はじめに – なぜこのドメインが重要なのか？
CISSP受験を目指す皆さん、こんにちは！学習は順調に進んでいますか？
セキュリティの最も基本的な問いかけは何でしょうか？ それは「誰が、何に、どのような権限でアクセスできるのか？」ということです。
情報セキュリティの目標である機密性、完全性、可用性を実現するためには、正規のユーザーだけが必要な情報にアクセスできるように厳密に管理することが不可欠です。
CISSPドメイン5「アイデンティティとアクセス管理（IAM）」は、まさにこの「誰が、何に、どうアクセスできるか」を制御・管理するための理論と技術に焦点を当てたドメインです。このドメインは、システムへの入り口を守る門番のような役割を果たしており、他のドメインで学ぶ様々なセキュリティ対策の基盤となります。
IDとパスワード、認証、権限設定といった、皆さんにとっても身近な話題が多いかもしれませんが、CISSPではそれらをより体系的かつ深く理解する必要があります。
この記事では、ドメイン5の重要概念を分かりやすく解説し、皆さんの試験対策をサポートします。一緒にIAMの世界を楽しく学んでいきましょう！
ドメイン5の主要なテーマを深掘り
ドメイン5で学ぶべき主要なテーマは、以下の通りです。
1. IAMの基本概念 – AAAサイクル
アクセス管理は、一般的に以下の4つのステップで行われます。これをまとめて「AAAサイクル」と呼ぶこともあります。
識別（Identification）
これは、ユーザーやシステムが「自分が誰であるか」をシステムに主張する最初のステップです。例えば、ログイン画面でユーザー名を入力する行為などがこれにあたります。
認証（Authentication）
識別で主張したアイデンティティが正当であることをシステムが検証するプロセスです。ユーザー名が正しいだけでなく、そのユーザー名を持つ本人であることを確認します。パスワード、ICカード、生体情報などが認証に使われます。認証については、後で詳しく見ていきます。
認可（Authorization）
認証が成功した後で、そのユーザー（またはシステム）がどのようなリソースに対して、どのような操作（読み取り、書き込み、実行など）を許可されているかを決定するプロセスです。例えば、「このファイルは人事部のメンバーだけが読み書きできる」といったルールの適用にあたります。
説明責任（Accounting/Accountability）
ユーザーやシステムがシステム内で何を行ったか（いつログインし、どのファイルにアクセスし、どのような変更を加えたかなど）を記録し、追跡可能にすることです。これにより、インシデント発生時の原因究明や、不正行為の証拠収集が可能になります。「Accountability」は、その行為に対して誰が責任を負うかを明確にすることを含みます。
2. アイデンティティ管理（Identity Management）
組織内のすべてのユーザーやシステムに関するアイデンティティ情報を、効率的かつ安全に管理する仕組みです。
アイデンティティライフサイクル
ユーザーやシステムのアカウントは、その役割や状況に応じて適切に管理される必要があります。これには以下のフェーズが含まれます。
- プロビジョニング（Provisioning）：新規ユーザーの入社時や、既存ユーザーの異動時に、必要なアカウントを作成し、初期のアクセス権限を付与するプロセスです。
- アクセスレビュー（Access Review）：ユーザーに付与されている現在のアクセス権限が、その役割に対して依然として適切であるかを定期的に確認するプロセスです。不要な権限の削除などを行います。
- 変更管理（Modification）：ユーザーの役割変更などに伴い、アクセス権限を変更するプロセスです。
- デプロビジョニング（Deprovisioning）：ユーザーの退職や役割終了時に、アカウントを無効化または削除し、関連するアクセス権限をすべて剥奪するプロセスです。迅速なデプロビジョニングは、退職者による不正アクセスを防ぐ上で非常に重要です。
アイデンティティ情報源とディレクトリサービス（LDAP, ADなど）
組織内のアイデンティティ情報を一元管理するための基盤として、ディレクトリサービスがよく利用されます。
