エンタープライズ ID 連携トラストフレームワークにおけるポリシーのあり 2014 年 1 月 29 日 アイデンティティ管理 WG
本 のセッション内容 1. エンタープライズ市場での認証基盤システム概要 2. エンタープライズ市場での認証基盤整備 的の変化 3. 運 管理ポリシーの説明先 4. トラストフレームワーク 5. ポリシーを主張することでトラストを築く 6. ID 情報の正当性を保つための要素本 のパネルテーマパネルディスカッション
モデレーター / パネリスト モデレータ : アイデンティティ管理 WG リーダー 宮川晃 ( 本ビジネスシステムズ株式会社 ) パネリスト : 南芳明 ( 株式会社シマンテック ) 富 榮尚寛 ( 伊藤忠テクノソリューションズ株式会社 ) 中島浩光 ( 株式会社マインド トゥー アクション ) 江川淳 ( エクスジェン ネットワークス株式会社 )
1. エンタープライズ市場での認証基盤システム概要 源泉情報 運 統合 IDM 連携 ID 情報マスター ( 認証サーバ ) SSO 3
1. エンタープライズ市場での認証基盤システム概要 クラウド利 / フェデレーションの認証利 で対応 源泉情報 運 統合 IDM 連携 ID 情報マスター ( 認証サーバ ) IdP SSO Cloud service SP 4
2. エンタープライズ市場での認証基盤整備 的の変化 2002 認証 ID 管理の効率化 時代 クライアント サーバシステムの増殖 認証 ID 管理 パスワードメンテの煩雑性顕著に 2002 2006 セキュリティ強化 時代 2003 2004 個 情報保護法 顧客情報漏えい事件多発 5
2. エンタープライズ市場での認証基盤整備 的の変化 2006 2011 統制強化 時代 2006 J-SOX( 融商品取引法 ) Compliance 2009 リーマンショック IT 統制未対応 2010 Compliance is dead. 多様なステークホルダーの存在 Accountability 2011 オリンパス事件 Transparency 6
2. エンタープライズ市場での認証基盤整備 的の変化 2012 クラウド利 時代 クラウドビジネスの興隆 クラウド利 普及前夜 クラウドサービス利 企業 クラウドサービス提供企業 認証 ID 管理の効率化 セキュリティ強化 クラウド利 ライセンス管理 フェデレーション対応の裏付け 透明性確保 (IT 統制必須 ) 7
2. エンタープライズ市場での認証基盤整備 的の変化 クラウド利 ライセンス管理 源泉情報 ID 情報メンテナンス メンテナンス 時の記録 運 統合 IDM 連携 ID 情報マスター ID 情報 ( 識別 ) フ ロヒ シ ョニンク ライセンス付与とはく奪 IdP SSO ライセンス管理 Cloud 課 処理 service SP 8
2. エンタープライズ市場での認証基盤整備 的の変化 フェデレーション対応の裏付け 源泉情報 ID 運 管理が適切に実施 運 統合 IDM 連携 ID 情報マスター 認証処理が委譲される IdP SSO サービス提供側で認証しない Cloud service SP 認証結果を信じる 9
2. エンタープライズ市場での認証基盤整備 的の変化 クラウド利 時代 は ID 運 管理が適切に実施 されている 必要があり そのために 認証基盤を整備 する 誰が必要としているのか 情報共有相 何を以て適切と判断するのか 運 管理ポリシーに沿った ID 運 管理システム 10
3. 運 管理ポリシーの説明先 密結合完結時代 従業員 P 認 ID 情報マスタ DB 認証密結合 IT 部 管理者 ID Active Directory ファイルサーバ RDB 業務システム ID 情報 DB 運 管理ポリシー 密結合完結時代 J-SOX 企業 ( 統制説明先 ) 株主様 11
3. 運 管理ポリシーの説明先 SaaS による情報共有 従業員 P IT 部 管理者 認 ID 情報共有企業 A ID 情報マスタ DB Active Directory IdP CSV RDB LDAP 認証 = 疎結合フェデレーション トラスト共有 A ( 統制説明先 ) 共有 B 共有 B ( 統制説明先 ) 共有 A 情報共有相 の ID 運 管理 (ID の正当性 ) を信頼する 従業員 P IT 部 管理者 認 ID 情報共有企業 B IdP ID 情報マスタ DB Active Directory CSV RDB LDAP RP ID 情報 SaaS 共有情報 GoogleApps salesforce.com Office365 12
3. 運 管理ポリシーの説明先 プライベートクラウドによる情報共有 従業員 P IT 部 管理者 認 ID 情報共有元企業 ID 情報マスタ DB Active Directory IdP CSV RDB LDAP 認証 = 疎結合フェデレーション トラスト共有元 ( 統制説明先 ) 共有先 情報共有元の ID 運 管理 (ID の正当性 ) を信頼する 従業員 P IT 部 管理者 認 ID ID 情報マスタ DB Active Directory 情報共有先企業 CSV CSV RDB RP ID 情報 プライベートクラウド 共有情報 13
