20260515 ID管理は会社を守る大切な砦！〜🔰情シス向け〜

【TG40WG 外部登壇資料】
2026/05/15 しろおびセキュリティ 第2回Shirosec デジタルアイデンティティ編

ID管理は会社を守る大切な砦！ 〜🔰情シス向け〜
OIDF-J TG40 ワーキンググループ
Yuu Kikuchi

Transcript

1. Copyright OpenID Foundation Japan - All Rights Reserved. ID管理は会社を守る大切な砦！ 〜🔰 情シス向け〜 shirosec #02 Yuu Kikuchi
2. Copyright OpenID Foundation Japan - All Rights Reserved. About me? at 株式会社オプティム • 自社サービスの共通認証・ID基盤の立上げ〜運用 at OIDF-J • EIWG3、KYC WG 1-7 • エンタープライズID管理や本人確認の調査・検討 • TG40 WG サブWGリーダー Yuu Kikuchi
3. Copyright OpenID Foundation Japan - All Rights Reserved. 自己紹介 • Yuu Kikuchi • @ 株式会社オプティム • 自社サービスの共通認証・ID基盤を立上げ〜運用 • @ OIDF-J • EIWG3、KYC WG 1-7 • エンタープライズID管理や本人確認の調査・検討活 動に参加 • TG40 WG サブWGリーダー
4. Copyright OpenID Foundation Japan - All Rights Reserved. 目次 • 従業員の ID 管理（アイデンティティ管理）はなぜ重要なの？ • 従業員 ID 管理の歴史のおはなし • 従業員 ID 管理はどうやるべき？
5. Copyright OpenID Foundation Japan - All Rights Reserved. 今回のターゲットは......情シス！ 企業のITインフラ業務を一手に担う部署。主に以下のような役割・業務を行う IT戦略の企画・立案 社内インフラ・ ITシステムの管理 ヘルプデスク業務 業務システムのアカウント管理やアクセス制御の設定も 情シスの業務の一つ
6. Copyright OpenID Foundation Japan - All Rights Reserved. 今日伝えたいメッセージ 会社の資産を守るために、正しく ID 管理のできる情シスになろう！ 設計 ルールとプロセス を整備 実装 ルールを実現する システムを構築 運用 組織の変化に合わせた 見直し（棚卸し）
7. Copyright OpenID Foundation Japan - All Rights Reserved. Q：なぜ従業員の ID 管理が重要なの？
8. Copyright OpenID Foundation Japan - All Rights Reserved. 従業員のID管理がなぜ重要なの？ IT システムにおいて、 ID は会社の資産（情報）を守る重要な砦！ サービスへのアクセスを守る アクセスできる情報を制限 (制御)する
9. Copyright OpenID Foundation Japan - All Rights Reserved. 従業員のID管理がなぜ重要なの？ 業務システムに入るための鍵 オフィスに入るための鍵 リアル世界 デジタル世界
10. Copyright OpenID Foundation Japan - All Rights Reserved. 従業員のID管理がなぜ重要なの？ セキュリティリスクの低減 コンプライアンスと内部統制 (J-SOX法 等) 業務効率化と生産性向上 正しい利用者に、システムや情報を正しく利用させる役割
11. Copyright OpenID Foundation Japan - All Rights Reserved. 従業員のID管理がなぜ重要なの？ • 多要素認証の設定されていない 、業務委託先向けのアカウントや退職者のアカウ ントを踏み台として侵入 • 特権アカウントの不適切なパスワード を突いて侵入 • 強力な管理者向けツールの権限管理が行われておらず、全社員が利用可能な状 態となっていた 実際に起きた情報漏洩に潜んでいた、不適切な ID 管理の事例 不適切な ID 管理が、情報漏洩のキッカケ（踏み台）に 😱
12. Copyright OpenID Foundation Japan - All Rights Reserved. 従業員ID管理の歴史のおはなし
