＜NSAとCISAが考える、IAM（アイデンティティ＆アクセスマネジメント）はこうしろ！1/3＞

頑張ってキャッチ―なタイトルにしてみましたが、今回は2023年3月に、主にNSAとCISAから発行されている「Identity and Access Management Recommended Best Practices Guide for Administrators」というガイドラインについて、前編と後編に分け、限界までかみ砕いて解説をしていきたいと思います(^^♪

いきなりですが、このガイドライン、初っ端から名前が長くて分かりにくい・・・

なので、

「世界的に有名なセキュリティ機関様が出しているIDとアクセス管理のお手本」

ぐらいに読み替えて頂ければと思います。

そしてこの「お手本」を参考して対策を行っていくことで、様々なサイバー攻撃手法がある中でも、ほぼ間違いなく、どのサイバー攻撃でも悪い奴に悪用される「ID」及びそれを使った「アクセス（不正なアクセス）」を防いだり、悪用されても影響を最小限にすることができるわけです。（もちろん、ちゃんとやれば。ですが・・・）

前置きはこれくらいにして、早速中身に入っていこうと思います。

はじめにこの「お手本」の全体構成を見ていきます。読んでみると、それっぽいことが長々と書かれていますが、重要なポイントは以下の5つとなっています。

①Identity governance

②Environmental hardening

③Identity federation/single sign-on

④Multifactor authentication

⑤IAM auditing and monitoring

尚、次回以降、①～②、③～⑤に分けて、少し詳し目に説明をして行きたいと思いますが、読んだ感想としては、以下のような感じでした（笑）

※個人の感想が多分に入っているので、悪しからず・・・

①はIAMに限らず、ルールを作り、守っていくことの重要性（←でしょうね！的な内容）

②は悪さをする奴の仕事をやりにくくすることの重要性（←あ～、そこも大事だね！気づかさせてくれてありがとう！な内容）

③＋④はボリュームが最も多く、IAMにおけるSSOやMFAの重要性（←ちょっと、読むの大変で分かりにくいんですけど。な内容）