サイバー攻撃が増加する中、特権管理の重要性が再認識されている

様々なサイバー攻撃の中でも特に最近インシデントとして多く報道されているのが、「アカウント乗っ取り・なりすまし」によるリモート環境から本社の重要システムに不正侵入するケースだ。ベンダーの作業者や子会社従業員などのアカウントを不正に入手してなりすまし、リモートで特権システムへ入り込むといった手法が増加している。

そのアカウント乗っ取りなどに有効な対策が「特権ID管理」である。特に外部事業者による自社の重要システムへのリモートアクセスと作業の可視化は、セキュリティ対策の要として業界業種問わず再認識されている。

社外からのリモートアクセスを制御するPRA

一般的に社内向けの特権管理といえば「PAM（Privileged Access Management）」が広く知られているが、近年では重要なシステムへのリモートアクセスをセキュアに保つ仕組み「PRA（Privileged Remote Access）」という考え方が広まっている。PAMのリモートアクセスに特化した機能を提供しており、例えば外部委託業者がリモートで行う作業内容の制御やアクセス時間の制限が可能だ。2024年にGartnerが、この領域をRPAM（Remote Privileged Access Management）という定義でソリューションの重要性を提示するなど、セキュリティ業界では注目度が上昇している。

IIJのエキスパートプログラムマネジャー・近藤は「外部の委託先事業者が保守などの目的で社内システムにアクセスするのがどの業界でもある現在、外部事業者のリモート経由の作業の可視化・制御・管理をどうすべきかは、よくある課題として挙げられます」と、現場で感じてきた多様な企業で共通の課題感を振り返る。

そうしたリモートアクセスの権限管理に特化した仕組みがPRAである。従来のPAMが社内のID管理・保護を目的にしているのに対して、PRAは主に業務委託先・子会社・海外現地法人といった社外の関係者の管理に特化している。

「外部事業者が自社システムにアクセスする際、内部の社員とは認証フローが異なります。業務に関しても“特定のシステムへの特定の作業”に限定する必要があり、作業時間帯の管理が求められます」と近藤が語るように、社外関係者特有の特権管理にはPRAが最適といえる。

社内外の特権管理の構築には2通りある

社外からのリモートアクセス管理の必要性が出てきた現在、特権管理の実現には主に2通りの選択肢がある。

方法1：PAMとPRAを同じシステムで構築する

特定のセキュリティベンダーのソリューションではPAMとPRAの両方を実現することができる。PAMにオプション機能としてPRA のような仕組みを追加契約し、同一プラットフォームまたは統合されたシステム上で効率的に併用・管理する。

同一思想・管理体系で機能モジュールを積み上げられる一方、社内外の関係者を共通の認証基盤で管理するのはリスクが伴う。ポリシー設定においても、立場に応じた設定が必要なため工数がかかってしまう。

また、各ベンダーがメインである社内向けのPAMに、外部向けのコンポーネントを追加するため、コストが比較的高くなるのも留意が必要だ。

方法2：PAMとPRAを別のシステムで構築する

PAMとPRAを異なる環境で構築する方法もある。PAMとPRAを別々のベンダーと契約し、異なった管理体系で運用する。複数のベンダーを選定する工数がかかるものの、社内外で関係者を分けて管理することで、外部事業者に特化したポリシー適用・制御設定が可能だ。

近藤は「”PAMとは独立したシステムでPRAを構築したい”というお客様の声は増えています。管理が煩雑になりがちな同一の基盤での管理は避けて、外部事業者は分離して管理した方が安全上望ましいということです」と語る。

IIJ Safousはリモートアクセスをどのように制御するのか

業界問わずサプライチェーンが複雑化している中、PAMと別立てでPRAを構築して外部からのリモートアクセスを細かく制御するメリットは大きい。IIJが提供する「IIJ Safous」はPRA機能を有するサービスだが、どのようにしてリモートアクセスを制御するのだろうか。

MFA・レコーディング機能など豊富な制御機能

IIJ Safousは外部のリモートアクセスを制御・監視する機能を有している。以下はその代表的なものであり、不正アクセスの防止・インシデント時の追跡や検証を行える体制が整えられる。

近藤は「競合のソリューションと比べても必要な機能は網羅しています。PRAとしての制御・監視機能をオールインワンで提供するサービスです」と語る通り、本サービスであれば製造業やITサービス業をはじめ様々な業界業種で活用できる。