USCPA ISCの実践ガイド｜身元確認・ゼロトラスト・可用性・インシデント対応

1｜NIST SP 800-63-4のproofingとauthenticationを切り分ける

Identity proofingは、申請者が特定の実在個人または主体であることを証拠によって確認し、登録先の身元へ結び付ける工程です。authenticationは、後でアクセスを求める人が登録された認証器を管理していることを確認する工程で、同じ概念ではありません。

高い保証レベルを問う設問では、共有アカウント、未検証ニックネーム、社内ネットワークからの接続を身元証拠とみなさないことがポイントです。証拠の検証、解決、登録の順番をメモしてから選択肢を比較します。

• proofing：誰であるかを証拠で確立する
• authentication：認証器を管理する本人か確認する
• authorization：確認済みの主体に何を許可するか決める

2｜ゼロトラストは場所を信頼せず、接続ごとに決める

NIST SP 800-207では、内部ネットワークにいるだけで暗黙に信頼するのではなく、リソースへの接続ごとにポリシーを評価します。ポリシーエンジンが入力を分析し、ポリシー管理者が決定を伝え、ポリシー実施ポイントが接続を許可または拒否します。

問題では、資産台帳やネットワーク境界だけでアクセスを許可する選択肢を避けます。主体、端末状態、リソース、環境、セッションのリスクを評価し、実際の接続に決定を適用する部品を選びます。

3｜コンテナは実行時だけでなくイメージの入口を守る

NIST SP 800-190の観点では、コンテナイメージの出所と完全性、依存ライブラリの脆弱性、秘密情報の混入、レジストリへのアクセスを実行前から管理します。信頼できるレジストリから取得しただけで脆弱性が消えるわけではありません。

イメージを受け入れる前に署名やダイジェストを検証し、スキャン結果と例外承認を記録し、実行時の権限やネットワークも制限します。『本番で監視すれば入口の検証は不要』という選択肢は、供給網のリスクを取り逃します。

• 出所・署名・ダイジェストで同一性を確認する
• 脆弱性スキャンと修正・例外の期限を記録する
• イメージへ秘密を埋め込まず、実行時に安全な方法で注入する
• 実行時の最小権限、分離、監視を組み合わせる

4｜SSDFはコード、秘密、成果物を多層で保護する

NIST SP 800-218のSecure Software Development Frameworkは、開発環境と成果物を未承認アクセス・改変から守り、脆弱性を早期に見つけ、リリースの完全性を確認するための実務を整理します。リポジトリのアクセス制御、秘密の保護、レビュー、ビルド環境の分離、署名付き成果物を一つの層として考えます。

履歴を消す、認証情報を公開する、レビューなしで本番へ直接コミットする行為は、説明責任と改変防止を弱めます。どの工程を誰が承認し、どのログ・署名・テスト結果が証拠になるかを記録します。

5｜リモートアクセスと境界保護は承認・暗号化・監視を一組にする

管理インターフェースへのリモートアクセスは、承認済みの入口を通し、強い認証と暗号化を使い、接続・操作を監視します。強いパスワードだけで平文プロトコルや共有管理者資格情報を正当化することはできません。

NIST SP 800-53のアクセス・境界関連統制では、ネットワーク構成、許可された経路、最小権限、例外の承認、ログの定期レビューを一つの設計として確認します。業務上必要な経路を止めず、リスクを最も直接減らす選択肢を選ぶのがコツです。

• 誰が、何へ、どの経路で、いつアクセスできるかを定義する
• 暗号化と強い認証を入口に適用する
• 接続・特権操作を記録し、レビューと失効を行う

6｜可用性の約束はRTO・RPO・テスト済み復旧で裏付ける

顧客へ稼働率や復旧能力を約束するサービスでは、容量監視、障害検知、復旧手順、実績の記録が可用性の中心証拠です。RTOは停止からサービスを戻す目標時間、RPOは復旧時点で許容するデータ損失の時間幅なので、バックアップの存在だけでは目標達成を証明できません。

復旧手順は、依存するネットワーク・認証・外部サービス、担当者、代替環境を含めて演習します。テストで見つかった未解決課題を計画へ戻し、環境変更後にも再評価します。AICPA Trust Services CriteriaのAvailabilityとConfidentialityは目的が異なるため、機密性通知だけで稼働実績を証明しないようにします。

• RTO・RPOを業務影響と契約上の約束に結び付ける
• 容量、障害、復旧テスト、実績の証拠を残す
• 計画・演習・改善を変更管理と連携する

7｜インシデント対応では時刻相関と証拠の完全性を残す

NIST SP 800-92のログ管理では、複数システムの記録を相関できるよう時刻同期、タイムゾーン、保持期間、アクセス制御を定めます。ログを集めるだけでは、異なる時刻のイベントを正しく並べられません。

インシデント時の証拠は、収集・移転・保管・アクセスの履歴を残して完全性を確認します。証拠保全は攻撃者の身元や原因を推測することとは別の作業です。対応手順、エスカレーション、復旧、事後改善を時系列に整理します。

8｜誤答復習は「リスク・統制・証拠」の3列で行う

誤答した問題は、左列に守る対象とリスク、中央に最も直接的な統制、右列に運用有効性を裏付ける証拠を書きます。例えば『未承認変更／独立承認と署名付き成果物／承認ログ・ビルド記録・ダイジェスト』のようにすると、製品名が変わっても判断を再利用できます。

関連学習としてISCのCheat Sheetsを参照し、続けて問題演習で同じ目的の統制を比較してください。NISTやAICPAの改訂、受験年度のBlueprint更新を確認し、教材の更新日と一次資料を定期的に見直します。