最小権限の原則に基づくアクセス

最新の最小特権アクセスのしくみ

最小特権を実装するには、組織内のユーザー、デバイス、またはアプリケーションの役割に基づいて企業リソースへのアクセスを制限する機能が必要です。 最小特権アクセス管理戦略の主要なコンポーネントには、ID 認証、セグメンテーション、デバイス セキュリティ体制の追跡が含まれます。

#1.ID 認証

業務に必要なものへのユーザーのアクセスを制限するには、ユーザーが誰で、組織内でどのような役割を担っているかを知る必要があります。 最小特権を実装するための最初の手順は、ユーザーを強力に認証することです。 そこから、企業リソースへのアクセスに対するユーザーの要求は、ロールベースのアクセス制御に基づいて承認または拒否できます。

#2.セグメンテーション

アクセス制御は、要求がアクセス管理システムを通過することを意味する、適用された場合にのみ役立ちます。 アクセス許可はデバイスの組み込み許可システムによって管理できますが、このアプローチは管理が複雑であり、拡張性がありません。 よりスケーラブルなオプションは、ネットワークをセグメント化し、セグメント境界を越えたアクセスを制限することです。 同様に、仮想プライベート ネットワーク (VPN) は、ネットワーク セグメント アクセスをリモート ワーカーに拡張します。 

ただし、ゼロトラストの原則に沿って最小特権アクセスを実装するには、組織は個々のアプリケーション、データベースなどに対して強制境界を作成する機能が必要です。 ゼロ トラスト ネットワーク アクセス (ZTNA) は、独立した組み込みの許可システムを管理したり、一連の次世代ファイアウォール (NGFW) や VPN を使用してネットワーク セグメント全体への広範なアクセスを許可したりすることなく、これを大規模に実行する機能を提供します。

#3.デバイスの姿勢

最小特権アクセスは、ユーザー アカウントに制限しないでください。 企業リソースへのデバイスのアクセスを制限すると、感染したデバイスの影響を制限することができます。

デバイスが企業ネットワークへの接続を許可される前に、デバイスが企業のセキュリティ ポリシーに準拠し、感染が除去されていることを確認するために検査される必要があります。 この検査は、デバイスによってもたらされるリスクのレベルを評価するために継続的に実行する必要があります。 ユーザーとデバイスに許可されるアクセスのレベルは、デバイスの現在のセキュリティ体制に基づいて決定できます。

組織で最小特権を実装する方法

最小特権アクセス管理ポリシーは、次の手順で実装および適用できます。

• ID の管理: 組織全体で一貫して最小特権を実装するには、企業ネットワーク内のさまざまなアプリケーションや環境にわたるユーザー ID を追跡および管理する機能が必要です。 これには、ID プロバイダー (IDP) をデプロイする必要があります。
• ZTNAの導入: ZTNAサービスは、ゼロトラストセキュリティ戦略を実施しながら、企業リソースへのアクセスを提供します。 これにより、組織は最小特権アクセス ポリシーを適用できます。
• 権限の定義: ユーザー権限は、組織内でのユーザーの役割に基づいてアクセスを制限するように定義する必要があります。 これには、特権アクセスの制限や、ジョブの実行に必要なリソースのみへのユーザーのアクセスの許可が含まれます。
• デバイスのセキュリティ体制を監視する: ユーザーの権限を管理することに加えて、組織はデバイスの現在のセキュリティ体制を監視できるソリューションを導入する必要もあります。 これにより、企業ポリシーに準拠していないデバイスやマルウェアに感染している可能性のあるデバイスへのアクセスを制限できます。