schedule 2018/04/02 refresh 2023/11/09
特権IDと一般ID
PCやサーバーを管理・利用する場合、ID・パスワード等のアカウント情報が必要ですが、IDには一般IDと特権IDがあります。
（画像は写真ACより）
一般IDは、主にユーザー個人がPCやサーバーのアプリケーションを利用するもので、自由に利用設定できるものではなく、特権IDによる設定のもとでのみ利用可能になります。
特権IDは、Windowsでは「Administrator」、MAC・UNIX・Linuxでは「root」という名称の予め標準的に用意されている（ビルトイン）管理用のIDです。特権IDにより、一般IDを特権IDに変更することができます。
システムを維持・管理するための権限の強いIDで、設定変更、アカウント作成、パスワード変更、アプリケーションのインストール、全データへのアクセス、シャットダウン、再起動等サーバー・システムに対するあらゆる操作が可能です。
特権IDは、システムに対して強力な権限を有しているため、サイバー攻撃の格好の目標とされます。
一般IDがサーバー攻撃や内部不正等により第3者に不正取得された場合、被害はユーザーの権限内に限定されます。それでも大変なことですが。
しかし、特権IDが不正取得された場合は、すべての情報の漏えいや改ざん、システムの改ざん・破壊、サーバー攻撃の拠点に利用される、など甚大な被害を受ける可能性があります。
また、特権IDにより誤った操作が行われた場合、意図しないシステム変更、システム障害、重要データの削除などのリスクも存在します。
したがって、ID管理は、一般IDと特権IDとを分けて厳格に管理する必要があります。
一般IDの管理
一般的なID管理とは、アプリケーションを利用する多くのユーザーの一般IDを管理することです。管理者には、ユーザーの利便性を損なわない効率的な管理が求められます。
企業にオンプレミスやクラウド等の複数システムがあり、ユーザーがシステムごとに個別の一般IDとパスワードで利用する場合、システム管理者はそれぞれを管理する必要があります。
管理者にとっては、管理負担が大きく、設定ミスや管理漏れ等を原因とする障害発生のリスクが高まります。
統合ID管理・認証・アクセス制御システムを導入することで、管理作業の軽減と管理・運用コストを削減し、分散するID情報を安全で効率的に一元管理することができます。
さらに、一度の認証で複数システムが利用可能なシングルサインオン（SSO）やフェデレーションの採用により、ユーザーの利便性向上に寄与し、業務の効率化も期待できます。
特権IDの管理
特権IDは、システムに対して広範囲で強い権限を持っています。企業においては、情報部門のシステム管理者に特権IDを付与することが多いようです。
特権IDは、外部からのサイバー攻撃目標であるばかりでなく、内部からも不正利用が行われます。
（出典：IPA、内部不正による情報セキュリティインシデント実態調査、2016年3月3日）
独立行政法人情報処理推進機構（IPA）の調査によれば、内部不正経験者の51.0％がシステム管理者（含む兼務）でした。情報漏えいなどのセキュリティ対策には、外部対策とともに、内部対策として権限の最小化や分散、アクセス監視等を行う必要があります。
特権ID管理は、企業のセキュリティ対策の最重要事項です。
特権ID管理上、製品にビルトインされているアカウント、システム構築時ベンダーが設定したパスワード等、初期設定のまま使用続けることは止め、必ず変更しましょう。
また、複数システムでの共有・使い回し、複数の担当者が共有で常時利用、同じパスワードの長期間利用、類推しやすいパスワード設定、便利な万能アカウントとしての常時利用等も避けましょう。
特権IDによるシステムへの正当なアクセスを確保する方法は、2つあります。
1つは、物理的なアクセス強化で、データセンターやサーバールームへの入退室管理、システム利用可能端末の限定等です。2つ目は、システムによるアクセス強化で、システム利用可能端末のユーザーの限定、特定ユーザーのみに特権IDを付与、特権利用後の認証情報の変更等です。
特権IDを有する管理者本人の確認は、ワンタイムパスワード、スマートカード、バイオメトリクス認証等による多要素認証（最低でも2要素認証）により正確性を強化しましょう。
特権IDの運用では、小規模であれば記録台帳、大規模であれば特権ID管理システムを利用します。
システム利用の監査、ミスや事故の際の原因究明、不正使用の抑止のため、特権IDを付与したシステム管理者や運用担当者に対し、作業内容の記録、作業ログの保護、ログの定期的なレビューを行います。
作業記録やログの保全を別の管理者が行うことで、内部不正も防ぐことができます。
