Role-Based Access Control (RBAC) アクセス制御（RBAC）から通信・データ暗号化まで｜AWS上のSANUSセキュリティ詳解
堅牢なセキュリティで、
企業の成長を支える。
SANUS(上場監査クラウド)は、金融機関レベルのセキュリティ基準に基づき設計されています。役割ベースのアクセス制御（RBAC）をはじめとする多層的な防御で、お客様の大切な情報資産をあらゆる脅威から守ります。
OUR FEATURES
企業の信頼を守る、盤石のセキュリティ体制
SANUS(上場監査クラウド)は、企業の内部統制と情報セキュリティを強化するために、最先端の技術と仕組みを導入しています。実装しているセキュリティ対策の一部として、RBAC、ゼロトラスト、SecretManager、システムアーキテクチャ、WAFなどをご紹介いたします。
役割ベースのアクセス制御 (RBAC)
部署や役職に応じた柔軟な権限設定が可能です。必要な情報にのみアクセスを許可し、内部からの情報漏洩リスクを最小限に抑えます。
通信とデータの暗号化
すべての通信はSSL/TLSにより暗号化。データベースに保存される機密データも最高水準の暗号化技術で保護され、安全に管理されます。
監査ログの完全記録
「いつ、誰が、何をしたか」をすべて記録。操作ログは改ざん不可能な状態で保存され、内部統制の強化と監査対応の効率化を実現します。
DEEP DIVE
役割ベースアクセス制御 (RBAC) の詳細
より深くご理解いただくために、RBACの各要素について詳しく解説します。
システムにRBACが必要な理由
すべての企業には、機密の文書、プログラム、記録があります。それらを保護しようとする際、保護が厳しすぎると業務が滞ります。逆に保護が緩すぎると、壊滅的なセキュリティの問題が発生する可能性があります。そこで重要となるのが、ロールベースアクセス制御（RBAC）です。
このRBACを使用することで、ユーザーに必要なアクセス権を付与し、アクセスを必要としないユーザーをブロックできます。個人の属性ではなく、その個人のロールに基づいて変更を行います。ロールごとにアクセスを変更することで、これらの変更を迅速に実行できます。
RBACとは具体的に何か？
RBACシステムは、すべて以下の中核的要素を共有します。
- 管理者：ロールの特定、アクセス許可の付与、セキュリティシステムの保守を担います。
- ロール：従業員は、それぞれの業務内容に応じてグループ化されます。
- アクセス許可：アクセスとアクションが各ロールに付加され、ユーザーが実行できること、実行できないことを概説します。
1992年、全米コンピューターセキュリティ会議でRBACの概念が導入されました。この新しい手法は、非軍事目的の民間の環境でより効果的に機能すると主張され、多くの企業で採用されています。
RBACとABACとの比較
属性ベースのアクセス制御（ABAC）は、ロールだけでなく、ユーザータイプ、時刻、場所といった多様な属性を考慮してアクセスを制御するモデルです。ポリシーベースで動的な制御が可能ですが、変数が多くなるため設定が複雑になる可能性があります。組織のセキュリティ要件に応じて、RBACとABACのどちらが適しているかを選択する必要があります。
RBACシステムの実装方法
RBACシステムを適切に作成するには、以下のステップを実行する必要があります。
- システムのインベントリ作成：ビジネス環境に含まれるプログラム、サーバー、ドキュメント等をすべて洗い出します。
- ロールの特定：マネジメントや人事と連携し、業務内容に応じたロールと権限を定義します。
- 計画と通知：統合のタイムラインを作成し、変更を展開する前に従業員へ周知します。
- フィードバックと調整：計画を共有し、現場からのフィードバックを元に調整を行います。
- 実行と監視：計画を実行に移し、ネットワークを注意深く監視して不具合に対応します。
