データアクセスガバナンス：誰がどのデータにアクセスできるかを制御し、証明する

データアクセスガバナンスとは

2025年後半、攻撃者は信頼されていたアプリから盗んだOAuthトークンを使い、約1か月にわたってSalesforceの顧客データを読み取りました。システムへの侵入は不要でした。アプリに必要な範囲を大きく超えるアクセス権がすでに存在し、誰も取り消していなかったのです。現在FINRAは、連携アプリには必要なアクセス権だけを付与するよう企業に求めています。

データアクセスガバナンスは、こうしたアクセス権がそもそも存在しないようにする仕組みです。どのアイデンティティがどのデータにアクセスできるかを決め、その判断を適用し、長期にわたって適切に保たれていることを証明するためのポリシーと運用上の管理策を指します。

データはオンプレミスシステム、クラウドオブジェクトストア、SaaSプラットフォームに分散しています。人にもマシンにも権限が蓄積され、取り消されることはまれです。放置すれば、アクセス権は過剰に付与された状態へと変化します。この変化を抑えることが、データアクセスガバナンスの役割です。だからこそ、セキュリティプログラムの中核を担います。

データアクセスガバナンスとサイバーセキュリティの関係

データアクセスガバナンスは、通常は別々に運用される2つの領域を結び付けます。 アイデンティティとアクセスの管理（IAM）とデータセキュリティです。IAMは利用者の身元を確認し、保有する認証情報を管理します。データアクセスガバナンスは、IAMだけでは答えられない問いに対応します。このアイデンティティは特定のデータにアクセスすべきか。そのアクセスが今も正当であると証明できるか。データの分類、ポリシー、継続的な検証、アクセス権の再認証、監査を通じて答えを出します。

アクセス要求ごとに正当性を確認することが、データアクセスガバナンスをゼロトラストの基盤にします。ゼロトラストでは、ネットワーク上の場所や過去の信頼関係にかかわらず、すべてのアクセス要求を検証します。これはNIST SP 800-207で定義されています。以下の構成要素が、この原則を日々の運用へとつなげます。

データアクセスガバナンスの仕組み

データアクセスガバナンスは、いくつかの中核的な要素を組み合わせた継続的なサイクルです。以下の各段階でそれぞれの要素を活用し、データ、アイデンティティ、ビジネス要件の変化に合わせてサイクルを繰り返します。

1.データの検出と分類

見つけられず、ラベルも付けられないデータは管理できません。SaaSプラットフォームやクラウドオブジェクトストアを含む、オンプレミスとクラウド環境全体のデータを把握します。次に、規制要件とビジネス上の分類体系に沿った、永続的で機械可読な機密度ラベルを適用します。 データ分類が最初のステップです。データを識別できなければ、どの管理策もポリシーを適用できません。

2. アイデンティティと現在のアクセス権を把握する

分類した各データセットにアクセスできる、人と人以外のすべてのアイデンティティを把握します。ユーザーアカウント、サービスアカウント、APIキー、OAuthトークン、AIエージェントが対象です。それぞれが現在アクセスできる範囲を記録します。 Singularity™ Identityはこの一覧を作成し、人と人以外のアカウントを継続的に可視化します。この基準情報が、ポリシーの適用とアクセス権の再認証の判断基準になります。

3. アクセスポリシーを定義する

どのロール、属性、条件を満たすアイデンティティにアクセスを認めるか、機械的に適用できるルールを定めます。基本的なアクセス権には ロールベースのアクセス制御（RBAC）を使用します。デバイスのセキュリティ状態、場所、時間帯などの状況に応じた調整には属性ベースのアクセス制御（ABAC）を使用します。また、職務を分離し、1つのアイデンティティに相反する権限が集中しないようにします。

4. 最小権限を付与・適用する

原則としてアクセスを拒否し、正式な承認手続きを通じて各アイデンティティに必要最小限の権限だけを付与します。特権を要するデータや管理操作には、自動的に期限が切れる時限的な権限昇格やジャストインタイムの権限昇格を使い、すべての特権セッションを記録します。既存のアクセス権が今も正当であることの確認も、この段階に含まれます。

