--- type: guideline title: はじめに source: デジタル庁 ds_code: ds-212 category: security updated: 2023-03-31 source_url: https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/e2a06143-ed29-4f1d-9c31-0f06fca67afc/95ba799f/20230411_resources_standard_guidelines_guideline_04.zip --- # はじめに 2022年6月に刊行された「ゼロトラストアーキテクチャ適用方針」では、ゼロトラストアーキテクチャを「特定の業務フロー内で、あるリソースから別のリソースへのアクセスが最小権限の原則を満たすよう、業務フローを取り巻く環境の情報を活用し、事前に定められたアクセス制御のルールによって評価され、その結果に従うアクセス制御が施行される」考え方であると説明した。その中核はアクセス制御であることは明らかだが、具体的な方法や実装例は示されていない。そこで、本レポートでは、特定のリソースに関する属性を複数組み合わせたアクセス制御「属性ベースアクセス制御（Attribute-Based Access Control: ABAC）」について解説する。 一般的に普及したアクセス制御の方法には、任意アクセス制御（DAC）、強制アクセス制御（MAC）、役割ベースのアクセス制御（RBAC）がある。しかし、これらは「ゼロトラストアーキテクチャ適用方針」が想定する業務環境・業務システムに対して十分かつ継続的な安全性を提供できない恐れがある。クラウド・バイ・デフォルト原則により利活用が拡大されると想定されるクラウドサービスでは、安全性が必ずしも確保されていないインターネット上を通じて、日常の業務と関連するデータが処理されるためである。長期間にわたるインターネット上の業務や、多様な経路を経由する処理では、より侵害される恐れが高まる。サイバーセキュリティの基本的な考え方の一つである多層防御に則り、アクセス制御にもより多くの多面的な情報を活用することが重要になると予想される。例えば、OSに関連する脆弱性は継続的に発見されるため、業務端末における残存脆弱性を突かれる蓋然性もやはり高くなる。そうであれば、リスクに適切に対応する構成情報やパッチ適用状況がシステム保護における重要な情報になる。影響範囲が広く重要な業務であれば、それを評価した上で処理やアクセスを許可する要件が想定される。 また、多くのセキュリティインシデントの起点となるフィッシングサイトへの対策として通常より強固な認証を強制したい場合は、各種リソースの情報に加え、認証手法に関連する情報も取り込む必要がある。 変化する業務環境やリスクに対して、アクセス制御は最小権限の原則を継続的に実現しなければならない。不正アクセスから業務環境を保護するには、識別子（ID）や役割といった単一の情報は、アクセス制御において十分ではない。 ABACはリソースに付与される属性情報に加え、業務をとりまく環境情報を活用することで、より効果的なアクセス制御を実現できる。 ## 目的とスコープ 本文書は「ゼロトラストアーキテクチャ適用方針」における補助文書として位置づけられる。属性ベースアクセス制御の説明に加え、ゼロトラストアーキテクチャにおいて採用する際の効果や考慮事項について言及する。情報システム管理者やアクセス管理者等は、本文書を参考にすることで、「ゼロトラストアーキテクチャ適用方針」の実現に対してABACがどれほど寄与するか理解できる。 ## 適用対象 本文書は、政府情報システムにおけるセキュリティ対策を適用の対象とする。 ## 位置づけ 本文書は、標準ガイドライン群のInformative（情報提供）のレベルの参考文書である。 ## 本書の構成 第２章ではゼロトラストアーキテクチャにおけるABACの意義を示すとともに、必要な用語の整理と考慮事項について説明する。ゼロトラストアーキテクチャにおけるABACに関する知見がない読者は、本章を理解することで、実際にシステムを構築する際の必要事項や運用に関して理解を深めることができる。なお、内容の根拠についての詳しい解説は第３章に譲り、本章ではあくまでも「ゼロトラストアーキテクチャ適用方針」の文脈での解説をする。 第３章では各要素を国際標準や先行研究の事例からABACの構成要素を解説する。具体的にはISO/IEC 29416「A Framework for Access Management」やNIST SP 800-162「Guide to ABAC Definition and Considerations」を取り上げる。本章の記載内容より一般的なABACの外観を把握することで、ベンダーや組織・チーム外とのコミュニケーションにおける前提や用語を揃えることが容易となる。 ## 用語 本文書において使用する用語は、表１-1及び本文書に別段の定めがある場合を除くほか、標準ガイドライン群用語集の例による。その他専門的な用語については、民間の用語定義を参照すること。

表 １-1　用語の定義
用語 意味
属性（Attribute） リソースの特性や特質を表す情報名。
属性情報（Attribute Value） 属性に設定された値。
リソース（Resource） ユーザーオブジェクト、デバイスオブジェクト、アプリケーションなど、アクセス管理の対象となる論理的な主体。一つ以上の属性を付与された主体。
サブジェクト（Subject） オブジェクトに対する処理を試みるリソース1。
オブジェクト（Object） サブジェクトの処理対象であるリソース。
最小権限の原則（Principle of least privilege） 事前に定義した職種・役職・属性等に応じて、付与するアクセス権限を必要最小限にする原則。
処理（Transaction） 業務の処理や、業務に関連するデータに対する一連の操作。
アクセス制御（Access Control） サブジェクトからオブジェクトに対する処理やアクセスを、特定のルールやサブジェクトに付与された権限をもとに許可または拒否する機能。
アクセス管理（Access Management） アクセス制御を管理する一連のプロセス。

アクセス制御ポリシー

ポリシー（Access Policy）

 特定範囲の管理下において、許容される処理やアクセスを、サブジェクトの権限とオブジェクトを保護するための要件に基づいて規定するルール。
アクセス認証、認証（Authentication） 実在性が確認されている主体とリソースの紐づきを確認する処理。例）従業員（主体）が、情報システム管理者によって作成されたユーザーアカウント（リソース）へのログイン（行為）処理。
アクセス認可、認可（Authorization） ポリシーとの照合による評価に基づいてアクセスを許可するか決定し、その結果を発行・通知する処理。

アクセス施行、施行

（Enforcement）

 アクセス認可の結果に基づいて、実際のリソースへのアクセスに適用される処理。

  1. NIST SP800-162にならい、本文書においてsubjectをアクセス元として定義する↩︎