アクセスコントロールとはどのような考え方か
適用場面を見る前に、何を扱う仕組みなのかを押さえておきましょう。三つの要素に分けて捉えると、設計の際の論点も見えてきます。
アクセスコントロールの基本的な考え方
アクセスコントロールとは、情報やシステムに対して、許可された相手だけが必要な範囲で接続できるようにする仕組みです。アクセス制御とも呼ばれます。守りたい対象に対して、誰が何をできるかを定めることが基本になります。
対象は、業務システムやファイルサーバ、クラウドサービス、ネットワークの区画など幅広く及びます。全員が同じ範囲に届く状態では、必要のない情報にも手が届くことになります。役割に応じて範囲を分けることが、被害の広がりを抑える手立てになります。
識別と認証、認可という三つの要素
仕組みは三つの工程に分けて捉えられます。誰であるかを名乗る識別、その名乗りが正しいことを確かめる認証、確認できた相手に何を許可するかを決める認可という流れです。
この区別は設計の際に役立ちます。認証を強くしても、認可の範囲が広ければ、なりすまされた際の影響は大きくなります。逆に範囲を細かく分けても、認証が弱ければ入り口で突破されます。どちらか一方ではなく、両方を組み合わせて考える必要があります。
制御の対象から見た適用場面
事例で語られる制御の条件は、大きく三つに分かれます。組み合わせて使われることが一般的です。
利用者にもとづく制御
役職や所属、担当する業務に応じて、接続できる範囲を分ける方式です。部署ごとにフォルダの権限を設定する、システムごとに利用できる機能を分けるといった形が該当します。
一人ひとりに個別の設定を行うと管理が煩雑になるため、役割ごとにまとめて権限を定義し、その役割を人に割り当てる方式が採られます。異動の際に役割を付け替えるだけで済むため、更新の手間を抑えられます。退職や異動の際の解除を確実に行う手順とあわせて整えましょう。
端末にもとづく制御
接続してくる端末が、社内で管理しているものかどうかを条件に含める方式です。証明書を導入した端末だけを許可する、更新プログラムが適用されていない端末は接続を制限するといった構成が該当します。
認証情報が第三者に渡った場合でも、端末の条件を満たさなければ接続できない状態を作れます。一方で、端末の管理を担う仕組みが前提になります。故障や機種変更の際の再設定の手順も、あわせて決めておく必要があります。
接続元や時間にもとづく制御
接続してくる場所や時間帯を条件に含める方式です。社内のネットワークからの接続と社外からの接続で、許可する範囲を変える構成が該当します。
業務時間外の接続を制限する設定や、想定しない地域からの接続を検知して確認を求める設定もあります。ただし、働き方によっては時間帯の制限が業務の妨げになる場合もあります。例外を申請する手順を用意し、実態に合わせて調整できる形にしておきましょう。
事例に見る適用の広がり
制御の対象が広がった背景には、働き方や取引の形の変化があります。二つの場面を確認します。
社外からの利用に対する制御
在宅勤務や外出先からの接続が日常的になり、社内にいることを前提とした設計では対応しきれない場面が増えました。社内のネットワークにいれば安全とみなす考え方を見直し、接続のたびに条件を確認する構成が採られています。
この場合、業務システムごとに可否を判断する設計になります。一度の認証で広い範囲に届く構成と比べ、なりすまされた際の影響を抑えやすくなります。一方で、認証基盤や端末管理を含めた設計が必要になるため、段階的に進める前提で検討しましょう。
私物端末や委託先に対する制御
従業員の私物端末を業務に使う場合や、外部の事業者に業務を委託する場合の適用です。自社で管理していない端末や、自社の従業員ではない利用者が対象になります。
この領域では、扱える情報の範囲を限定する設計が中心になります。端末にデータを保存させない構成や、閲覧のみを許可する設定が採られることもあります。委託先については、契約上の取り決めと権限の設定を対応させ、契約終了時に確実に解除する手順を定めておく必要があります。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品で比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でアクセスコントロールシステムの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
設計時につまずきやすい点
事例で語られる課題の多くは、設定の細かさと運用の負担の兼ね合いに関わります。二つの点を挙げます。
権限の付与範囲と見直しの仕組み
異動や兼務が重なると、以前の権限が残ったまま新しい権限が加わり、範囲が広がっていくことがあります。誰がどこまで接続できるかを把握できない状態は、確認が必要になった際の妨げになります。
定期的に権限を棚卸しする機会を設け、不要になったものを解除する運用が必要です。上長が自部署の権限を確認して承認する仕組みを設ける方法もあります。担当者一人が全社の設定を管理する体制は続きにくいため、部署ごとに責任を分ける設計も検討しましょう。
制御を強めた際の業務への影響
範囲を細かく分けるほど、必要な情報に届かないという相談が増えます。承認を経なければ接続できない設定では、担当者の不在時に業務が止まる要因にもなります。
権限の追加を申請する窓口と、対応までの目安を決めておきましょう。緊急時に一時的に権限を付与し、事後に確認する運用を用意する方法もあります。制御の強さと業務の進めやすさは両立しにくい面があるため、扱う情報の重要度に応じて水準を分ける考え方が現実的です。
