アクセス権棚卸とは｜間隔を半分にしても、露出は半分にならなかった

間隔を半分にしても、露出は半分にならなかった

棚卸の間隔を変えて24か月ぶんを数えました。効きますが、間隔を詰めるほど効果は小さくなります。

アクセス権棚卸がどれだけ効くのかを、実際に走らせて数えました。利用者200人・24か月という条件です。

毎月3%が異動し、そのうち60%で前の権限を外し忘れるとしました。棚卸では残っている余分な権限の80%を見つけて落とします。

for (let m = 1; m <= MONTHS; m++) {
  for (let i = 0; i < N; i++) {
    if (rr() < MOVE_RATE && rr() < FORGET) extra[i] += 1 + Math.floor(rr() * 2);
  }
  monthly.push(extra.reduce((a, b) => a + b, 0));   // 月末時点の残り
  if (reviewEvery && m % reviewEvery === 0) { /* 80% を落とす */ }
}

見直しの間隔      6か月後  12か月後  18か月後  24か月後  期間中の最大  のべ露出
見直さない                   37件      61件      92件     124件          124件      1557件月
12か月ごと                  37件      61件      40件      73件           73件       934件月
6か月ごと                   37件      29件      34件      40件           40件       517件月
3か月ごと                   22件      15件      20件      21件           23件       326件月

※ 件数は「本来は不要なのに残っている権限」。のべ露出は、それが存在した月数を掛けた合計

上の表を見てください。棚卸をしないと24か月で124件まで積み上がりました。

件数だけでは足りない

右端の列がのべ露出です。余分な権限が存在した月数を掛けた合計で、危険にさらされていた量を表します。

24か月後の件数だけを見ると、12か月ごとの棚卸は73件です。ところがのべ露出では934件月で、棚卸なしの6割に達しています。

間隔を半分にしても半分にならない

6か月ごとと3か月ごとを比べてください。のべ露出は517件月から326件月です。0.63倍にしかなりません。

理由は単純です。棚卸を増やしても、外し忘れる速さは変わりません。落とす回数が増えるだけで、溜まる側は同じです。

アクセス権棚卸とは何をするのか

誰が何にアクセスできるかを定期的に確かめ、不要になったものを外します。溜まる前提で回す仕組みです。

アクセス権棚卸は、誰が何にアクセスできるかを定期的に確かめて、不要なものを外す取り組みです。

なぜ溜まるのか

権限は足すのは簡単で、外すのは忘れられやすいものです。異動先の権限は業務が止まるのですぐ付きますが、前の権限を外しても誰も困りません。

Microsoftの資料も、問いの形で人が組を移ったり会社を去ったりするとき、その古いアクセスが取り除かれることをどう確かめるのかと挙げています。

溜まると何が起きるか

1. 被害が広がる。1つの認証情報が漏れたときに触れる範囲が広い
2. 監査で指摘される。統制が効いていない証拠になる
3. 職務分離が崩れる。前の部署の権限が残って組が成立する
4. 誰も気づかない。使われていない権限は動きを見せない

同じ資料も、過剰なアクセス権は侵害につながりうるとしたうえで、アクセスに対する統制の欠如を示すものとして監査での指摘にもつながりうると述べています。

何を見るか

全部を毎回見る必要はありません。強い権限から見るのが順序です。管理者の権限、金銭が動く権限、個人情報に触れる権限です。

前の節の計測では全体を数えましたが、実務では件数が多いところより、外れたときの被害が大きいところから手を付けます。

棚卸だけに頼らず、溜まる側も減らす

間隔を詰める効果には限りがあります。外し忘れの割合そのものを下げる手当てを併せて打ちます。

アクセス権棚卸の効果には限りがあります。前の節では間隔を半分にしても、のべ露出は0.63倍にしかなりませんでした。

2つの向きから減らす

溜まる量は溜まる速さ × 残る期間で決まります。棚卸が短くするのは後ろだけです。

1. 異動時に自動で外す。溜まる速さそのものを下げる
2. 期限付きで付ける。何もしなければ切れる
3. 棚卸の間隔を決める。残る期間を短くする
4. 強い権限から先に見る。同じ手間で被害を減らす

1番目と2番目が溜まる速さに効きます。棚卸だけを増やすより、こちらのほうが効率が良い場面があります。

繰り返しの仕組みにする

棚卸は1回やって終わりではありません。Microsoftの資料も、週次・月次・四半期・年次といった決まった頻度で、利用者に対する繰り返しの棚卸を設定でき、各回の開始時に確認者へ通知が届くとしています。

前の節の計測でも、12か月ごとでは18か月後に40件まで戻っています。1回落としても、また溜まります。

誰が確かめるか

確かめる人を決めておく必要があります。本人・上長・資源の持ち主のいずれかです。

本人に確かめさせると、ほとんどが必要だと答えます。落とす割合を上げたいなら、資源の持ち主に見せるほうが効きます。