSO（シングルサインオン）
SSO を使用すると、ユーザーは単一のログイン資格情報セットで多数のアプリやサービスにアクセスできます。 SSO ポータルは、ユーザーの ID を確認し、他のリソースのセキュリティ キーとして機能する証明書またはトークンを生成します。 多くの SSO システムでは、Security Assertion Markup Language (SAML) などのオープン プロトコルを使用して、サービス プロバイダーが自由にキーを共有できるようにしています。
適応識別
リスクが変化すると、「リスクベース認証」とも呼ばれるアダプティブ認証が認証要件をリアルタイムで変更します。 通常のデバイスからチェックインする場合、ユーザーはユーザー名とパスワードを送信するだけで済みます。 同じユーザーが信頼されていないデバイスからログインしたり、機密情報を見ようとしたりすると、追加の認証要素が必要になる場合があります。
IAM システムは、ユーザーが認証された後、ユーザーのアクセス権限についてディレクトリをチェックします。 次に、IAM システムは、権限が許可するタスクにのみアクセスして完了することをユーザーに許可します。
＃4。 アイデンティティ管理
ユーザーがリソース アクセスで何を行うかを追跡するプロセスは、ID 管理と呼ばれます。 IAM システムは、ユーザーが特権を乱用していないことを確認し、ネットワークに侵入したハッカーを捕まえるためにユーザーを監視します。
ID 管理は、法規制の遵守にも不可欠です。 企業はアクティビティ データを利用して、アクセス制御が一般データ保護規則 (GDPR) やクレジット カード業界データ セキュリティ基準 (PCI-DSS) などのデータ セキュリティ基準に準拠していることを確認できます。
特権アクセス管理 (PAM)
Privileged Access Management (PAM) は、通常のユーザーよりも優れた独自のアクセスまたは機能で ID を保護する情報セキュリティ (infosec) メソッドです。 PAM セキュリティは、他のすべての情報セキュリティ ソリューションと同様に、人、プロセス、およびテクノロジの組み合わせに依存しています。
特権アカウントは技術環境に与えるリスクがあるため、特別な予防措置を講じています。 たとえば、管理者またはサービス アカウントの資格情報が侵害された場合、組織のシステムと機密データが危険にさらされる可能性があります。
攻撃者が特権アクセス アカウントを侵害すると、データ侵害が発生します。 これらのアカウントには、技術環境のすべてのドアのロックを解除するキーが含まれているため、セキュリティのレイヤーを追加する必要があります。 Privileged Access Management システムは、追加のセキュリティを提供します。
特権アクセスとは?
技術的な文脈では、特権アクセスとは、通常のユーザーよりも優れた機能を持つアカウントを指します。 たとえば、Linux 環境では、root ユーザーがユーザーを追加、編集、または削除できます。 ソフトウェアのインストールとアンインストール。 また、通常のユーザーがアクセスできないオペレーティング システムの制限されたセクションにアクセスすることもできます。 Windows 環境にも同様のセキュリティ モデルがありますが、root ユーザーは管理者と呼ばれます。
特権アクセス管理のプロセスとは?
前述のように、Privileged Access Management は、人、プロセス、およびテクノロジの組み合わせです。 したがって、どのアカウントが特権アクセスを持っているかを特定することが、PAM ソリューションをインストールする最初のステップです。 その後、会社はこれらのアカウントに適用するポリシーを決定する必要があります。
たとえば、ユーザーが保存された認証情報にアクセスするたびに、サービス アカウントがパスワードを更新する必要があると規定する場合があります。 もう XNUMX つの例は、すべてのシステム管理者に多要素認証 (MFA) を適用することです。 企業が適用することを選択する可能性のある別の規制は、すべての特権セッションの完全なログを保持することです。 各プロセスは、理想的には特定のリスクに合わせて調整する必要があります。 たとえば、サービス アカウントのパスワード変更を要求すると、内部関係者による攻撃の可能性が減少します。 同様に、すべての特権セッションのログを保持することで、セキュリティ管理者は異常を特定できます。MFA の適用は、パスワード関連の攻撃を防ぐための実証済みのソリューションです。
特権アカウントを見つけて PAM ポリシーを確定するという検出手順を完了した後、企業はテクノロジ プラットフォームをインストールして、特権アクセス管理を監視および実施できます。 この PAM ソリューションは、組織のルールを自動化し、セキュリティ管理者が特権アカウントを管理および監視するためのプラットフォームを提供します。
PAM の重要性は何ですか?
