【ITニュース解説】Who Governs Your NHIs? The Challenge of Defining Ownership in Modern Enterprise IT

現代の企業ITでは、「所有権」という言葉の定義が非常に複雑になっている。私たちが自分の車や家を所有する際には、完全にそれを管理し、問題が起これば責任を負うという明確な意味を持つ。しかし、企業の世界、特に「非人間エンティティ（NHI）」と呼ばれるものに関しては、この「所有権」がまったく異なる意味を持つようになる。

非人間エンティティとは、システムやアプリケーションが自動的に動作するために使用する「ID」のことだ。例えば、データベースにアクセスするためのサービスアカウントや、外部サービスと連携するためのAPIキーなどがこれにあたる。これらは人間が直接操作するわけではないが、企業のITシステムにとって非常に重要な役割を果たす。

セキュリティチームが「このシステムが持つアクセス権は誰が所有しているのか」と尋ねたとき、誰もが知らん顔をしたり、責任を他人に押し付けたりする状況がよく発生する。セキュリティチームが知りたいのは、誰かを非難することではない。問題が発生した際に、そのNHIがどのような役割を持ち、どのようなアクセス権限を持ち、それが悪用された場合にどのような影響があるのか、といった具体的な情報を迅速に得て、対処までの時間を短縮したいと考えているのだ。

企業において、たった一人の人間がすべてを完全に責任を負うことは非常に稀である。特にNHIの世界では、一つのサービスアカウントやAPIキーが生まれてから使われなくなるまでの間、複数のチームやプロセス、責任が関与するのが一般的だ。例えば、ある開発者がアプリケーションのためにNHIを作成するかもしれないが、それを実際に本番環境にデプロイしたり、その認証情報を定期的に更新したり、使用状況を監視したり、セキュリティインシデントが発生した際に対応したりする担当者は、別の人物やチームであることが多い。

もし、長期間使われる認証情報が漏洩したり、攻撃者に悪用されたりしても、それを最初に作成した開発者がそのセキュリティ上のすべての責任を負うことはほとんどない。現代の企業におけるソフトウェア開発は、責任が個人に集中するのではなく、複数のチームに分散しているという現実がある。

NHIの所有権について考えるとき、私たちはしばしば二つの異なる概念を混同している。「古典的かつ個人レベルでの所有権」とは、「何か問題が起こったときに責任を負うべき人」を指す。これはシンプルで分かりやすいが、企業環境ではほとんど現実的ではない。もし所有権が「問題発生時に非難される人」を意味するなら、誰もがその責任を回避しようとするのは当然だ。

そうではなく、私たちは「所有権」を「主題専門家（Subject Matter Expert）」と再定義すべきだ。これは、NHIに関する重要な質問に答え、企業全体がそのIDを適切に管理し統制できるように支援する人を意味する。例えば、このNHIがなぜ存在するのか、どのようなアクセス権を持っているのか、認証情報はどれくらいの頻度で更新すべきなのか、新たなリスクを招くような使われ方をしていないか、認証情報が適切に保管されているか、あるいは漏洩していないか、といった基本的な質問に答えられる人物を指す。

多くの場合、これらのNHIに関する質問に最も答えられるのは、それを最初に作成した開発者であることが多い。しかし、だからといって彼らが認証情報の更新や、クラウドサービスの設定方法といった運用上の責任を全て負うわけではない。彼らは、セキュリティチームがインシデントを解決したり、適切なガバナンスモデルを構築したりするために必要な重要な洞察を提供できる存在だ。しかし、開発者は多くのタスクを抱えているし、企業を離職することもある。セキュリティチームが必要な情報を求めた時には、そのNHIを作成した開発者がすでにいなくなっている可能性も十分にある。

非人間エンティティのガバナンスとセキュリティを考える上で、私たちはNHIが組織にもたらす主要なリスク要因に対処しようとしている。幸いにも、OWASP（Open Worldwide Application Security Project）が「非人間エンティティのトップ10リスク」という形で、私たちが焦点を当てるべきロードマップを提供してくれている。

「所有権」をたった一人の人間に集約しようとするのではなく、特定の質問のセットを定義し、それに答えられる人が主題専門家として機能し、企業全体がこれらのエンティティを保護し、セキュリティインシデントに対応するのを支援するというアプローチが重要である。OWASPのリストには10項目あるが、特に差し迫った危険性の高い項目は次の通りである。シークレットはまだアクティブか、安全に保管されているか、漏洩していないか。NHIはどのように振る舞うべきで、どのような権限が与えられているか。なぜ存在するのか。サービスを停止すべき状況はどのようなものか。

