LASSIC Media らしくメディア

LASSIC IT事業部｜元請（プライムベンダー）としてシステム保守・運用を受託

特権ID管理（PAM）とは——root・管理者・サービスアカウントを守る専門管理

特権ID管理（PAM：Privileged Access Management、特権アクセス管理）とは、システム管理者（root）・サーバー管理者・ドメイン管理者・サービスアカウントなど、通常ユーザーより強い権限を持つアカウントを一元管理し、不正利用・過剰権限・操作証跡の欠落を防ぐセキュリティ対策の体系を指します。

IPA（独立行政法人情報処理推進機構）の「組織における内部不正防止ガイドライン 第5版」（2022年4月）では、「特権IDの操作ログ監視・検知体制の不備が、内部不正の発覚遅延・被害拡大の主要因になっている」と指摘しています^*1。特権アカウントが盗用または悪用されると、通常ユーザーの不正と比べて被害範囲が組織全体に及ぶため、一般的なID管理とは別の専門的な管理体系が必要です。

IAMやIDaaSとの違い——全IDの統合管理 vs 特権アカウントの厳格制御

IAM（Identity and Access Management、ID・アクセス管理）は、従業員・顧客を含む全ユーザーのID登録・認証・アクセス権付与を統合的に管理する仕組みです。IDaaS（Identity as a Service）はその機能をクラウドで提供するサービス形態を指します。

PAMはIAMの中でも特に特権アカウントの管理に特化した領域です。一般ユーザーのIDとは異なり、特権アカウントには「共有パスワードの慣行」「利用後の権限残存」「操作ログが記録されない」という固有リスクがあり、IAMの標準機能では対処が難しいケースが少なくありません。PAMはこれらを解決するパスワードボールト・セッション録画・JIT（ジャストインタイム）アクセスなどの機能を提供します。

特権アカウントが狙われる理由——不正アクセス5,358件が示すリスク

総務省・警察庁・経済産業省の「不正アクセス行為の発生状況（令和6年）」（2025年3月公表）によると、2024年中の不正アクセス認知件数は5,358件でした^*2。このうち「識別符号窃用型」（他人のパスワード等を不正利用）が全体の9割超を占め、手口別では「パスワードの設定・管理の甘さにつけ込んで入手」が174件、「識別符号を知り得る立場にあった元従業員等による犯行」が107件と報告されています^*2。

特権アカウントが悪用された場合、攻撃者はシステム全体の設定変更・データ抽出・ログ消去を実行できます。一般ユーザーアカウントの侵害とは被害規模が根本的に異なります。IPA「情報セキュリティ10大脅威 2025」（2025年1月公表）でも「内部不正による情報漏えい等」が組織編4位、「機密情報等を狙った標的型攻撃」が同5位に選出されており、特権アカウントはどちらの脅威においても攻撃の起点または増幅経路になりやすい点が指摘されています^*3。

PAMの主要5機能——パスワードボールト・セッション録画・最小権限・承認ワークフロー・監査ログ

JNSA（特定非営利活動法人 日本ネットワークセキュリティ協会）は2023年3月に「特権ID管理ガイドライン 解説編（改定新版）」、2024年5月に「同 実践編」を公開しています^*4。これらのガイドラインを踏まえると、PAMが提供する中心的な機能は次の5つに整理できます。

パスワードボールトとチェックアウト型管理——平文保存・共有パスワードを排除

パスワードボールト（Password Vault）は、特権アカウントの認証情報を暗号化して集中保管する仕組みです。利用者はボールトから一時的にパスワードを「チェックアウト」し、利用後は自動でローテーションされます。

これにより、Excelやテキストファイルへの平文保存・複数人での共有パスワード運用・退職者のアカウント残存という3つのリスクをまとめて解消できます。特定の担当者だけがパスワードを知っている状態（属人化）も排除できます。

セッション録画と監査ログ——「誰が・いつ・何をしたか」を全記録

セッション録画（Session Recording）は、特権アカウントによるリモートアクセス・サーバー操作の画面・コマンドをリアルタイムに記録する機能です。操作の前後で何が変更されたかを動画・テキストログとして保存し、インシデント発生時の迅速な原因特定を支援します。

監査ログは「誰が・いつ・どのシステムに・何の操作をしたか」を機械可読な形式で蓄積します。内部統制・コンプライアンス対応（ISMS・PCI DSS（クレジットカード業界の国際的なセキュリティ基準）など）において、証跡として提出できる形式での保管が求められます。

最小権限の原則とジャストインタイムアクセス——JIT/JEA

最小権限の原則（Least Privilege）とは、業務に必要な最低限の権限のみを付与し、不要な権限を持ち続けさせないセキュリティ設計の基本思想です。PAMではこれを実装するために、JIT（Just-In-Time）アクセスとJEA（Just Enough Administration）という2つの手法を組み合わせます。