3. 運 管理ポリシーの説明先 密結合 & 疎結合時代 従業員 認証密結合 P IT 部 管理者 認 ID ID 情報マスタ DB Active Directory ファイルサーバ IdP LDAP IdP 認証サーバ RDB 業務システム ID 情報 DB 認証疎結合 認証疎結合 情報共有 RP GoogleApps salesforce.com Office365 プライベートクラウド RP 運 管理ポリシー 密結合 & 疎結合時代 トラスト企業 ( 統制説明先 ) 共有相 J-SOX 企業 ( 統制説明先 ) 株主様 14
4. トラストフレームワーク 基本モデル Policy Maker ( ポリシー策定者 ) 認定 契約 Trust Framework Provider ( トラストフレームワーク提供者 ) 認定 契約 Identity Provider 認証 利 者 監査 監査 LoA LoP Relying Party 利 15
4. トラストフレームワーク 学認モデル Policy Maker ( ポリシー策定者 ) ICAM 契約 認定 OIX 学認 (NII) Trust Framework Provider ( トラストフレームワーク提供者 ) 認定 契約 学 Identity Provider 認証利 者先 / 学 監査 監査 LoA LoP Relying Party PubMed 利 16
4. トラストフレームワーク エンタープライズモデル 共有元 契約 Identity Provider (Supply chain user) 認証 利 者従業員 Policy Maker ( ポリシー策定者 ) Trust Framework Provider ( トラストフレームワーク提供者 ) 監査 第三者機関認定なし 認定 監査 LoA LoP 共有先 (Supply chain user) 契約 情報オーナー (Supply Relying chain owner) Party SaaS 利 業者 17
5. ポリシーを主張することでトラストを築く IDM-WG の検討内容として エンタープライズ市場のトラストフレームワークにおいて第三者機関が存在しない状態で フェデレーションを利 して情報を共有する場合 IdP での適切な認証とアクセス制御が維持されていると主張できるポリシーの要点をまとめる 共有元 弱 情報オーナー & 共有先 強 ポリシーを主張することでトラストを築く 弱 強 ポリシーの強要 ( ポイント ) 1. 多額の投資や多くの運 負荷がかからないReasonableなレベル 2. 以下の規定を参考にして良いとこ取りをする 1 学認運 規定 2PCIDSS (Payment Card Industry Data Security Standard) 3FISC (Center for Financial Industry Information Systems) 4SYMANTEC PKI CP/CPS 18
6. ID 情報の正当性を保つための要素 ID 体系の定義 ポリシーとシステム 適切なアクセス制御の維持 認証システム アクセス制御システム パスワードポリシー 認証ポリシー アクセス制御ポリシー 利 者の特定 引き渡し 続きポリシー ID 情報 DB ID 情報 DB RP 事システム 事情報 DB ID 管理システム ID 情報マスター DB ID 管理システム ID 情報 DB IdP ID ライフサイクル管理ポリシー プロビジョニングポリシー ID 管理システム ID 情報の鮮度維持 19
パネルディスカッションテーマ 1. エンタープライズ間で ID 連携を うときの問題点とは具体的なケースとして アクセス権限を維持するには エンタープライズ IT における適切な ID の引き渡し 2. トラストポリシーを内部統制モデルとして解説トラストの構成要件とそれにもとづく統制活動とは
トラストポリシーを内部統制モデルとして解説したら IDP 人 組織 ID 管理業務 ( ライフサイクル管理 ) ID 管理システム ID 管理アプリケーション システム基盤 ID 情報マスター DB 全社統制 組織体制 職務分掌 全社規程 教育 業務処理統制 権限分割 業務処理中での承認 リスクに応じた統制業務 アプリケーション統制 入力チェック アプリケーション機能 IT 全般統制 システム基盤 運用での統制活動 IT 運用管理業務
トラストの構成要件とそれにもとづく統制活動とは トラスト = 望ましい状態 = NOT( 望ましくない状態 ) = NOT( リスクが きい状態 ) どのようなリスクがトラストの何 ( 構成要件 ) を侵すのか また それをどう防ぐのか ( 統制活動 ) トラストの構成要件 ( 一部 ) リスク統制活動 ID 有効性 IDが有効なIDであること 期限切れIDの利用 退職者 IDの利用 ID 本人到達性 ID 利用者認証 ID が表す本人を唯一に特定可能であること ID の利用者が本人であること 行為者が分からない例 ) 請求先が不明になる ID の利用時の成りすまし ID のライフサイクル管理 ID 登録 発行手順 認証方式