- ディレクトリサービス：ユーザー名、パスワード、部署、役職、アクセス権限などのアイデンティティ関連情報を階層構造で管理するシステムです。
- LDAP（Lightweight Directory Access Protocol）：ディレクトリサービスにアクセスするための標準的なプロトコルです。多くのディレクトリサービスがLDAPをサポートしています。
- Active Directory（AD）：Microsoftが提供するディレクトリサービスで、Windowsドメイン環境で広く利用されています。ユーザー認証やアクセス制御の中核を担います。
3. 認証技術（Authentication）
アイデンティティを証明するための様々な方法と、それらを組み合わせる考え方です。
認証要素（Type 1, 2, 3）
アイデンティティを証明するための要素は、以下の3つのタイプに分類されます。
- Type 1: Something you know（あなたが知っているもの）：パスワード、PINコード、秘密の質問の答えなど。
- Type 2: Something you have（あなたが持っているもの）：ICカード、ハードウェアトークン、スマートフォンの認証アプリ、USBキーなど。
- Type 3: Something you are（あなた自身であるもの）：指紋、顔、虹彩などの生体情報。
多要素認証（MFA）と多段階認証
- 多要素認証（MFA: Multi-Factor Authentication）：ログイン時に、上記の異なるタイプの認証要素を2つ以上組み合わせて使用する認証方法です。例えば、「パスワード（Type 1）」と「スマートフォンの認証コード（Type 2）」を組み合わせるなどです。単一の要素が侵害されても、他の要素が保護されていれば不正アクセスを防ぐことができるため、セキュリティを大幅に向上させます。
- 多段階認証（Step-Up Authentication）：通常のログイン時にはシンプルな認証を使用し、機密性の高い情報へのアクセスやリスクの高い操作を行う場合に、追加の認証（より強力な認証要素の提示など）を求める方式です。
フェデレーションとシングルサインオン（SSO）
複数の異なるシステムへのアクセスを効率化・安全化するための技術です。
- フェデレーション（Federation）：異なる組織やドメイン間で、ユーザーのアイデンティティ情報を共有し、相互に信頼してアクセスを許可する仕組みです。これにより、ユーザーは複数のサービスに対して個別にアカウントを作成・管理する必要がなくなります（例：Googleアカウントで他のサービスにログインするなど）。SAML、OAuth、OpenID Connectといったプロトコルが利用されます。
- シングルサインオン（SSO: Single Sign-On）：一度認証を受けるだけで、その後に同じセキュリティドメイン内にある複数のシステムやアプリケーションに再認証なしでアクセスできるようになる仕組みです。ユーザーの利便性を向上させ、パスワード管理の負担を減らすことで、セキュリティ向上にも寄与します。
4. アクセス制御モデルと管理（Access Control）
誰が何にアクセスできるかを定義・適用するための体系的な考え方です。
アクセス制御モデル（DAC, MAC, RBAC, ABAC）
アクセス権限をどのように決定・管理するかの主要なモデルです。
- DAC（Discretionary Access Control – 任意アクセス制御）：リソースの所有者が、そのリソースへのアクセス権限を他のユーザーに自由に割り当てることができるモデルです。ファイルシステムなど、柔軟性が高い反面、大規模環境での管理は複雑になりがちです。
- MAC（Mandatory Access Control – 強制アクセス制御）：システム全体で厳密に定義されたセキュリティラベルに基づいて、システムが強制的にアクセスを制御するモデルです。ユーザーやリソースにセキュリティレベル（例：極秘、秘密、公開）が付与され、システムはそのラベルに基づいたルール（例：Bell-LaPadulaモデル）に従ってアクセスを許可/拒否します。機密性や完全性が非常に重要な環境（軍事、政府など）で利用されますが、柔軟性は低いです。