5. アクセスを継続的に検証する

最初にアクセスを許可した後も含め、アクセスのライフサイクルのあらゆる段階で認可を検証します。NIST SP 800-207はこれを、アクセス、脅威評価、適応、信頼の再評価を常に繰り返すサイクルと説明しています。 

通常と異なるデータ量や想定外の場所からのアクセスなど、異常なパターンを監視します。特に権限昇格を伴う場合は注意が必要です。特権アカウントとサービスアカウントには、より厳格な管理策を適用します。 CISAの成熟度モデルは、セッション全体を通じて、各ユーザー、デバイス、アプリケーション、トランザクションを継続的に検証するよう求めています。

6. レビュー、再認証、監査を実施する

定められた周期でアクセス権をレビューし、個人単位で権限を調べます。これにより、ロールに長期にわたって蓄積された権限を見つけられます。退職、役割の変更、ワークロードの廃止から数時間以内にアクセス権を取り消します。また、権限の付与、変更、再認証に関するすべての判断について、完全かつ一元化された監査証跡を保持します。監査で得た知見を検出と分類に反映します。そこでサイクルが完結し、再び始まります。

強固なデータアクセスガバナンスがもたらす成果

このライフサイクルを一貫して運用すれば、セキュリティ態勢、監査結果、チームの日々の業務に測定可能な成果が表れます。

• 最小権限の徹底と被害範囲の縮小。 各アイデンティティに必要なアクセス権だけを与えることで、アカウントが侵害されても、アクセスできるデータセットは限られます。 最小権限の原則を徹底することで、影響をその範囲に抑えられます。
• より迅速で明確な監査。 アクセスの判断、権限の変更、再認証の記録を完全に残すことで、手作業で履歴を再構築せずに監査人へ必要な証拠を提示できます。
• 内部リスクと意図しないデータ露出の低減。 体系的な権限付与と定期的な再認証により、不要になったアクセス権や過剰なアクセス権を、インシデントにつながる前に解消します。
• 円滑な役割変更。 入社、異動、退職時の正式な手続きにより、異動中の権限の蓄積を防ぎ、退職後は速やかにアクセス権を取り消します。
• ゼロトラストの基盤。 リクエストごとの認可、継続的な検証、デフォルト拒否の適用により ゼロトラストの原則を日々の運用に取り入れます。

こうした成果は、プログラムが設計どおりに運用されることが前提です。実際には、繰り返し生じるいくつかの状況がその妨げになります。

データアクセスガバナンスが機能しなくなる要因

十分な能力とリソースを持つチームでも、データアクセスガバナンスの維持に苦労することがあります。問題が起きる原因は、多くの場合、いくつかの構造的な条件と回避可能な判断にあります。

アクセス権の無秩序な拡大と過剰な付与

権限は、役割の変更、プロジェクトでの付与、取り消されない緊急アクセスを通じて蓄積します。所有者のいないアカウントも、数か月から数年にわたり残り得ます。「業務を妨げないため」に広範なアクセス権を付与すると、その権限が無期限に残り、問題は悪化します。広範な権限を持つ管理者アカウントとサービスアカウントは、特にリスクの高い権限となります。

ツールとデータを横断した可視性の不足

シャドーデータは、分類プログラムの対象にならないまま、クラウドアカウントやコラボレーションツール全体に広がります。サービスアカウント、APIキー、AIエージェントなどのマシンIDも増加しています。人間のユーザー向けに構築されたID管理プログラムでは追跡を想定しておらず、十分に統制されていません。

特権アクセス管理、IDガバナンス、クラウドのセキュリティ態勢、SIEMツールは、それぞれ権限の一部しか把握していません。全体像を示せる単一のシステムはありません。

プロセスと責任体制の不備

チームは認可を一度きりの付与として扱い、役割やデータの機密性が変わっても見直しません。しかし、 NIST SP 800-53では、組織が定めた頻度でアカウントを見直すよう求めています（管理策AC-2）。 

