このユニットの結論
ログインできることは、安全であることの証明ではありません。
「本人であることを確かめる（認証）」と「その人に何をさせてよいかを決める（認可・権限）」は別の仕組みです。さらに、アカウントの作成から削除までの管理と、操作の記録がそろって、はじめて「誰が何をできるか」を管理できていると言えます。
1. 何の話か
このユニットは、STAGE 08「誰に何を許可するのか」の入口です。ログイン（認証）と権限（認可）の違いを扱います。
システムの安全を考えるとき、「ログインの仕組みがあるから大丈夫」と考えがちです。しかし、ログインは入口の確認にすぎません。入ったあとに何ができるかは、別に決める必要があります。
2. なぜ必要か
認証だけで安全だと考えると、
- ログインできる人なら、誰でもすべてのデータを見られる・変えられる状態になる
- 退職した人・異動した人のアカウントが残り、使えるままになる
- パスワードが漏れたとき、なりすましに気づけない
- 問題が起きたとき、誰が何をしたかをたどれない
ということが起きます。
3. このユニットで分かること
- 認証・認可・アカウント管理・記録の4つの違い
- 認証を強くする考え方
- アカウントの一生（作成・変更・削除）の管理
- 認証と権限の確認で、AIに任せてよいことと人間が決めること
4. 4つの仕組み
| 仕組み | 問い | 例（一般的な説明） |
|---|---|---|
| 認証 | あなたは本当に本人か | ID とパスワード、スマートフォンでの追加の確認 |
| 認可（権限） | あなたは何をしてよいか | 案件を登録できる、承認できる、見るだけ |
| アカウント管理 | そのアカウントは今も必要か | 入社で作る、異動で変える、退職で止める |
| 記録 | 誰が、いつ、何をしたか | ログイン・操作・権限の変更の記録 |
どれか1つが欠けると、ほかの3つがあっても穴が残ります。権限の決め方は 08-02・08-03、記録は 08-04 で学びます。
5. 認証を強くする考え方
一般的には、次のような考え方があります。
- 多要素認証：パスワードに加えて、スマートフォンなど別の手段でも本人を確かめる
- まとめて管理する：システムごとに別々の ID を持たせず、共通の認証の仕組みで管理する（退職したときに1か所で止められる）
- 重要な操作は確かめ直す：承認や設定の変更などの前に、もう一度本人を確かめる
どこまで強くするかは、守るものの大切さと、使う人の手間のバランスで決めます。
CASE FACTFROZEN正本に記載されたアステリア案件の事実
アステリア案件に関係する記載
- SYS-08 認証・ID基盤
- IF-10 認証・ID → 新基幹
- Vendor B / クラウドブリッジの担当範囲に IAM（利用者と権限の管理の仕組み）が含まれる
- SYS-11 監視・ログ基盤
- P-012 石井 稔 — セキュリティ責任者
アステリア案件の認証の方式（多要素認証の有無など）、アカウント管理の手続き、権限の設計は、正本に記載がありません。未確定 IF-10 の経路は正本にありますが、連携で何を受け渡すかは記載がありません。未確定
6. THINK — 「社内の人しかログインできないから」
設計の打ち合わせで、担当者が次のように言いました。
「このシステムは社内の人しかログインできません。だから、ログインした人には全部の画面を見せても問題ないと思います。」
問題
この考え方でよいでしょうか。
判断例を開く
判断
この考え方ではよくありません。
確認すること:
- 社内の人でも、仕事に関係のないデータ（人事・給与・取引の条件など）を見てよいか
- 誤って、または悪意をもって、データを変える人がいたときに防げるか
- パスワードが漏れて、社外の人がなりすましたときに、被害をどこまでに抑えられるか
- 誰がどのデータを見たかを、あとから確かめられるか
「社内の人だけ」は、入口の条件です。入ったあとに何をしてよいかは、仕事に合わせて決めます。
7. よくある失敗
- 認証を強くしたことで、権限の設計を後回しにする
- システムごとに別々のアカウントを作り、退職したときに止め忘れる
- 共有のアカウント（複数の人が同じ ID を使う）を使い、誰が操作したか分からなくなる
- 権限の変更の記録を残さない
8. 成果物との接続
- SEC-001 セキュリティ基本方針：認証・権限・記録についての会社としての方針
- SEC-002 権限設計表：役割ごとに、何をしてよいかを決める
- SEC-004 監査ログ要件一覧：何を記録に残すかを決める
9. AI WORKFLOW — アカウントの棚卸しを手伝わせる
AIは、アカウントの一覧から、確かめるべきものを探す下書きに役立ちます。
指示例:
「次のアカウントの一覧と在籍者の一覧を比べ、①在籍者の一覧にないアカウント、②長い間ログインしていないアカウント、③複数の人が使っていると思われるアカウント、を挙げてください。アカウントを止めるかどうかは判断しないでください。」
10. REVIEW — AIの指摘を確認する
- AIが挙げたアカウントを、人が元の一覧で確かめたか
- 一覧を AI に渡してよいか（個人の情報の扱い）を、事前に確かめたか
- アカウントを止める判断を、AIの結果だけで行っていないか
11. 人間が判断すること
- 認証をどこまで強くするか
- 誰にアカウントを与え、いつ止めるか
- 例外（共有のアカウントなど）を認めるか
セキュリティ例外承認は、AIへ最終委任しない事項です（正本の方針）。
12. 判断演習
あなたは、新しいシステムのアカウント管理の担当です。
社員が異動したとき、アカウントについて確かめることを3つ挙げてください。
あなたの記録あなたの考え。事実ではありません
判断ノート
このユニットで覚えてほしいこと
ログインは入口の確認にすぎません。認証・権限・アカウント管理・記録の4つがそろって、はじめて「誰に何を許可しているか」を管理できます。