- RBAC（Role-Based Access Control – ロールベースアクセス制御）：ユーザーに直接アクセス権限を付与するのではなく、役割（ロール）に対してアクセス権限を定義し、ユーザーをその役割に割り当てるモデルです。例えば、「経理部員」というロールに経理システムへのアクセス権限を付与し、そのロールに所属するすべてのユーザーがアクセスできるようになります。管理が容易で、多くのエンタープライズ環境で採用されています。
- ABAC（Attribute-Based Access Control – 属性ベースアクセス制御）：ユーザーの属性（役職、所属部署、クリアランスレベルなど）、リソースの属性（機密性レベル、ファイルタイプなど）、環境の属性（時刻、場所、接続デバイスなど）といった、様々な属性の組み合わせに基づいてアクセスを動的に判断するモデルです。非常に柔軟で細かいアクセス制御が可能ですが、実装と管理が複雑です。
アクセス権限（パーミッション、プリビレッジ）
認可によってユーザーに与えられる具体的な権限です。ファイルに対する「読み取り」「書き込み」、システム機能に対する「管理者権限」「設定変更権限」などがあります。最小権限の原則に基づき、必要最低限の権限のみを付与することが重要です。
5. 説明責任の確保（Accounting/Accountability）
誰が何をしたかを記録し、後から追跡・監査できるようにすることは、セキュリティの維持に不可欠です。
ログ記録と監視
IAM関連の活動に関するログを適切に記録し、監視します。
- 記録すべきログ：ログイン成功/失敗、権限昇格、重要な設定変更、アクセス拒否、アカウントロックアウトなど。
- 監視：リアルタイムでのログ監視や、異常なパターンを検知するためのログ分析を行います。SIEM（Security Information and Event Management）システムなどが活用されます。
アクセスレビューと監査
定期的に実施することで、不正や設定ミスを発見できます。
- アクセスレビュー：前述のアイデンティティライフサイクルの一部としても行われます。定期的にユーザーリストと付与されている権限リストを確認し、不要な権限が付与されていないか、存在しないユーザーのアカウントが残っていないかなどをチェックします。
- 監査：記録されたログやシステム設定を、セキュリティポリシーや規制要件に沿って適切に管理されているかを第三者的な視点で評価します。
6. IAMにおける脅威と対策
IAMシステムは、サイバー攻撃の主要な標的となりがちです。
主な脅威（クレデンシャル盗難、権限昇格など）
- クレデンシャル（認証情報）盗難：パスワードリスト攻撃、ブルートフォース攻撃、フィッシング、マルウェアなどにより、ユーザー名やパスワードなどの認証情報が窃取される攻撃です。
- 権限昇格（Privilege Escalation）：より低い権限を持つ攻撃者が、システムの脆弱性などを突いて、より高い権限（管理者権限など）を獲得する攻撃です。
- アクセス権限の悪用：正規のユーザーが、許可された権限を悪用して不正行為を行うインサイダー脅威です。
- アカウント乗っ取り（Account Takeover）：盗んだクレデンシャルを使ってユーザーアカウントを乗っ取り、不正な活動を行うことです。
セキュアなIAM実装のための考慮事項
- 強力なパスワードポリシーの強制と定期的な変更推奨。
- 多要素認証（MFA）の導入と必須化。
- 最小権限の原則と職務分掌の徹底。
- ユーザーアカウントと権限の迅速かつ正確なプロビジョニング/デプロビジョニング。
- 定期的なアクセスレビューと監査。
- ログの適切な記録、保護、監視。
- セキュリティ意識向上トレーニングによるユーザーのリスク理解促進。
- パスワードレス認証やFIDOなどの新しい認証技術の検討。
まとめ
CISSPドメイン5「アイデンティティとアクセス管理」は、システムの「誰が」の部分に焦点を当てた、セキュリティの根幹をなす重要な領域です。