JITアクセスは、必要なタイミングだけ一時的に特権を付与し、作業完了後に権限を自動で剥奪する仕組みです。JEAは特定の管理タスクのみに絞った制限付きアカウントを発行し、root相当の全権限を持たせない設計です。この2つを組み合わせることで、「常時特権を持つ管理者」ゼロを目指す運用が可能になります。

アクセス承認ワークフロー——上長・セキュリティ部門の事前承認を自動化

特権アカウントの利用には、上長やセキュリティ担当者の事前承認を求めるワークフローを設定できます。「誰が・何のシステムに・どの理由で・いつからいつまで」アクセスするかを申請・承認するプロセスを自動化することで、ガバナンスの実効性が高まります。

承認なしの特権利用を技術的に防止できるため、監査時に「承認証跡」として提出できる記録が自動で蓄積されます。これはIPA内部不正防止ガイドラインが推奨する「犯行を難しくする」技術的対策と直接対応しています^*1。

PAM導入の5ステップ——特権ID棚卸しからアクセス承認フロー定着まで

JNSA特権ID管理ガイドライン実践編（2024年5月）では、PAMの導入を「企画フェーズ→設計フェーズ→構築フェーズ→運用フェーズ」に分けて整理しています^*4。実務上は次の5ステップとして進めることが多いです。

ステップ1：特権ID棚卸し——サーバー・DB・クラウド・SaaSのroot/管理者を全数把握

最初に取り組むべきは、組織内に存在する特権アカウントの全数把握です。オンプレミスサーバーのrootアカウント・Windows Serverの管理者アカウント・クラウドサービス（AWS/Azure/GCP）のIAMルートユーザー・業務SaaSの管理者アカウント・データベースのsystem/sa権限・ネットワーク機器の設定用アカウントなど、棚卸し対象は多岐にわたります。

棚卸しを実施せずにPAMを導入しても、管理対象から漏れた特権アカウントがそのまま脆弱点として残ります。「知らない特権IDが存在する」状態の解消が、PAM導入の前提条件です。

ステップ2：ポリシー策定——最小権限・承認フロー・監査要件を文書化

棚卸しが完了したら、特権アカウントの利用ルールを文書化します。「誰がどの条件で特権を使えるか」「承認経路は何段階か」「ログをどの期間保管するか」「定期棚卸しの頻度はどうするか」を明文化します。

ポリシーが曖昧なまま技術的な仕組みだけを導入しても、現場での運用が形骸化しやすいです。技術と運用ルールの両輪で進めることが大切です。

ステップ3：製品選定——オンプレ型・SaaS型・ハイブリッドの3形態を評価

PAM製品はオンプレミス型・SaaS型・ハイブリッド型の3形態があります。オンプレミス型は社内に管理サーバーを設置するため、クラウド非接続環境や高セキュリティ要件に適します。SaaS型は導入が早く初期コストを抑えられますが、インターネット接続が前提です。

選定では既存のディレクトリサービス（Active Directory・LDAP）・クラウド環境・ITSM（IT Service Management）ツールとの連携可否を確認することが重要です。製品機能の比較だけでなく、自社環境との適合性を先に検証することが後工程のやり直しを防ぎます。

ステップ4：段階展開——重要システムから優先的にボールト化

全特権アカウントを一度にボールトに取り込もうとすると、業務影響のリスクと運用負荷が集中します。リスクが高いシステム（本番サーバー・財務系データベース・クラウド管理コンソール）から優先的に展開し、段階的に対象範囲を広げる手順が現実的です。

段階展開の間は、既存の管理方法とPAMが並存する移行期間が生じます。移行期の特権ID運用ルールを事前に決めておかないと、ボールト化済み/未済の混在が新たな管理ミスを生む点に注意が必要です。

ステップ5：運用定着——定期棚卸し・ログ監査・権限再認定のサイクル確立

PAMの効果は導入後の継続運用で決まります。定期的な特権ID棚卸し（異動・退職者のアカウント確認）・ログの定期監査・権限再認定（不要になった権限の剥奪）という3つのサイクルを確立することが、長期的なセキュリティ水準の維持に直結します。

クラウド環境では新しいサービスアカウントが開発のたびに生成されるため、発見的統制（定期スキャン）を仕組み化しないと特権IDが増殖し続けます。IaaS・PaaSのマネージドサービスを含むすべての環境を対象に棚卸しスコープを設定することが大切です。

内製 vs 外注委託の判断軸——スキル・工数・費用で比較

PAM導入・運用を内製で進めるか、専門ベンダーに外注委託するかは、必要なスキルセット・工数・費用の3軸で検討します。

必要なスキルと工数の目安——PAM製品知識・ディレクトリ連携・運用体制

PAMを内製で導入・運用するには、次のスキルを持つ人材が必要です。

• PAM製品の設定・カスタマイズ経験（Delinea Secret Server・CyberArk PAM・ManageEngine PAM360等）
• Active Directory・LDAPなどディレクトリサービスの管理知識
• クラウドサービス（AWS IAM・Azure AD）のID管理の理解
• セキュリティポリシーの文書化・運用設計の経験
• インシデント発生時の初動対応・ログ解析スキル

