【情報処理安全確保支援士】IAMからゼロトラストまで徹底解説！SAML/OIDCで午後試験を攻略

情報処理安全確保支援士試験の合格を目指す上で、多くの受験者が頭を悩ませるのが「IAM」と「ゼロトラスト」の分野ではないでしょうか。「SAMLやOIDC、OAuthといった認証プロトコルの違いが分からない」「ゼロトラストという概念は理解できても、具体的な対策と結びつかない」――。特に午後問題では、これらの知識を前提とした実践的なシナリオが出題されるため、単なる暗記だけでは対応が困難です。

本記事では、IAM、アクセス制御、ゼロトラスト、そして各種認証方式といった頻出テーマを、単なる一問一答に留めず、それぞれの関連性や背景を豊富な具体例や図解を交えながら丁寧に解説します。点と点だった知識を線で繋ぎ、確かな得点力に変えるための第一歩を踏み出しましょう。

すべての土台となるIAMとアクセス制御の3原則│支援士試験の基礎知識

セキュリティ対策を考える上で、すべての土台となるのが「誰に、何を、どこまで許可するのか」を管理するIAM（Identity and Access Management）です。なぜなら、クラウドサービスの利用が当たり前になった現代では、社内と社外の境界が曖昧になり、「どのIDが正規の利用者か」を正確に管理・制御することが不正アクセスを防ぐ第一歩となるからです。

このIAMの根幹をなすのが、アクセス制御の3原則と呼ばれる「認証」「認可」「監査」です。これは、オフィスビルに入る際の手順に例えると非常に分かりやすくなります。

• 1. 認証 (Authentication)：「あなたは誰？」の本人確認
  ビルに入る時、社員証をゲートにかざします。これが「認証」です。IDとパスワード、生体情報などを使ってシステムに「自分は正当な利用者ですよ」と証明するプロセスを指します。
• 2. 認可 (Authorization)：「何をしていい？」の権限付与
  認証が通っても、ビル内のすべての部屋に入れるわけではありません。役職や部署に応じて、サーバールームや役員室など、入れる部屋が制限されています。これが「認可」です。認証されたユーザーに対して、どのファイルにアクセスし、どのような操作（読み取り、書き込みなど）を許可するかを決定します。
• 3. 監査 (Audit)：「何をした？」の記録・追跡
  誰が、いつ、どの部屋に入退室したかは、すべてログとして記録されています。これが「監査」です。ユーザーの操作履歴を記録・追跡し、不正アクセスや問題が発生した際に原因を調査できるようにします。

そして、この「認可」をどのようなルールで実現するのか、代表的な3つのアクセス制御モデルがあります。それぞれの特徴を表で比較しましょう。

アクセス制御モデルの比較

特に、現代の企業システムではこのRBAC（ロールベースアクセス制御）が主流となっており、支援士試験でも頻出の重要な考え方です。

「あなたは誰？」を確認する多様な認証方式│パスワードから生体認証まで

アクセス制御の第一歩は「認証」ですが、その方法には様々な種類があります。最も身近なパスワード認証から、よりセキュリティの高い方式まで、それぞれの特徴を理解することが重要です。特に、パスワード認証の弱点をどのように克服していくのか、という視点で見ていきましょう。

基本だが弱点も多い「パスワード認証」

IDとパスワードの組み合わせは、最も基本的な認証方式です。しかし、その弱点は数多く指摘されています。

• 推測されやすい：誕生日や単純な文字列など、第三者が容易に推測できるパスワードを設定してしまう。
• 漏洩リスク：システムへの不正アクセスにより、保存されているパスワード情報が流出する。
• 使い回し：複数のサービスで同じパスワードを使い回していると、1つのサイトで漏洩した情報で他のサイトにも不正ログインされる（パスワードリスト攻撃）。
• 総当たり攻撃（ブルートフォース攻撃）：プログラムで考えられるすべての組み合わせを試行し、パスワードを特定する。

