はじめに

2022年6月に刊行された「ゼロトラストアーキテクチャ適用方針」では、ゼロトラストアーキテクチャを「特定の業務フロー内で、あるリソースから別のリソースへのアクセスが最小権限の原則を満たすよう、業務フローを取り巻く環境の情報を活用し、事前に定められたアクセス制御のルールによって評価され、その結果に従うアクセス制御が施行される」考え方であると説明した。その中核はアクセス制御であることは明らかだが、具体的な方法や実装例は示されていない。そこで、本レポートでは、特定のリソースに関する属性を複数組み合わせたアクセス制御「属性ベースアクセス制御（Attribute-Based Access Control: ABAC）」について解説する。

一般的に普及したアクセス制御の方法には、任意アクセス制御（DAC）、強制アクセス制御（MAC）、役割ベースのアクセス制御（RBAC）がある。しかし、これらは「ゼロトラストアーキテクチャ適用方針」が想定する業務環境・業務システムに対して十分かつ継続的な安全性を提供できない恐れがある。クラウド・バイ・デフォルト原則により利活用が拡大されると想定されるクラウドサービスでは、安全性が必ずしも確保されていないインターネット上を通じて、日常の業務と関連するデータが処理されるためである。長期間にわたるインターネット上の業務や、多様な経路を経由する処理では、より侵害される恐れが高まる。サイバーセキュリティの基本的な考え方の一つである多層防御に則り、アクセス制御にもより多くの多面的な情報を活用することが重要になると予想される。例えば、OSに関連する脆弱性は継続的に発見されるため、業務端末における残存脆弱性を突かれる蓋然性もやはり高くなる。そうであれば、リスクに適切に対応する構成情報やパッチ適用状況がシステム保護における重要な情報になる。影響範囲が広く重要な業務であれば、それを評価した上で処理やアクセスを許可する要件が想定される。

また、多くのセキュリティインシデントの起点となるフィッシングサイトへの対策として通常より強固な認証を強制したい場合は、各種リソースの情報に加え、認証手法に関連する情報も取り込む必要がある。

変化する業務環境やリスクに対して、アクセス制御は最小権限の原則を継続的に実現しなければならない。不正アクセスから業務環境を保護するには、識別子（ID）や役割といった単一の情報は、アクセス制御において十分ではない。

ABACはリソースに付与される属性情報に加え、業務をとりまく環境情報を活用することで、より効果的なアクセス制御を実現できる。

目的とスコープ

本文書は「ゼロトラストアーキテクチャ適用方針」における補助文書として位置づけられる。属性ベースアクセス制御の説明に加え、ゼロトラストアーキテクチャにおいて採用する際の効果や考慮事項について言及する。情報システム管理者やアクセス管理者等は、本文書を参考にすることで、「ゼロトラストアーキテクチャ適用方針」の実現に対してABACがどれほど寄与するか理解できる。

適用対象

本文書は、政府情報システムにおけるセキュリティ対策を適用の対象とする。

位置づけ

本文書は、標準ガイドライン群のInformative（情報提供）のレベルの参考文書である。

本書の構成

第２章ではゼロトラストアーキテクチャにおけるABACの意義を示すとともに、必要な用語の整理と考慮事項について説明する。ゼロトラストアーキテクチャにおけるABACに関する知見がない読者は、本章を理解することで、実際にシステムを構築する際の必要事項や運用に関して理解を深めることができる。なお、内容の根拠についての詳しい解説は第３章に譲り、本章ではあくまでも「ゼロトラストアーキテクチャ適用方針」の文脈での解説をする。

第３章では各要素を国際標準や先行研究の事例からABACの構成要素を解説する。具体的にはISO/IEC 29416「A Framework for Access Management」やNIST SP 800-162「Guide to ABAC Definition and Considerations」を取り上げる。本章の記載内容より一般的なABACの外観を把握することで、ベンダーや組織・チーム外とのコミュニケーションにおける前提や用語を揃えることが容易となる。

用語

本文書において使用する用語は、表１-1及び本文書に別段の定めがある場合を除くほか、標準ガイドライン群用語集の例による。その他専門的な用語については、民間の用語定義を参照すること。