特権ID管理とは、サーバー、ネットワーク機器、クラウドなどの管理者権限を持つIDを、誰がいつ何に使ったか分かるように管理することです。PAM（特権アクセス管理）と呼ばれる製品もありますが、最初の数歩は製品がなくても進められます。
今日やることは1つです。社内に管理者権限を持つIDが何個あり、それぞれ誰が持っているかを紙に書き出します。全部を書けなくても構いません。書けないこと自体が、次にやることを教えてくれます。
特権IDにはどんなものがあるのか
範囲を広めに考えます。社員のIDと違い、1つで多くの人に影響する設定ができるものが対象です。
- Active Directoryのドメイン管理者、サーバーのAdministratorやroot
- Microsoft 365やGoogle Workspaceなど、クラウドの全体管理者
- ファイアウォール、VPN機器、ルーター、スイッチの管理者
- データベース、基幹システム、生産管理システムの管理者
- 社員のPCのローカル管理者
- 自社のホームページ、ドメイン、DNSの管理者
- 保守会社や設備メーカーに渡している接続用のID
共有の管理者パスワードをExcelで持っている場合や、ずっと前の担当者が作ったIDがそのまま使われている場合も、この一覧に入ります。
なぜ管理者のアカウントが狙われるのか
奪えば、侵入者がやれることが一気に増えるからです。
JPCERT/CCの侵入型ランサムウェアFAQは、組織内の複数のシステムが同時に暗号化された場合の見立てを示しています。ドメインコントローラーなどの管理サーバーの管理者アカウントが掌握され、その権限でランサムウェアが一斉に配布、実行された恐れがあるという内容です。この権限が、1台の感染を全社の停止へ広げる分かれ目になり得ます。
入口の話もあります。同じFAQは、代表的な侵入の手口として、VPNなどの認証の突破や脆弱性の悪用に加えて、システム運用保守サービスの回線を経由した侵入を挙げています。2026年には、Fortinet製品に関連する認証情報の漏えいの注意喚起が出ました。JPCERT/CCは国内企業に関連する情報の存在を確認したとしています。設定ファイルに管理者パスワードのハッシュが含まれることや、Windowsドメイン認証の資格情報まで盗まれた事例にも触れています。
放置されたIDが使われることも以前から指摘されています。少し古い資料ですが、2014年のJPCERT/CCの注意喚起は、異動や退社で使われなくなったアカウントや、必要以上の権限を持つアカウントが放置されている組織があると指摘しています。運用上必要でない管理者アカウントが攻撃に使われる事例も、多数確認したと書いています。
内部の事故にもつながります。IPAの情報セキュリティ10大脅威2026 解説書は、過剰な管理者権限を与えないこと、担当者の任命や作業理由の記載、クロスチェックなどの運用面の仕組みも有効であることを示しています。
製品を入れる前に、何ができるのか
順番に並べます。上から5つは、管理者が1〜3人の会社でも、数日から数週間の範囲で手を付けられる内容です。
1. 一覧を作り、責任者を決める
IDごとに、対象の機器やサービス、持っている人、責任者、最後に使った日、作った理由を書きます。SCS評価制度の★3の基準でも、すべてのサーバーとネットワーク機器にシステム管理者と責任者を定めること、誰が管理者IDを持っているか把握する仕組みを整えることが挙がっています。
一覧を作る作業は、ID管理の台帳の管理者の列を詳しくしたものと考えられます。別の表にせず、同じ台帳につなげると更新が続きます。
2. 不要なものを消し、数を減らす
退職者のもの、使われていないもの、理由が分からないものを見直します。すぐに消すと業務が止まる場合があるので、先に無効化して様子を見ます。
クラウドの全体管理者も絞ります。Microsoftのベストプラクティスは、Global Administratorのロールを5人未満にすること、必要な権限だけを必要な範囲と期間で渡すことを勧めています。
3. 普段のIDと管理者のIDを分ける
メールやウェブを見るIDで管理作業をしないようにします。社員のPCの普段の作業は、一般の権限で足ります。2014年のJPCERT/CCの注意喚起も、管理者以外のアカウントでログオンした後に、一時的に管理者として作業することを挙げています。