AAAの基本サイクルから始まり、アイデンティティのライフサイクル管理、様々な認証技術、そしてアクセス制御モデルといった理論的な枠組みまで、学ぶべきことは多岐にわたります。一見難しそうに見えるかもしれませんが、これらの概念はすべて「正規のユーザーだけが正しくアクセスできる」という、非常にシンプルで強力な目標を達成するためのものです。
このドメインを深く理解することは、CISSP試験の合格に不可欠であるだけでなく、実際のセキュリティ運用や設計において、人やシステムの「アクセス」に関するリスクを適切に評価し、効果的な対策を講じるための強力なスキルとなります。ぜひ、ここで学んだ知識を日々の業務にも活かしてみてください。
このドメインの学習のポイント
- IAMの基本であるAAA（識別、認証、認可、説明責任）の違いと役割を明確に理解する。
- 認証要素の3つのタイプ（知っているもの、持っているもの、自身であるもの）を区別し、多要素認証（MFA）の重要性を理解する。
- 主要なアクセス制御モデル（DAC, MAC, RBAC, ABAC）の特性、メリット、デメリット、そしてどのような環境に適しているかを説明できるようになる。
- アイデンティティライフサイクルの各フェーズ（プロビジョニング、アクセスレビュー、デプロビジョニングなど）の内容と、特にデプロビジョニングの重要性を把握する。
- フェデレーションとシングルサインオン（SSO）の仕組みとメリットを理解する。
- ログ記録、監視、アクセスレビュー、監査が説明責任を果たす上でどのように機能するかを理解する。
- 単語や定義を丸暗記するのではなく、それぞれの概念が「なぜ必要なのか」「どのようなセキュリティ上の課題を解決するのか」という理由を考える。
これらのポイントを意識して学習を進めると、知識がより定着しやすくなるはずです。
演習問題に挑戦！
それでは、ドメイン5の理解度を確認するための演習問題に挑戦してみましょう。答えはすぐに下にありますので、まずはご自身の力で解いてみてください。
問題
Q1: ユーザーがシステムにアクセスしようとする際に、「あなたが誰であるか」をシステムに主張する最初のステップは、IAMのどのコンポーネントにあたりますか？
1. 認証（Authentication）
2. 認可（Authorization）
3. 識別（Identification）
4. 説明責任（Accounting）
Q2: アクセス制御モデルのうち、ユーザーに直接権限を割り当てるのではなく、組織内の「役割」に権限を定義し、ユーザーをその役割に割り当てることでアクセスを管理するモデルはどれですか？
1. DAC（任意アクセス制御）
2. MAC（強制アクセス制御）
3. RBAC（ロールベースアクセス制御）
4. ABAC（属性ベースアクセス制御）
Q3: ログイン時に、ユーザーが「知っていること」（パスワード）と「持っているもの」（スマートフォンに表示されるワンタイムパスワード）の異なる要素を組み合わせて認証を行う方法は、何と呼ばれますか？
1. シングルサインオン（SSO）
2. 多要素認証（MFA）
3. フェデレーション
4. 多段階認証
Q4: 異なるセキュリティドメイン（組織など）間でユーザーのアイデンティティ情報を共有し、相互に信頼してアクセスを許可する仕組みは一般的に何と呼ばれますか？
1. シングルサインオン（SSO）
2. 多要素認証（MFA）
3. フェデレーション
4. アクセスレビュー
Q5: 従業員の退職時など、ユーザーが組織のリソースへのアクセス権を失う際に、関連するアカウントを迅速かつ完全に無効化または削除することは、アイデンティティライフサイクルのどのフェーズにあたり、特にどのようなセキュリティ上のリスクを軽減するために重要ですか？
1. プロビジョニング、不正アクセスの防止
2. アクセスレビュー、権限の適切な管理
3. デプロビジョニング、元従業員による不正アクセスの防止
4. 変更管理、職務分掌の維持
Q6: アクセス制御モデルのうち、リソースの所有者が他のユーザーへのアクセス権限を自由に決定できる、柔軟性が高いモデルはどれですか？
1. DAC（任意アクセス制御）
2. MAC（強制アクセス制御）
