アクセス権の棚卸しは、利用者やシステムに付いている権限が、現在の業務に必要かを見直す運用です。一覧を作るだけで終えず、不要な権限の修正と、その結果の確認まで行います。
退職時のアカウント停止に加えて、在籍していても役割が変わった人の権限を確認することが大切です。
利用者がいることと必要性を分ける
Microsoftは、異動や組織変更によって不要なアクセスが残ること、リソースの所有者などがアクセスの必要性を定期的に見直すことを説明しています。Microsoft: Access reviews
「今もログインしているから必要」とは限りません。業務で必要な範囲を超えた権限が、同じアカウントに残っている場合もあります。逆に、利用頻度が低くても、定期的な業務に必要な権限かもしれません。利用実績は判断材料の一つとして扱います。
対象と判断者を先に決める
最初の棚卸しでは、対象サービス、権限の種類、対象者、確認時点を決めます。一般利用者だけでなく、管理権限、外部のゲスト、共有されたデータの権限など、対象に含める範囲を明示します。
技術担当者が一覧を抽出し、業務の責任者が必要性を判断する、といった役割分担が考えられます。誰も判断できない権限は、そのまま承認するのではなく、所有者の特定を課題として扱います。
一覧を判断できる形にする
次の表は棚卸しの記録例です。実際の個人情報や構成情報を含む一覧は、必要な担当者に限定して共有します。
| 項目 | 記録すること |
|---|---|
| 対象 | サービス、アカウント、権限の範囲 |
| 業務上の理由 | 現在どの業務に必要か |
| 判断者 | 必要性を確認する責任者 |
| 判断 | 継続、変更、削除、確認待ち |
| 対応 | 実施担当、期限、結果の確認 |
所属だけで自動的に必要性を決めないでください。兼務、期間限定の応援、委託作業など、役割に応じた確認が必要になる場合があります。
確認待ちと例外を放置しない
架空の例として、異動前の部署の共有フォルダへアクセスできる人がいたとします。引継ぎのため一時的に必要なら、用途、認める範囲、期限、再確認する人を記録します。
「念のため残す」だけでは、次回も同じ判断を繰り返しやすくなります。期限を過ぎた際に何を確認するかまで決め、恒久的な権限と区別します。
返答がない場合も、無回答をそのまま継続承認として扱うのか、上位の責任者へ確認するのかを運用で決めます。業務影響を見ずに一律に削除する方法も避け、対象の重要性に応じた手順を用意します。
削除依頼と削除完了を分ける
不要と判断してチケットを出しても、実際に権限が外れたとは限りません。修正後の状態を確認し、判断記録と対応結果をつなぎます。
例えばグループ経由で付与した権限を外しても、別のグループや直接付与の権限が残る可能性を考えます。対象サービスの仕組みに応じて、最終的に必要な範囲へ収まったかを確認してください。
管理者など影響の大きい権限は、特権アクセス管理の考え方も併せて確認できます。
周期は変化とリスクから決める
Microsoftのアクセスレビューでは、繰り返しのレビューを設定できます。ただし、製品の設定項目が、そのまますべての企業に必要な周期を意味するわけではありません。Microsoft: Access reviews
組織変更の頻度、外部利用者の出入り、扱う情報、権限の影響を踏まえて周期を決めます。定期確認だけを待たず、役割変更時の見直しも組み合わせます。まず一つの重要なサービスで、抽出から修正確認までを一巡させると、対象を広げる際の不足を見つけやすくなります。
IDやインフラ運用の整理については、インフラ支援の案内をご確認ください。