レビューでは、各役割に付与される実際の権限を調べず、役割単位で形式的に承認されます。退職後もアクセス権が数週間残り、保護対象のデータを分類する前にガバナンスツールを購入する組織もあります。セキュリティ、IT、事業部門を横断してプログラムに責任を持つ担当がいなければ、ポリシーの意図と日々の運用は乖離します。 

どれも解決可能です。挙げた項目はすべて見直せる設計上の選択です。責任者を決め、ツールの購入前にデータを分類し、役割ではなく権限をレビューしてください。

データアクセスガバナンスによる規制遵守

広く採用されている6つのフレームワークは、具体的なデータアクセスガバナンス管理策を求めています。業界や管轄区域は異なっても、要件は共通です。必要な人に限ったアクセス権の付与、定期的または継続的なアクセスレビュー、監査可能な証拠の3つです。

AIエージェントや人間以外のIDが増えるにつれ、アクセスガバナンスに対する規制当局の関心は人間のユーザー以外にも広がっています。SentinelOneは、ID、データ、調査のワークフロー全体でこれらの管理策を強化します。

組織全体のアイデンティティリスクを軽減

Active DirectoryとEntra IDの総合的なソリューションにより、リアルタイムで攻撃を検知し、対応します。

デモを見る

SentinelOneでデータアクセスガバナンスを強化

ガバナンスは、誰にデータへのアクセスを認めるべきかを決めます。制御の適用は、実際に誰がアクセスできるかを決めます。SentinelOneは、アクセス方針、制御モデル、分類プログラムを、 ID脅威防御、継続的なアクセス検証、データの可視化、調査機能を備えた Singularity Platformで支えます。

• 誰がアクセスできるか（アイデンティティ）。 Singularity Identityは、単一の軽量エージェントで、すべてのエンドポイントとアイデンティティを可視化します。Active Directory、Microsoft Entra ID、Okta、Ping、SecureAuth、Duo全体で、セッションのブロックとMFAによる再認証を通じ、ポリシーに基づく条件付きアクセスを適用します。認証情報の窃取や権限昇格が発生すると、その活動を検出し、横方向の移動を阻止します。
• どのデータにアクセスできるか。 Singularity Cloud Securityは、Amazon S3、Azure Blob Storage、Google Cloud Storageを含むクラウドのオブジェクトストレージ全体から機密データを検出します。規制対象データを保持するストレージを可視化し、アクセスガバナンスを支えます。
• 調査の進め方。 Purple AIは、ネイティブおよびサードパーティのソースから正規化されたデータを自然言語で検索します。新たなクエリスキーマを覚える必要はありません。 IDCの調査では、Purple AIの顧客は脅威の特定にかかる時間を63%短縮し、平均対応時間を55%短縮しました。より長期の保存と広範な分析には、 Singularity Data Lakeが、ペタバイト規模のデータレイク上でクラウドネイティブのSIEMを稼働させます。Open Cybersecurity Schema Framework（OCSF）による正規化を使用し、あらゆるソースからリアルタイムでデータを取り込みます。

SentinelOneのデモをリクエストして、これらの機能が貴社のアクセスガバナンスプログラムにどう役立つかをご確認ください。

ツアーを見る

ハイブリッド環境全体でリアルタイムのアイデンティティ保護とエンドツーエンドの可視性を実現し、露出の検出、認証情報の悪用防止、アイデンティティリスクの低減を行います。

重要なポイント

データアクセスガバナンスは、どのアイデンティティがどのデータにアクセスできるかを制御し、その判断を適用して、監査担当者や経営層に必要な証拠を提供します。アクセス権は時間とともに蓄積します。そのため、最小権限を維持するには、発見と分類から検証、アクセス権の再認定、監査まで、ライフサイクル全体を通じて継続的に適用する必要があります。 

マシンアイデンティティにも、人間のアイデンティティと同じ厳格な管理が必要です。まず、リスクの最も高いデータを分類します。アクセスはデフォルトで拒否し、継続的に検証して、すべての判断について監査可能な記録を残します。そうすれば、「誰がこのデータにアクセスできるか」を確認するために大規模な調査を行う必要はありません。簡単に確認できます。