3. RBAC（ロールベースアクセス制御）
4. ABAC（属性ベースアクセス制御）
Q7: 既にシステムにアクセス権限を持つユーザーに対して、付与されている権限が現在の役割や業務遂行に照らして適切であるかを定期的に確認する活動は、アイデンティティライフサイクルのどの部分に含まれますか？
1. プロビジョニング
2. アクセスレビュー
3. デプロビジョニング
4. 認証
Q8: IAMのAAAサイクルのうち、ユーザーやシステムがシステム内で実行したアクション（ログイン、ファイルアクセス、設定変更など）を記録し、後から追跡・監査可能にする役割を持つコンポーネントはどれですか？
1. 認証（Authentication）
2. 認可（Authorization）
3. 識別（Identification）
4. 説明責任（Accounting/Accountability）
Q9: ユーザーがシステムへのログインを試みる際に、パスワード（Something you know）だけでなく、指紋スキャン（Something you are）も同時に要求される場合、これは主にどのような認証方法の例ですか？
1. シングルファクタ認証
2. 多段階認証
3. 多要素認証（MFA）
4. フェデレーション
Q10: アクセス制御モデルのうち、システム全体で定義された厳格なセキュリティラベルに基づいて、システムがアクセスを強制的に許可または拒否するモデルで、高い機密性や完全性が求められる環境に適しているのはどれですか？
1. DAC（任意アクセス制御）
2. MAC（強制アクセス制御）
3. RBAC（ロールベースアクセス制御）
4. ABAC（属性ベースアクセス制御）
解答と解説
Q1の解答：3
解説：IAMの最初のステップは「識別（Identification）」であり、「自分が誰であるか」をシステムに主張することです。認証はその主張が正しいかを検証するプロセスです。
Q2の解答：3
解説：役割に基づいてアクセス権限を管理するモデルは「RBAC（ロールベースアクセス制御）」です。多くのエンタープライズ環境で採用されており、管理の効率化に貢献します。
Q3の解答：2
解説：異なるタイプの認証要素（Type 1, 2, 3）を2つ以上組み合わせて認証を行うのが「多要素認証（MFA）」です。多段階認証は、リスクに応じて追加の認証を求めるものです。
Q4の解答：3
解説：異なる組織やドメイン間でアイデンティティを共有し、相互に信頼してアクセスを許可する仕組みは「フェデレーション」です。SSOは単一ドメイン内でのアクセス効率化が主な目的です。
Q5の解答：3
解説：退職者など不要になったアカウントを削除することは「デプロビジョニング」にあたり、特に元従業員による不正アクセスというセキュリティ上のリスクを軽減するために非常に重要です。
Q6の解答：1
解説：リソースの所有者がアクセス権限を自由に決定できるモデルは「DAC（任意アクセス制御）」です。MACはシステム強制、RBACは役割ベース、ABACは属性ベースです。
Q7の解答：2
解説：既存ユーザーに付与されているアクセス権限が適切かを定期的に確認する活動は「アクセスレビュー」であり、アイデンティティライフサイクルの一部です。
Q8の解答：4
解説：ユーザーの活動を記録し、追跡可能にする役割を持つのは「説明責任（Accounting/Accountability）」のコンポーネントです。
Q9の解答：3
解説：「知っていること」（パスワード、Type 1）と「自身であるもの」（指紋、Type 3）という、異なるタイプの認証要素を組み合わせているため、これは「多要素認証（MFA）」の例です。
Q10の解答：2
解説：システム全体で定義されたセキュリティラベルに基づき、システムが強制的にアクセスを制御するモデルは「MAC（強制アクセス制御）」です。機密性の高い環境で利用されます。
ドメイン5の演習問題、いかがでしたか？ IAMはセキュリティの基本中の基本です。これらの概念をしっかりマスターすることが、CISSP合格、そして実務での成功に繋がります。ぜひ繰り返し復習してくださいね。
皆さんのCISSP学習を心から応援しています！
コメント