// シス担のミカタ
認可・アクセス制御

ゼロスタンディング権限 ぜろすたんでぃんぐけんげん

最小権限の原則JIT（Just-In-Time）アクセスPAM（特権アクセス管理）クラウドセキュリティアイデンティティ管理ゼロトラスト
ゼロスタンディング権限について教えて

簡単に言うとこんな感じ！

「普段は鍵を持たせない」って考え方だよ！必要なときだけ一時的に権限を渡して、用が済んだら即回収する仕組みなんだ。ずっと合鍵を持たせておくより、都度貸し出すほうが安全でしょ？それをシステムの権限管理でやるってこと！

ゼロスタンディング権限とは

ゼロスタンディング権限（Zero Standing Privileges、ZSP） とは、ユーザーやシステムに対して「常時有効な権限を一切持たせない」という考え方です。必要なときに必要な範囲の権限だけを一時的に付与し、作業が終わったら自動的に取り消す、という運用を指します。

従来のアクセス管理では、システム管理者やエンジニアに「管理者権限」を常時付与しておくのが一般的でした。しかしこの方法では、アカウントが乗っ取られたり、内部の不正利用が起きた場合に、攻撃者がその強力な権限をずっと使い続けられるという大きなリスクがあります。ZSPは「常に権限を持っている状態（スタンディング権限）をゼロにする」ことで、このリスクを根本から断ち切ろうとするアプローチです。

クラウド環境の普及やゼロトラストセキュリティの考え方の広まりとともに、ZSPは現代のセキュリティ戦略において中心的な概念のひとつになっています。「権限は持たせるな、必要なら借りさせろ」という発想の転換が、ZSPの本質です。

ZSPの仕組みと核心概念

ZSPを実現するうえで欠かせない仕組みが JIT（Just-In-Time）アクセス です。「ちょうど必要なときだけ」権限を発行する考え方で、ZSPの実装手段として広く使われます。

概念従来型（スタンディング権限）ZSP（ゼロスタンディング権限）
権限の付与タイミング常時付与（ずっと持っている）必要なときだけ一時付与
権限の有効期間無期限数分〜数時間など時間制限あり
権限の取り消し手動・任意自動（期限切れで消滅）
漏洩時のリスク攻撃者が権限を継続利用できる短時間で権限が失効し被害を限定
管理コスト定期棚卸が必要申請・承認フローで自動管理

JITアクセスの典型的なフロー

① ユーザーが「この作業のために管理者権限が必要」と申請
        ↓
② 上長や自動ポリシーエンジンが承認（理由・期間・範囲を確認）
        ↓
③ 指定した権限が「30分だけ」などの時間制限付きで発行される
        ↓
④ 作業完了 or 時間切れ → 権限が自動で失効・削除される
        ↓
⑤ 作業ログが記録・監査に利用される

対象になる「権限」の例

  • クラウド（AWS / Azure / GCP）の管理者ロール
  • 本番データベースへの読み書き権限
  • サーバーへのSSHアクセス
  • 給与・個人情報などの機密データへのアクセス
  • ネットワーク機器の設定変更権限

歴史と背景

  • 2000年代前半：「最小権限の原則（Principle of Least Privilege）」が情報セキュリティの基本として定着。しかし実運用では「とりあえず管理者権限を付けておく」文化が続く
  • 2010年代：クラウド移行が加速し、権限の数と種類が爆発的に増加。IAM（Identity and Access Management）の管理が複雑化し、スタンディング権限の危険性が顕在化
  • 2013〜2014年：大規模な情報漏洩事件（NSA元職員スノーデン事件など）が相次ぎ、「内部者による権限の悪用」が世界的に注目される
  • 2018年頃：Gartner社がゼロトラストセキュリティを提唱する中で、ZSPが「権限管理の理想形」として明確に言語化・概念化される
  • 2020年代：AWS・Azure・GCPがJITアクセス機能を標準サポート。CyberArk・BeyondTrustなどPAMベンダーがZSP対応製品を積極展開
  • 2021年：米国政府が「ゼロトラスト戦略」を連邦機関に義務付ける大統領令を発令。ZSPはゼロトラストの重要要素として位置づけられる

ゼロトラストとの関係・関連技術の比較

ZSPは単独で機能する技術ではなく、PAM・IAM・ゼロトラスト という3つの枠組みと密接に絡み合っています。

ZSPを支える技術・概念の関係図 ZSP ゼロスタンディング権限 ゼロトラスト 「常に検証」の思想 ZSPはその実装手段 PAM 特権アクセス管理 ZSPを実現するツール IAM ID・権限の管理基盤 ロール・ポリシー管理 JITアクセス 必要な時だけ付与 ZSPの中心的手法

主要なZSP対応ツール・サービス

ツール・サービス提供元特徴
AWS IAM Identity CenterAmazonAWSリソースへのJITアクセスをネイティブ対応
Azure PIM（Privileged Identity Management）MicrosoftAzure AD上でJIT権限付与・MFA要求が可能
CyberArk Endpoint Privilege ManagerCyberArkオンプレ・クラウド双方に対応するPAMの老舗
BeyondTrustBeyondTrustJITアクセスと詳細な監査ログが強み
TeleportGravitationalSSH・Kubernetes・DBアクセスのJIT管理に特化

導入時の実務的なポイント

  • 申請・承認フローの設計が肝心：権限が必要になるたびに申請が必要なため、フローが複雑すぎると現場が「使いづらい」と迂回策を取り始めるリスクがある
  • 緊急アクセス（Break Glass）の準備：システム障害時など緊急時のための「特例アクセス手順」を事前に決めておかないと、ZSP導入後に詰まることがある
  • 段階的導入が現実的：いきなり全権限をZSP化するのは難しい。まず「管理者権限」「本番DB」など高リスク箇所から始めるのが定石

関連する規格・RFC

規格・ガイドライン内容
NIST SP 800-207ゼロトラストアーキテクチャの定義。ZSPをゼロトラストの重要原則として位置づけ
NIST SP 800-53 AC-6最小権限の原則（Least Privilege）の実装要件を規定
ISO/IEC 27001 A.9アクセス制御に関する管理策。権限管理のベースライン
CIS Controls v8 Control 5アカウント管理のベストプラクティス。スタンディング権限の排除を推奨
SOC 2 Type II特権アクセスの管理・監査証跡をトラストサービス基準として要求

関連用語