これらのスキルを持つ人材を採用・育成するには、半年から1年規模のリードタイムを要することが多いです。既存のIT担当者がいても、PAM製品の設定・運用は専門的なトレーニングが別途必要です。

初期導入フェーズ（棚卸し・ポリシー策定・製品選定・展開）では、専任担当者が複数名で数ヶ月規模の工数を投じることが現実的です。運用フェーズでは、ログ監査・棚卸し・権限再認定を担う専任リソースが継続的に必要になります。

外注委託の費用感——市場参考値（一次資料ではない）

PAM導入・運用の外注費用は、対象システム数・既存環境の複雑さ・製品の選定結果によって大きく異なります。以下は市場参考値であり、一次資料に基づく正確な数値ではありません。

内製との比較では、採用・育成コストを含めたトータルコストで判断することが現実的です。初期は外注委託でPAM基盤を構築し、運用が安定した段階で内製化の比率を高めるハイブリッドアプローチも選択肢です。

委託先の選び方——元請（プライムベンダー）体制と3つのチェック軸

PAM導入・運用の委託先を選ぶ際は、次の3軸でチェックすることが大切です。

チェック軸1：特権ID管理の専門知識と製品対応範囲

PAMは製品によって機能・価格・適用環境が大きく異なります。複数製品の導入経験を持ち、自社環境（オンプレ/クラウド/ハイブリッド）に応じた製品提案ができるベンダーを選ぶことが大切です。

委託候補先に確認すべき点は、過去のPAM導入実績（業種・規模）・対応製品の種類・クラウド環境（AWS/Azure/GCP）への対応経験です。PAMはディレクトリサービスやSIEM（Security Information and Event Management、セキュリティ情報・イベント管理）との連携が必要になるケースも多いため、セキュリティ全体の知見を持つ委託先であるかを確認します。

チェック軸2：元請（プライムベンダー）体制の有無——再委託による品質分散リスク

セキュリティ対応において委託先が実務を再委託（多重下請け）している場合、技術的な問題への対応速度・責任所在の明確さ・情報管理の範囲が不明確になるリスクがあります。PAMの運用では、特権アカウントの認証情報に近い場所での作業が発生するため、元請（プライムベンダー）として直接対応できる体制かどうかを確認します。

契約時には「実際に作業する担当者の所属・スキル」「インシデント発生時の対応窓口と連絡体制」「再委託の有無と範囲」を明示的に確認することが重要です。

チェック軸3：運用フェーズの長期サポート体制——棚卸し・監査対応・障害対応

PAM導入後の価値は継続的な運用で生まれます。初期構築だけでなく、定期棚卸し・ログ監査代行・権限再認定支援・製品バージョンアップ対応・インシデント発生時の初動支援まで対応できるかを確認します。

具体的なSLA（Service Level Agreement、サービスレベル合意）として、「障害発生時の初動対応時間」「定期報告の頻度・内容」「監査対応時の証跡提出方法」を契約前に明確にします。SLAが曖昧なまま運用を開始すると、インシデント発生時に対応の遅れが生じやすいです。

まとめ——特権IDリスク・PAM機能・外注判断の3軸

本稿では、特権ID管理（PAM）の基礎から外注委託の判断軸までを整理しました。要点を3つに集約します。

第一に、特権アカウントはIAM全体の中でも別枠の厳格管理が必要です。IPA内部不正防止ガイドライン第5版（2022年）が指摘するとおり、特権IDの操作ログ監視体制の不備が被害拡大の主要因であり、一般ユーザーIDと同じ管理では対応できません。

第二に、PAMの効果はパスワードボールト・セッション録画・JITアクセス・承認ワークフロー・監査ログという5機能の組み合わせで生まれます。機能単体ではなく、5ステップの導入プロセスと運用サイクルを一体で設計することが重要です。

第三に、外注委託の判断は「スキルと工数の調達コスト」「元請（プライムベンダー）体制」「運用フェーズの長期サポート」の3軸で評価します。JNSA特権ID管理ガイドライン実践編（2024年）が示すように、PAMは導入後の運用フェーズにこそ継続的な専門知識が必要です。

よくある質問

著者：テレリモ総研編集部　鈴木 亮佑

ご不明な点はお問い合わせフォームからもご連絡いただけます。

1. *1　出典：IPA（独立行政法人情報処理推進機構）「組織における内部不正防止ガイドライン 第5版」（2022年4月）
2. *2　出典：総務省・警察庁・経済産業省「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況（令和6年）」（2025年3月）
3. *3　出典：IPA（独立行政法人情報処理推進機構）「情報セキュリティ10大脅威 2025」（2025年1月）
4. *4　出典：JNSA（特定非営利活動法人 日本ネットワークセキュリティ協会）デジタルアイデンティティWG「特権ID管理ガイドライン 解説編・実践編（改定新版）」（解説編：2023年3月、実践編：2024年5月）

Tweet