これらの弱点を補うために、より強固な認証方式が求められます。

パスワードの弱点を補う認証方式

パスワード以外の認証方式には、主に「所持情報（持っているもの）」や「生体情報（本人そのもの）」を利用するものがあります。

このように、認証方式には一長一短があります。そのため、現代のセキュリティでは、これらの方式を一つだけ使うのではなく、複数を組み合わせて安全性を高めるアプローチが主流となっています。それが、次のテーマである「多要素認証（MFA）」です。

セキュリティ強度を飛躍させる多要素認証（MFA）の仕組み│午後試験対策の鍵

前のセクションで見たように、単一の認証方式にはそれぞれ弱点があります。そこで、複数の認証方式を組み合わせてセキュリティ強度を飛躍的に高めるのが多要素認証（MFA: Multi-Factor Authentication）です。これは、近年のセキュリティ対策において最も重要な基本対策の一つとされています。

MFAを理解する鍵は、認証の「要素」を理解することです。認証要素は、大きく以下の3種類に分類されます。

• 知識情報 (Something you know)：本人だけが知っている情報。
  • 例：パスワード、PINコード、秘密の質問
• 所持情報 (Something you have)：本人だけが持っているモノ。
  • 例：スマートフォン（SMS、認証アプリ）、ICカード、ハードウェアトークン
• 生体情報 (Something you are)：本人固有の身体的特徴。
  • 例：指紋、顔、静脈、虹彩

MFAが強力な理由は、これら3つのうち、異なる2つ以上の要素を組み合わせて認証を行う点にあります。例えば、攻撃者がパスワード（知識情報）を盗んだとしても、被害者のスマートフォン（所持情報）がなければログインできません。このように、一つの要素が突破されても、別の要素が防波堤となるため、不正アクセスが極めて困難になるのです。

「二段階認証」と「多要素認証」の違い

ここで、よく混同される「二段階認証」との違いを明確にしておきましょう。これは支援士試験でも問われやすいポイントです。

つまり、「多要素認証は、二段階認証の一種であるが、よりセキュリティ要件が厳しいもの」と覚えておきましょう。単に認証回数が2回だから安全、というわけではなく、「どの要素を組み合わせているか」がセキュリティ強度を決定づけるのです。

利便性とリスクを理解するシングルサインオン（SSO）の功罪

毎日使う多数のクラウドサービス（メール、チャット、ストレージなど）に、その都度IDとパスワードを入力するのは非常に手間がかかります。この課題を解決し、利用者の利便性を大幅に向上させる仕組みがシングルサインオン（SSO: Single Sign-On）です。

SSOとは、その名の通り**「一度（Single）の認証で、連携している複数のシステムやサービスにサインオン（Sign-On）できる」仕組みです。身近な例では、Googleアカウントに一度ログインすれば、GmailもGoogleドライブもGoogleカレンダーも、再認証なしでシームレスに利用できるのがSSOの代表例です。

SSOのメリットとデメリット

SSOは非常に便利ですが、メリットとデメリット（功罪）は表裏一体です。これを「高級ホテルのカードキー」に例えてみましょう。

ホテルのフロントで一度本人確認を済ませてカードキーを受け取れば、その一枚で自分の客室だけでなく、フィットネスジムやプールにも入れます。これがSSOの**利便性（メリット）**です。利用者は何枚も鍵を持つ必要がなく、管理者はフロントで本人確認を一度するだけで済みます。

しかし、もしそのカードキーを紛失したり盗まれたりしたらどうなるでしょうか。第三者が客室はおろか、ジムやプールといった様々な施設にまで入れてしまいます。これがSSOの**危険性（デメリット）**です。つまり、最初の認証が突破されると、連携しているすべてのサービスに不正アクセスされるリスクを抱えています。

SSOのメリットとデメリットをまとめると、以下のようになります。

この重大なリスクのため、SSOを導入する際には、必ず前のセクションで学んだ多要素認証（MFA）を組み合わせることが絶対条件**となります。SSOで利便性を高めつつ、MFAで認証そのものを強化する。この二つは、現代のセキュリティにおいて「セットで導入するもの」と覚えておきましょう。