認証・認可・記録

解説（テキスト版）

はじめに

情シスには、こんな相談が届きます。課で共用のIDを使っているのですが、問題ありますか、と聞かれる。

あるいは、ログインできるのに、このフォルダだけ開けない。認証は通っているのに、どうしてですか、と問い合わせが来る。

認証と認可は、似た言葉ですが、別のものです。私も最初は、同じ意味だと思っていました。

今日は、認証、認可、そして、記録をお話しします。誰なのかを確かめて、何をしてよいかを決めて、何をしたかを残す。この3つの流れです。

一言で言うと

先に、一言でまとめます。認証は、あなたは誰か、を確かめること。認可は、あなたは何をしてよいか、を決めること。そして、記録は、何をしたか、を残すことです。

英語の頭文字から、トリプルエーと呼ばれることもあります。3つがそろって、はじめて、あとから説明できる状態になります。

基礎編のどこか

第3回の、最小権限や、職務の分離は、権限をどう与えるか、という原則でした。

今日は、その権限を、実際にどう確かめて、与えて、残すのか、という仕組みの話です。

セキュリティ編の、IDaaSや多要素認証は、認証の部分を、強くするための道具です。

認証

まず、認証です。いま画面の前にいるのが、そのIDの本人かどうかを、確かめることです。

確かめる材料は、3種類あります。知っているもの、持っているもの、身体の特徴です。パスワードは、知っているもの。ICカードや、スマートフォンのアプリは、持っているもの。指紋や顔は、身体の特徴です。

2種類以上を組み合わせるのが、多要素認証です。パスワードが盗まれても、持っているものがなければ、入れません。セキュリティ編の第3回でも、お話ししました。

同じ種類を2つ重ねても、多要素にはなりません。パスワードと、秘密の質問は、どちらも知っているものなので、盗まれると、まとめて破られます。

パスワードの扱い

パスワードについて、よく聞かれる点をまとめます。

一つ目は、使い回しです。ほかのサービスで漏れたパスワードが、庁内のサービスで試される攻撃があります。サービスごとに、別のものを使います。

二つ目は、長さです。短くて複雑なものより、長いもののほうが、破られにくいとされています。

三つ目は、変更の頻度です。定期的に変えさせる運用は、かえって、覚えやすい弱いパスワードに偏る、という指摘があります。アメリカのNISTの指針でも、定期的な変更の強制は、求めない方向です。団体のルールがどうなっているかは、ポリシーで確かめてください。

認可

次に、認可です。認証で、本人と分かった人に、何をしてよいかを、決めることです。

たとえるなら、庁舎の入口で、職員証を見せて、通ることが、認証です。そのあと、入れる部屋が、人によって違うのが、認可です。

冒頭の、ログインできるのに、このフォルダだけ開けない、という相談は、認証は通っていて、認可で止められている状態です。

認可は、人ごとに決めると、数が増えて、管理しきれません。そこで、役割ごとに、権限をまとめます。課長、担当者、委託先、といった役割に権限をひも付けて、人を役割に割り当てます。異動のときも、役割を付け替えるだけで済みます。

記録

三つ目は、記録です。誰が、いつ、何をして、どうなったかを、残すことです。

第1回の言葉でいえば、責任追跡性を支えるのが、この記録です。何かあったときに、あとから、たどれます。

運用編の第13回で、ログの保管をお話ししました。1年以上の保管が望ましい、誰が見るのか、時刻を合わせる、という話です。今日は、その土台の考え方として、おさらいしてください。

記録があることは、そのまま、抑止にもなります。見られている、と分かっていれば、不正も、ためらわれます。

3つがつながる

この3つは、つながって、はじめて意味を持ちます。

認証がなければ、誰の操作か分かりません。認可がなければ、誰でも何でもできます。記録がなければ、あとから確かめられません。

そして、この3つがそろうと、否認防止にもつながります。私はやっていない、という言い逃れが、できにくくなるからです。

どれか一つが欠けると、守りに穴が空きます。自分の団体のシステムで、3つがそろっているか、見てみると、弱いところが分かります。

共用IDの問題

冒頭の、課で共用のIDを使っている、という相談に戻ります。

共用IDを使うと、誰の操作なのか、記録から分かりません。認証も、記録も、意味を失います。責任追跡性が、損なわれます。

さらに、人が異動しても、IDとパスワードは変わらないので、辞めた人が、使い続けられる状態になりがちです。

どうしても共用が必要な場合は、誰が、いつ使ったかを、別の方法で記録する。パスワードを、人が代わるたびに変える。そうした、補う運用が要ります。ただ、基本は、一人に一つのIDです。

現場でよくある誤解

現場でよくある誤解を、3つ挙げます。

一つ目。ログインできたのだから、何をしてもいい、という誤解です。認証は、本人確認だけです。何ができるかは、認可で決まります。

二つ目。パスワードが複雑なら、安全、という誤解です。使い回されたり、盗まれたりすれば、複雑さは意味を失います。持っているものを足す、多要素認証が有効です。

三つ目。記録は、何かあったときのためだけ、という誤解です。記録を見る人がいて、はじめて、異常に気づけます。ふだんから、見る仕組みが要ります。

異動してきたら最初に確かめること

では、異動してきたら、まず何を確かめればいいでしょうか。

一つ目。共用IDが、庁内に、どれくらいあるかです。誰が、何のために使っているのか。一覧にして、一人一IDに、できないかを考えます。

二つ目。重要なシステムの、認証の方式です。パスワードだけなのか、多要素認証が付いているのか。管理者のIDは、特に確かめます。

三つ目。権限が、役割ごとに整理されているかです。人ごとに、バラバラに付けていると、異動のたびに、抜けや残りが出ます。