アクセスコントロール製品の選び方
ここまでの内容を踏まえ、製品を選ぶ際の確認事項を整理します。
対象システムと利用者の整理
最初に、どのシステムを対象にするのかを決めます。社内の業務システムが中心なのか、クラウドサービスを含むのか、ネットワークへの接続そのものを制御したいのかによって、選ぶ製品が変わります。
あわせて、対象となる利用者の範囲も整理しましょう。従業員のみか、委託先や取引先を含むか、私物端末からの利用を認めるかによって、必要な機能が変わります。人数に応じた料金体系を採る製品が多いため、対象範囲は費用の試算にも関わります。
既存の認証基盤との関係
すでに社内で使っている認証の仕組みと連携できるかを確認します。連携できれば、利用者の登録や削除を一か所で管理でき、入退社や異動の際の作業を抑えられます。
対応するシステムやクラウドサービスの種類は製品によって差があります。適用したいシステムの名称を伝えたうえで、対応の可否と必要な作業を確かめておきましょう。判断が難しい部分は情報システム部門やベンダーに相談しながら進めることをおすすめします。
費用とサポート範囲の確認
料金は、利用者数に応じた月額制、機能ごとのプラン分け、機器の購入を伴う形など、製品によって考え方が異なります。対象を段階的に広げる計画であれば、追加時の費用も確認しておきましょう。
サポートについては、どこまで対応してもらえるのかを具体的に確かめます。操作方法の案内にとどまるのか、権限設計の相談に応じてもらえるのかは製品ごとに差があります。接続できない状況は業務に直結するため、緊急時の連絡手段と対応時間帯も確認しておきましょう。
制御対象別に選べるアクセスコントロール製品
認証基盤やネットワークなど、制御の対象にあわせて検討できる製品を紹介します。
SeciossLink（セシオスリンク）
- シングルサインオンであらゆるサービスに連携
- IDの一元管理で業務効率化
- FIDO認証や証明書認証などの多要素認証で認証を強化
株式会社セシオスが提供する「SeciossLink（セシオスリンク）」は、複数のクラウドサービスへのアクセスを一元管理できるサービスです。利用者の属性や部署にあわせてアクセス権限を設定する構成に対応しており、利用するサービスごとに個別管理する手間を抑えられます。
Secioss Access Manager Enterprise（SAME）
- シングルサインオンであらゆるサービスに連携
- FIDO認証や証明書認証などの多要素認証で認証を強化
- 柔軟なルール設定が可能なアクセス制御機能を搭載
株式会社セシオスが提供する「Secioss Access Manager Enterprise（SAME）」は、社内システムへのアクセスを制御する認証基盤です。シングルサインオンの機能を備えており、システムごとに異なるログイン情報を扱う負担を軽減できます。大規模な組織での導入にも対応した構成です。
eFEREC
- 有線・無線LANやPC等、様々なアクセス形態に対応し認証を行う
- RADIUSやLDAP認証、SAMLによる認証など多様な認証方式に対応
- ユーザーごとに細かくネットワークアクセスの制御が可能
株式会社ネットスプリングが提供する「eFEREC」は、ネットワーク内部の接続を制御するエンドポイントアクセス管理システムです。RADIUSやLDAP、SAMLなど複数の認証方式に対応しており、利用者や端末の属性にあわせて接続できる範囲を制限できます。認証されていない端末や条件を満たさない端末の接続を検知・遮断する構成にも対応しています。
BIG-IPAPM （エフファイブ・ネットワークス・ジャパン合同会社）
- アプリへのアクセス制御とSSL-VPNを一元提供。
- SAML対応SSOでシームレスな接続。
- 端末状態チェックなどエンドポイントセキュリティ機能搭載。
アクセスコントロールに関するよくある質問
設計を検討する担当者から寄せられることの多い質問と回答をまとめました。
- Q1： どこから着手すればよいですか？
- 守りたい情報がどこにあるかを洗い出し、事業への影響が大きいものから範囲を絞る進め方が現実的です。すべてを一度に見直すと工数が膨らみます。現在の権限がどうなっているかを把握する棚卸しから始める方法もあります。
- Q2： 役割ごとに権限をまとめるとどのような利点がありますか？
- 異動のたびに個別の設定を変更する手間を抑えられ、付け忘れや解除漏れも生じにくくなります。ただし役割の定義が実態と合っていなければ、例外の設定が増えていきます。定義を定期的に見直す前提で運用しましょう。
- Q3： 私物端末からの接続を認めても問題ありませんか？
- 扱える情報の範囲を限定し、社内規程で取り扱いを定めたうえで運用する必要があります。データを端末に保存させない構成を選ぶ方法もあります。判断に迷う部分は、情報システム部門や法務部門に確認しながら進めましょう。
- Q4： 導入までにどのくらいの期間がかかりますか？
- 対象システムの数や既存の認証基盤との関係によって幅があります。単一のシステムに適用する場合は短期間で始められる一方、全社の権限設計を見直す場合は棚卸しを含めて数か月を要することもあります。段階的な計画を立てましょう。
まとめ
アクセスコントロールの事例では、利用者にもとづく制御に加えて、端末や接続元、時間帯を条件に含める構成が広がっています。社外からの利用や私物端末、委託先への適用が増えたことが背景にあります。設計では、権限の範囲を定めるだけでなく、見直しの仕組みと業務への影響への配慮が欠かせません。対象システムと利用者を整理したうえで、既存の認証基盤との関係や費用を比べて選ぶことをおすすめします。