13. Copyright OpenID Foundation Japan - All Rights Reserved. 従業員ID管理の歴史のおはなし ▼ J-SOX 法施行 (‘08) 2000年 2010年 2020年 2014: OpenID Connect 2005: SAML 2.0 2012: OAuth 2.0 1999: Active Directory ▼ 不正アクセス禁止法施行 (‘00) オフィス勤務 リモートワーク ハイブリットワーク ▼ COVID-19 パンデミック (‘21) SaaS 普及期 スマートフォン 普及期 ブロードバンド 普及期 スマホやテレワーク・リモートワークの普及で SaaS の業務活用が急速に進行 セキュリティの守り方もネットワーク境界から ID ベースへ 2022: Passkey ゼロトラストの流行
14. Copyright OpenID Foundation Japan - All Rights Reserved. 従業員ID管理はどうやるべき？
15. Copyright OpenID Foundation Japan - All Rights Reserved. 従業員ID管理はどうやるべき？ 組織における ID 管理は、サービス向けとは異なる要件が存在する 登録 利用可能 利用不可 退会（削除） 自分で登録 入社に合わせて管 理者が登録 自分で情報を更新 昇進や部署異動、結 婚などと連動して管 理者が更新 違反行為や攻撃の疑 いなどによってアカウ ントを停止 休職などに伴い管理 者が一時的にアカウ ントを停止 自分で退会 退職に合わせて管理 者が削除処理を実施 サービス向け 組織向け → 利用者自身の行動によってライフサイクルイベントが発生 → 人事イベントによってライフサイクルイベントが発生
16. Copyright OpenID Foundation Japan - All Rights Reserved. 従業員ID管理はどうやるべき？ 組織としてのルールとプロセス策定（プロセスの整備）と、それらのシステム化・自動化 の両輪で考える必要がある [コラム] エンタープライズITのためのID管理を概観する (OpenID Foundation Japan) より引用 https://eiwg.openid.or.jp/columns/2018/08/13/id-management-in-enterprise.html ルール・プロセス整備 システム化 運用 正しい状態を定義 プロセスを システム化 問題点を 洗い出し
17. Copyright OpenID Foundation Japan - All Rights Reserved. 従業員ID管理はどうやるべき？ ルール・プロセス策定時は「予防的統制 」「発見的統制 」の違いを意識することが重要 見つけた違反をルールに フィードバック 予防措置を実施 ・モニタリング 予防的統制 抑止力として違反できなく すること 例） ・入社時にアカウントを作成、退職 時には削除 ・パスワードは8文字以上必須 発見的統制 違反したことに気づくための 仕組みや証拠 例） ・定期的に在籍者以外の ID がな いか棚卸し ・パスワードを間違えた回数を記録
18. Copyright OpenID Foundation Japan - All Rights Reserved. 従業員ID管理はどうやるべき？ プロセス策定時はいきなり完璧を目指さず、組織規模に合わせて出来ることから始めよ う 場当たり的な ID 発行・削除対応 ID 発行フローの定型化・ドキュメント化 ID管理の責任者の明確化 人事情報を Excel や CSV で連携 ID管理業務の自動化・システム化 ID作成フローの例
19. Copyright OpenID Foundation Japan - All Rights Reserved. 従業員ID管理はどうやるべき？ 参考）組織の規模によって目指すレベルの診断チャート（OIDF-J EIWG 作） https://eiwg.openid.or.jp/phase3/diagnostic_chart/ 出典: エンタープライズ ID 管理診断チャート(OIDF-J)
20. Copyright OpenID Foundation Japan - All Rights Reserved. 従業員ID管理はどうやるべき？ • SSO（シングルサインオン） • 1回の認証処理で、複数のシステムが利用可能となる仕組み • SSO を実現するプロトコルとして、OpenID Connect や SAML 2.0 と呼ば れる手法がある • 多要素認証（ MFA） • 複数の認証要素を組み合わせることで、より安全な認証を実現する考え方 • パスワード + ワンタイムコードや認証コード（TOTP）の組み合わせ、など • 最近はパスキーやデバイス証明書のような、利便性の高い方法もある ルールとプロセスをシステムに落とし込む時に、ポイントとなる技術キーワード
