1. ISO 27001とは——情報セキュリティの国際規格
ISO/IEC 27001は、情報セキュリティマネジメントシステム（ISMS）に関する国際規格です。組織が情報を適切に守るための「仕組み（マネジメントシステム）」を構築・運用するための要求事項を定めており、この規格に基づくISMS認証（ISO 27001認証）は、情報セキュリティに取り組んでいることを客観的に示す、世界共通の証明として広く使われています。
日本でも多くの企業がISO 27001認証を取得しており、取引の条件として求められることも少なくありません。この規格は、リスクアセスメントに基づいて必要な対策（管理策）を選び、実施し、継続的に改善していくことを求めます。そして、その管理策を示した「附属書A」の中で、ID・アクセス管理は重要な位置を占めています。2022年に改訂された最新版では、管理策が整理・再構成され、より現代的な内容になりました。本記事では、ISO 27001が求めるID管理のポイントを解説します。
「規格の番号」より「求めていること」を理解する
ISO 27001の管理策には、それぞれ番号が振られています。しかし実務で大切なのは、番号を暗記することではなく、「規格が何を求めているか」という趣旨を理解し、それを自社で実現することです。本記事でも、細かな番号よりも、求められている内容の理解に重点を置いて解説します。
2. なぜID管理がISO 27001で重視されるのか
ISO 27001がID・アクセス管理を重視するのは、それが情報を守るための最も基本的な仕組みだからです。どんなに立派なセキュリティ対策を並べても、「誰が・どの情報にアクセスできるか」が適切に管理されていなければ、情報は守れません。
考えてみてください。機密情報に、権限のない人が自由にアクセスできる状態では、その情報は守られているとは言えません。退職した人のアカウントが生きていれば、そこから情報が漏れるかもしれません。誰が何にアクセスしたか記録されていなければ、問題が起きても追跡できません。ID・アクセス管理は、情報セキュリティのまさに土台なのです。だからこそISO 27001は、この分野に複数の具体的な管理策を設けています。
3. ISO 27001が求めるID・アクセス管理の管理策
ISO 27001（2022年版）の附属書Aは、ID・アクセス管理に関して、次のような趣旨の管理策を求めています。番号ではなく「何を求めているか」で整理します。
| 管理策の趣旨 | 求められていること |
|---|---|
| アクセス制御の方針 | 情報へのアクセスをどう制御するか、組織としての方針を定める |
| アイデンティティ（ID）の管理 | 利用者のIDを、発行から廃止まで適切に管理する |
| 利用者アクセスの管理（プロビジョニング） | アクセス権の付与・変更・削除を、正しい手続きで行う |
| 特権アクセス権の管理 | 管理者権限など強い権限を、特に厳格に管理する |
| 情報へのアクセス制限 | 必要な人だけが必要な情報にアクセスできるようにする（最小権限） |
| 認証情報の管理 | パスワードなどの認証情報を、適切に管理・保護する |
| セキュアな認証 | アクセスの前に、確実な認証を行う（次章で詳述） |
これらを見ると、ISO 27001が求めているのは、実はID・アクセス管理のごく基本的な事柄だと分かります。IDを適切に管理する、アクセス権を正しく付与・削除する、特権を厳格に扱う、必要な人だけにアクセスを許す、認証を確実に行う——これらは、これまでの記事でも繰り返し述べてきたID管理の原則そのものです。ISO 27001は、こうした原則を「組織として、仕組みとして」実践することを求めているのです。
4. 「セキュアな認証」という管理策
2022年版のISO 27001で、認証に関して重要なのが「セキュアな認証（Secure authentication）」という趣旨の管理策です。これは、システムやアプリケーションへのアクセスの前に、適切で安全な認証技術・手続きによって利用者を確認することを求めるものです。
具体的に何を意味するのか。それは、アクセス制御方針で定めた要件に応じて、リスクの高いアクセスには、より強固な認証を用いるということです。単純なパスワードだけでなく、必要に応じて多要素認証などのより確実な認証手段を採用することが期待されます。
ここで、前の記事で解説したNISTの考え方とつながります。ISO 27001は「セキュアな認証を行え」と求めますが、では「セキュアな認証とは具体的に何か」を考えるとき、NISTが示す認証保証レベル（AAL）やフィッシング耐性という考え方が、実務的な指針になります。ISO 27001が「認証を確実に」と求め、NISTが「どう確実にするか」を具体的に示す——両者は補完関係にあります。重要なアクセスにフィッシング耐性のある認証を採用することは、ISO 27001の「セキュアな認証」を、より高い水準で満たすことにつながります。
「認証がある」だけでなく「リスクに見合った強さか」
ISO 27001の審査では、単に「認証を行っているか」だけでなく、「アクセス制御方針で定めたリスクに見合った、適切な強さの認証になっているか」が問われます。機密性の高い情報へのアクセスや特権アクセスに、パスワードだけの弱い認証しか使っていなければ、方針との整合が問われることになります。リスクの高いところほど、強い認証を——これがセキュアな認証の考え方です。
5. 認証取得・維持のための実務ポイント
ISO 27001のID管理要件を満たし、認証を取得・維持するための実務ポイントを整理します。
- アクセス制御方針を定める：「誰が・どの情報に・どういう条件でアクセスできるか」の方針を文書化する。すべての土台になる。
- IDライフサイクルを管理する：入社・異動・退職に連動して、IDとアクセス権を確実に発行・変更・削除する。退職者アカウントの放置は、審査でも指摘されやすい典型的な弱点。
- 特権アクセスを厳格に管理する：管理者権限などの強い権限を、誰が持っているか把握し、最小限に絞り、その利用を記録する。
- 定期的なアクセスレビューを行う：権限が適切かを定期的に見直し（棚卸し）、不要なものを削除する。実施の記録を残す。
- リスクに見合った認証を採用する：重要なアクセスには、多要素認証やフィッシング耐性認証など、より確実な認証を用いる。
- 記録を残す：アクセスの記録、レビューの記録、認証の設定など、実施した証跡を残す。審査では「やっている証拠」が問われる。
これらの多くは、ISO 27001認証のためだけでなく、そもそも情報を守るために必要な取り組みです。認証取得を、単なる「お墨付きを得る手続き」ではなく、「ID管理を仕組みとして整える良い機会」と捉えると、取り組みの意義が深まります。
6. 認証は「取ること」より「機能させること」
ISO 27001が求めるID管理は、突き詰めれば「情報を守るための当たり前のこと」——IDを適切に管理し、アクセス権を正しく扱い、特権を厳格にし、確実に認証する——を、組織として仕組み化することです。難しい特別な要求ではなく、ID管理の基本を、きちんと回すことが問われています。
大切なのは、認証（ISO 27001の認証）を「取ること」がゴールではない、という点です。認証を取得しても、ID管理が形だけで実質的に機能していなければ、情報は守れません。逆に、ISO 27001をきっかけにID・アクセス管理を本気で整えれば、認証の取得は結果的についてくるうえ、何より自社の情報が本当に守られるようになります。「認証を取るため」ではなく「情報を守るため」に、ID管理を機能させる——この姿勢が、遠回りのようでいて、最も確実な道です。
自社のID・アクセス管理が、ISO 27001が求める水準——アクセス方針の明確さ、退職者対応の確実さ、特権の厳格な管理、リスクに見合った認証——を、形だけでなく実質的に満たしているか。一度この観点から点検してみることをおすすめします。とりわけ「セキュアな認証」の観点では、重要なアクセスをパスワードだけに頼っていないか、より確実な認証へ進めないか、見直す価値があります。