概要
CRISIS は危機対応の中枢を担うシステムであり、災害時にも確実に、かつ安全に使える状態を保つ必要があります。このページでは、組織の管理者が実施すべきセキュリティ上の推奨事項を、優先度の高い順にまとめます。
1. 認証を強化する
- 多要素認証の強制を有効にし、全ユーザーに認証アプリ（TOTP）またはパスキーの登録を求めてください。
- 社内に IdP がある場合は SAML SSO を設定し、認証の統制を IdP に一本化することを推奨します。SSO 移行が完了したら、認証ポリシーでパスワードログインの無効化を検討してください。
- パスワードログインを併用する場合は、最小文字数などのパスワード要件を組織のポリシーに合わせて設定してください。
災害時のログイン可用性
認証を厳格化する際は、災害時の利用シナリオも考慮してください。たとえば「MFA デバイスを持ち出せなかった」「IdP 側が障害中」といった状況で対応が止まらないよう、パスキーの複数デバイス登録や、復旧手順（管理者による認証要素の削除・再登録）を事前に決めておくことを推奨します。
2. 最小権限を実装する
権限は「業務に必要な最小限」を基本とします。
- グループに割り当てる: 権限はグループに割り当て、異動をグループのメンバーシップ変更で処理します。
- 役割から逆算する: 「本部要員」「現場報告者」「閲覧のみの経営層」のように役割を洗い出し、それぞれに必要なロールを対応付けます。
- リソース単位の権限を活用する: 組織全体への強い権限は管理者に限定し、特定のインシデントや資産グループにだけ必要な権限は、リソース単位の IAM ポリシーで付与します。
- 定期的に棚卸しする: 半期に一度など、割り当て済みロールの棚卸しを行い、不要になった権限を削除します。
エンタープライズプランでは、アクセス境界設定により、グループ会社や委託先に対して「見える範囲」そのものを分離できます。
3. サービスアカウントを管理する
- 用途ごとにサービスアカウントを分離し、それぞれに最小限のロールを割り当てます。
- OIDC が使える接続元には、秘密情報の保管が不要な Workload Identity Federation を優先します。
- アクセストークンは無期限のため、定期的なローテーションを運用に組み込みます。
- 使われなくなった連携のトークン・資格情報・サービスアカウントは削除し、定期的に棚卸しします。
4. 監査を運用に組み込む
- 監査ログの確認を定常運用に組み込みます。特に「失敗した認証・操作」「権限変更」「サービスアカウントの操作」は定期的に確認してください。
- エンタープライズプランでは監査ログのエクスポートを設定し、組織のログ保管基準に沿った長期保管と SIEM での監視を行うことを推奨します。
5. 訓練で確認する
セキュリティ設定は、平時に厳格すぎても、緩すぎても危機対応の妨げになります。訓練モードでのインシデント対応訓練の際に、必要な要員が必要な情報にアクセスできること、不要な要員がアクセスできないことの両面を確認し、権限設計を見直してください。
チェックリスト
| 項目 | 確認 |
|---|---|
| 多要素認証が強制されている、または全ユーザーが追加認証要素を登録済み | ☐ |
| 権限はグループ単位で割り当てられている | ☐ |
| 組織全体の管理者権限の保有者が最小限に絞られている | ☐ |
| サービスアカウントが用途ごとに分離され、棚卸しされている | ☐ |
| アクセストークンのローテーション手順が決まっている | ☐ |
| 監査ログの定期確認が運用に組み込まれている | ☐ |
| 退職・異動時の権限見直しフローが決まっている | ☐ |