21. Copyright OpenID Foundation Japan - All Rights Reserved. 従業員ID管理はどうやるべき？ • プロビジョニング /デプロビジョニング • 人事マスタの社員情報が、業務システムに自動的に連携される仕組み • 登録・変更・削除のタイミングで自動同期することで漏れを無くす • SCIM 2.0 と呼ばれる標準仕様や、各サービスの独自APIを利用する • 監査ログ • システム上で起こった処理を記録する仕組み • SIEM のようなログを連携し統合管理する考え方が普及しつつある • ID 管理においては Shared Signal Framework のようなセキュリティイベ ントを自動通知する仕組みが存在 ルールとプロセスをシステムに落とし込む時に、ポイントとなる技術キーワード
22. Copyright OpenID Foundation Japan - All Rights Reserved. 従業員ID管理はどうやるべき？ システム化の理想：全てのシステムで、ID基盤と連携できている アカウント自動連携 （プロビジョニング） シングルサインオン アカウント自動連携 （プロビジョニング） 人事マスタ ID管理基盤 業務アプリ
23. Copyright OpenID Foundation Japan - All Rights Reserved. 従業員ID管理はどうやるべき？ 現実：そうは問屋が卸さない 一部のシステムだけ、システム連携が出来ている状態 アカウント自動連携 （プロビジョニング） アカウント自動連携 （プロビジョニング） 人事マスタ ID管理基盤 シングルサインオン 人事マスタが連携機能 を持っていない 退職者のアカウントを前 提とした業務 SSOやプロビに非対応 or エンプラ契約限定 現場で勝手に契約した SaaS (シャドーIT) 共有アカウントや 情シス管理外のアカウント 業務アプリ 野良業務アプリ
24. Copyright OpenID Foundation Japan - All Rights Reserved. 従業員ID管理はどうやるべき？ リスク管理の例 システム化出来るところ・出来ないところを見極めて、出来ないところはリスク低減策を 考えることが大切 リスク 低減策 人事マスタでは正社員のみ管理し、派遣やアルバイトは別台帳管理 • 作成は手動で行い、削除は定期的な棚卸しを行う • 必要最小限の権限のみ割り当て、侵害リスクを低減 SSO 連携に対応しないシステムが混在 • パスワードマネージャーを導入し、簡単なパスワードを設定しない ようにする 特定のアカウントを複数人で共有利用する必要がある • 利用者を台帳管理し、退職者が発生するたびにパスワードを変更 する • MFAを導入し、パスワードだけでログインできないようにする • PCのログなどから利用者を追跡できるようにする シャドーITが横行し管理が行き届かない • 情報セキュリティルールによって統制を図る • シャドーITを検知できるSaaS管理系のサービスを導入し、実態を 把握する
25. Copyright OpenID Foundation Japan - All Rights Reserved. 従業員ID管理はどうやるべき？（おまけ） • IPSIE（Interoperability Profile for Secure Identity in the Enterprise） • エンタープライズ（企業利用）におけるID管理の相互運用性とセキュリティを強化 するための標準化ガイドライン（プロファイル） • 相互運用性の向上と Secure by Design、一貫したユーザー管理の実現を目指 す • SSO、ライフサイクル管理、Entitlements、リスク共有、Logout / Token Revocation の各観点でプロファイルの定義を行う OpenID Foundation では、SSO やプロビジョニング設定の簡易化・共通化のための仕 様策定も進んでいる
26. Copyright OpenID Foundation Japan - All Rights Reserved. まとめ 会社の資産を守るために、正しく ID 管理のできる情シスになろう！ 設計 ルールとプロセス を整備 実装 ルールを実現する システムを構築 運用 組織の変化に合わせた 見直し（棚卸し）
27. Copyright OpenID Foundation Japan - All Rights Reserved.