特権アカウントは企業に大きなリスクをもたらすため、特権アクセス管理はどの組織でも重要です。 たとえば、攻撃者が通常のユーザー アカウントを侵害した場合、攻撃者はその特定のユーザーの情報にしかアクセスできなくなります。 特権ユーザーの侵害に成功すると、アクセス権が大幅に増加し、アカウントによってはシステムに損害を与える可能性さえあります。
詐欺師は、その地位とプロフィールのために、特権アカウントを標的にして、80 人の個人ではなく企業全体を攻撃します。 Forrester は、特権アカウントがセキュリティ侵害の XNUMX% に関与していると予測しているため、これらの基本的な組織 ID を保護および監視することが重要です。 たとえば、PAM ソリューションは、多数のユーザーが特定のサービスの同じ管理パスワードにアクセスして知っているなどのセキュリティ上の欠陥に対処できます。 また、管理者が予期せぬ混乱を引き起こすことを恐れて、長期にわたる静的パスワードの変更を拒否する危険性も軽減します。
PAM は、安全なアクセスの重要なコンポーネントを管理し、管理者ユーザー アカウントの作成、昇格されたアクセス機能、およびクラウド アプリケーションの構成を簡素化します。 PAM は、IT セキュリティの観点から、ネットワーク、サーバー、ID 全体で組織の攻撃対象領域を減らします。 また、内部および外部のサイバーセキュリティの脅威によって引き起こされるデータ侵害の可能性を減らします。
特権アクセス管理の価格
特権アクセス管理 (PAM) システムのコストは、ライセンス料だけではありません。 初期費用だけに注目したくなるかもしれませんが、特権アクセス管理の価格を評価するには、他の要因を考慮して、ソリューションが真の投資収益率 (ROI) を提供するのか、それともソリューションが解決する以上の問題を引き起こすのかを判断する必要があります。
そのため、企業は、特権アクセス管理コストを考慮することに加えて、PAM システムを選択する際にどのような ROI が得られるかを判断する必要があります。 ROI 計算機は、DevOps/エンジニアリング チーム、セキュリティ チーム、および企業にとって実現可能な収益の種類を決定する際に役立ちます。
PAM ソリューションのコストは?
Privileged Access Management (PAM) ソリューションは、ユーザーあたり月額 70 ドルです。 これには、すべてのデータベース、サーバー、クラスター、Web アプリ、およびクラウドの監査と統合が含まれます。 また、計測、データ制限、または専門サービスの費用もありません。
アクセス管理の役割とは?
アクセス管理は、資格のあるツールへの正確なレベルと種類のアクセス権をユーザーが受け取ることを保証します。
アクセス管理に必要なスキルは?
- アプリケーションのセキュリティに関する十分な理解と知識。
- 役割ベースのアクセス制御システムに関するある程度の理解および/または専門知識。
- 優れた口頭および書面によるコミュニケーション能力、対人能力、組織力、時間管理能力。
- 複雑な技術的問題、問題、および代替ソリューションを他の人に伝えて説明する優れた能力。
- 高等教育機関または政府機関での ERP システムに関する十分な知識または使用経験
- 複雑な技術的問題やタスクに関する分析およびトラブルシューティングのスキルが必要です。
- ERP システムを扱うソフトウェア開発環境での ID 管理者としての知識または経験が望ましい。
- 州および連邦の ID 管理規制に関する豊富な知識または経験。
- 役割ベースのアクセス制御手段をいつ利用してアクセスを提供できるかを知る。
- ベンダーのテクニカル サポート センターにケースを提出する時期、および/または既存の問題をエスカレートする時期を特定する能力。
- エスカレートするか、特定のレベルのリスク軽減を適用するかを決定する能力。
関連記事
- 共感：共感の兆候の欠如とそれを開発する方法
- ID管理システム
- IDENTITY & ACCESS MANAGEMENT TOOLS: 定義、最高かつ無料の ID & アクセス ツール
- 特権アクセス管理: 仕組み
参考文献
