Enterprise アクセス モデル

このドキュメントでは、 特権アクセス戦略 がどのように適合するかのコンテキストを含む、全体的なエンタープライズ アクセス モデルについて説明します。 特権アクセス戦略を採用する方法のロードマップについては、 迅速な最新化計画 (RaMP) を参照してください。 これをデプロイするための実装ガイダンスについては、「特権アクセスのデプロイ」を参照してください。

特権アクセス戦略は、エンタープライズ アクセス制御戦略全体の一部です。 このエンタープライズ アクセス モデルは、特権アクセスが全体的なエンタープライズ アクセス モデルにどのように適合するかを示します。

組織が保護する必要があるビジネス価値のプライマリ ストアは、Data/Workload プレーンにあります。

Data/workload plane

通常、アプリケーションとデータには、組織の大部分が格納されます。

  • アプリケーションとワークロードのビジネス プロセス
  • データとアプリケーションの知的財産

エンタープライズ IT 組織は、オンプレミス、Azure、またはサード パーティのクラウド プロバイダーを問わず、ホストされているワークロードとインフラストラクチャを管理およびサポートし、 管理プレーンを作成します。 企業全体でこれらのシステムに一貫したアクセス制御を提供するには、一元化されたエンタープライズ ID システムに基づく コントロール プレーン が必要です。多くの場合、運用テクノロジ (OT) デバイスなどの古いシステムのネットワーク アクセス制御によって補完されます。

Control, management, and data/workload planes

これらの各プレーンは、その機能によってデータとワークロードを制御し、攻撃者がいずれかの平面を制御できる場合に悪用する魅力的な経路を作成します。

これらのシステムがビジネス価値を生み出すには、ワークステーションまたはデバイス (多くの場合、リモート アクセス ソリューションを使用) を使用して、内部ユーザー、パートナー、および顧客がアクセスできる必要があります。 ユーザー アクセス 経路が作成されます。 また、プロセスの自動化を容易にし、アプリケーション アクセス 経路を作成するために、アプリケーション プログラミング インターフェイス (API) を介してプログラムで頻繁に利用できる必要があります。

Adding user and application access pathways

最後に、これらのシステムは、IT スタッフ、開発者、または組織の他のユーザーによって管理および管理され、 特権アクセス 経路を作成する必要があります。 組織内のビジネス クリティカルな資産に対して提供される制御のレベルが高いため、これらの経路は侵害から厳しく保護する必要があります。

Privileged access pathway to manage and maintain

生産性を高め、リスクを軽減する一貫したアクセス制御を組織内に提供するには、次のことを行う必要があります。

  • すべてのアクセスにゼロ トラスト原則を適用する
    • 他のコンポーネントの違反を想定する
    • 信頼の明示的な検証
    • 最小特権アクセス
  • 全体にわたる広範なセキュリティとポリシーの適用
    • 一貫性のあるポリシー アプリケーションを確保するための内部アクセスと外部アクセス
    • ユーザー、管理者、API、サービス アカウントなど、すべてのアクセス方法。
  • 承認されていない特権エスカレーションを軽減する
    • 階層を強制する - 下位プレーンからの上位プレーンの制御を防ぐ (攻撃または正当なプロセスの悪用を介して)
      • コントロール プレーン
      • 管理プレーン
      • データ/ワークロード プレーン
    • 不注意なエスカレーションを可能にする構成の脆弱性を継続的に監査する
    • 潜在的な攻撃を表す可能性のある異常を監視して対応する

従来の AD 層モデルからの進化

エンタープライズ アクセス モデルは、オンプレミスのWindows Server Active Directory環境で権限の未承認エスカレーションを含むという点に重点を置いていたレガシ 層モデルに置き換えられ、置き換えられます。

Legacy AD tier model

エンタープライズ アクセス モデルには、これらの要素と、オンプレミス、複数のクラウド、内部または外部のユーザー アクセスなどに及ぶ最新のエンタープライズのフル アクセス管理要件が組み込まれています。

Complete enterprise access model from old tiers

階層 0 のスコープ拡張

階層 0 はコントロール プレーンになるように拡張され、従来の OT オプションなどの唯一/最適なアクセス制御オプションであるネットワークを含め、アクセス制御のすべての側面に対応します。

階層 1 分割

明確さと操作の容易性を高めるために、レベル 1 は次の領域に分割されます。

  • 管理プレーン – エンタープライズ全体の IT 管理機能用
  • データ/ワークロード プレーン – ワークロードごとの管理用です。これは、IT 担当者が実行する場合もあれば、ビジネス ユニットによって実行される場合もあります。

この分割により、ビジネスクリティカルなシステムと、本質的なビジネス価値が高く、技術的制御が制限されている管理上の役割を保護することに重点が置かれています。 さらに、この分割は、開発者やDevOps モデルに対応する方が優れています。従来のインフラストラクチャ ロールに重点を置きすぎています。

階層 2 分割

アプリケーション アクセスとさまざまなパートナーおよび顧客モデルのカバレッジを確保するために、階層 2 は次の領域に分割されました。

  • ユーザー アクセス - すべての B2B、B2C、パブリック アクセスのシナリオを含む
  • アプリ へのアクセス – API アクセス経路と結果として生じる攻撃面に対応する

次の手順