私たちは、人間の所有権の割り当てだけに注力するのではなく、これらの「所有者」に尋ねるであろう質問に対する答えが、ツールによって簡単に得られるようにすることを目指すべきだ。このアプローチは、答えを永続的にし、複数のチームが時間を超えて利用できるようにすることで、組織全体の一貫性をもたらす。これは、特定の個人が常に利用可能であることや、自分が作成したNHIがどのように使われているかを常に把握していることに依存しない。究極的には、人間が関与するプロセスよりもスケーラブルである。アプリケーションとそれに関わるすべてのNHIを統制することが一人の責任になることがほとんどないように、NHIのあらゆる側面を完全に一人の人間が所有し、責任を負うという理想的なシナリオは稀な状況となるだろう。

私たちは、真の課題に集中する必要がある。それは、攻撃者がNHIに与えたアクセス権を簡単に悪用できないようにすることだ。誰かを非難したり、誰かを所有者としてリストアップすればNHIの管理が大規模に容易になると妄信したりすることで、この目標を達成することはできない。

私たちがすべきは、NHIリスク管理の基本に焦点を当て、いつでもガバナンスポリシーへの準拠に関する基本的な質問に答えられるようにすることだ。もちろん、所有者フィールドを割り当てることには価値がある。その人物は、グラフデータや様々なデータポイントだけでは提供できない、人間の洞察をもって質問に答え、ストーリーを補完する手助けができるはずだ。

真の目標はリスクを最小限に抑えることだ。そのためには、各NHIの状態とコンプライアンスに関する基本的な質問に答えられる自動化されたガバナンスを実装すること、すべてのNHIの目的と期待される挙動に関する明確なドキュメントを維持すること、すべてのNHIライフサイクル管理のための明確なプロセスを確立すること、非難ではなく成果に焦点を当てた説明責任構造を構築すること、すべてのNHIの権限と潜在的な影響範囲を可視化するツールを構築することが求められる。

GitGuardianのNHIガバナンスプラットフォームは、シークレットファーストのセキュリティを基盤として構築されており、このDNAにより、非人間エンティティのガバナンスに苦慮する組織にとって最適なパートナーとなっている。その中核として、GitGuardianは、インシデント発生時にNHIのシークレットの状態に関する最も重要な実践的な質問に答える。シークレットが有効かどうか、どこで漏洩したか、どれくらいの期間露出していたかを知ることは、単に「所有者」に連絡するよりも、チームが状況をより効果的に是正するのに役立つ。GitGuardianは、最も必要とされるときに明確で実用的な答えを提供する。

GitGuardianは、シークレットの検出と保管庫の可視性を直接ガバナンスと結びつける。これは、シークレットが発見されたときに単にフラグが立てられるだけでなく、NHIとIAMインフラストラクチャのより広範なコンテキストに結びつけられることを意味する。これにより、シークレットがそのライフサイクル全体を通じて継続的に監視され、マッピングされ、統制されるクローズドループが作成される。

新しいAWS IAM統合により、そのキーに関連付けられた権限が表示され、ロール、グループ、ユーザーにリンクされ、悪用された場合の潜在的な影響範囲が強調される。これにより、生の検出がガバナンス上の洞察へと変換され、セキュリティチームは迅速かつ自信を持って行動するために必要な正確な情報を得ることができる。

セキュリティグラフ、インシデントタイムライン、ガバナンスワークフローを通じて、プラットフォームに直接コンテキストを組み込むことで、担当者が誰であろうと、組織内でどれだけの異動があろうと、すべてのNHIの「誰が、何を、なぜ、どのように」という質問に即座に答えられるようにしている。このアプローチは、OWASP NHIリスクのトップ10のようなフレームワークと直接整合している。自動化、コンテキスト、ガバナンスワークフローにより、長期間使われるシークレット、漏洩した認証情報、重複したキーなど、これらのガイドラインが強調する特定のリスクに対処するのを支援する。

「所有権」に関する議論は、しばしば非難に陥りがちだ。GitGuardianは、それを「保証」という概念へと再構築する。シークレットが存在する限り、それがどこにどのように保管されていようと、ガバナンスに関する質問に迅速かつ一貫して答えられるようにチームを支援する。NHIに関するリスクを、それらがいつ、どのように作成され、誰がそこに置いたかに関わらず、チームが削減できるように支援するのだ。

GitGuardianプラットフォームは、すべてのアプリケーションでNHIの所有権に苦慮する企業に最適にフィットするように構築されている。チームに可視性、コンテキスト、およびワークフローを提供し、「所有権」という厄介な責任を、構造化され、スケーラブルなガバナンス実践へと変革し、責任ある所有権を実現する。現代の企業において、迅速に行動するための十分なコンテキストを持つことが、真のセキュリティの基盤となる。