4. 多要素認証をかける
管理画面のログインには多要素認証を必須にします。SCSの★3の基準は、重要な機密情報を扱うクラウドサービスに、利用者と管理者がアクセスする場合の多要素認証を求めています。多要素認証の製品比較で方式を見られます。VPN機器など外から接続できる機器の管理者も優先します。
5. 共有をやめ、やむを得ないものは記録する
管理者IDを複数人で使うと、誰が操作したか後から分かりません。SCSの基準は、管理者IDを共有しないか、仕様で人数分発行できないなど、やむを得ず共有する場合は使った人を特定できるようにすることを求めています。
共有をやめられない機器には、使用記録の表を置きます。日時、作業者、理由、変更内容を残し、使った後にパスワードを変える運用にします。
6. 申請と承認の形にする
SCSの基準では、管理者IDの付与、変更、削除を申請と承認の形にすることも挙げられています。少人数の会社なら、社長か部門長が承認者となり、チャットの記録が残れば始められます。退職時や一定期間使われなかった場合の削除、無効化も手順に入れます。
7. ローカル管理者のパスワードを同じにしない
社員のPCのローカル管理者のパスワードが全台同じだと、1台から広がるおそれがあります。WindowsにはWindows LAPSという標準の機能があり、Entra参加またはActive Directory参加の端末のローカル管理者パスワードを自動で管理できます。Microsoftは利点の一つとして、ハッシュの再利用や横方向の移動への対策を挙げています。
8. 締め出しに備える
守りを固めると、自社が入れなくなる危険も増えます。Microsoft Entraの案内は、2つ以上の緊急用アカウントを作り、通常の管理者が使えない緊急時に限って使うよう示しています。パスワードの保管場所と、使った時に通知する先まで決めておきます。担当者が1人の会社ほど、この準備が効きます。
記録はどこまで残せばいいのか
事故が起きた時に調べられる範囲は、普段の記録で決まります。JPCERT/CCの注意喚起は、管理者アカウントの確認項目として次を挙げています。
- 使っていないはずのアカウントが使われていないか
- いつもと違う端末や接続先から使われていないか
- 休日や深夜など、業務時間外の利用がないか
- 管理者の追加、ポリシーの変更、ログの削除などの想定外の操作がないか
少人数で全部は見られません。管理者の追加と、時間外のログインの2つだけ通知を受ける設定から始めると続けやすくなります。ログを機器の外に残す方法は統合ログ管理ツールの比較で探せます。機器の中だけに残すと、侵入された時に消されるおそれがあります。
製造業では、どの特権IDに注意するか
たとえば、工場を持つ会社で、設備メーカーや保守会社が遠隔で機器を見ている場合を考えます。
- 保守用のVPNやリモート接続のIDが、契約した会社の誰に渡っているか分からない
- 長年同じパスワードのまま、共有IDとして使われている
- 工場のサーバーやSCADAの管理者のパスワードが現場に貼られている
- 機器の更新で不要になった接続の設定が残っている
対策は、保守の接続を常時開けず、作業の時だけ開けて記録する形に寄せることです。保守の担当者を個人単位で教えてもらい、作業の予定と結果を残します。契約書の更新の機会に、再委託の有無やIDの扱いも確認しておきます。
工場の設備側は、止められないことが前提です。パスワードの変更で設備が止まる場合もあるので、メーカーに確かめてから進めます。なお、SCS評価制度はIT基盤を対象にしており、製造環境の制御システムは直接の対象としていません。制度の範囲に入らないからといって、手を付けなくてよいわけではありません。
PAM製品はどんな時に検討するのか
特権ID管理（PAM）の製品比較に並ぶ製品は、管理者のIDを一か所にまとめて、申請と承認を通して貸し出し、操作を記録するものです。次の状況になったら検討します。
- 保守会社など外部の接続が多く、記録を手作業で残しきれない
- 仕様の都合で共有のIDをなくせない機器が多い
- 取引先や監査から、操作の記録の提出を求められる
- 管理者の交代が多く、パスワードの変更が追いつかない
製品を比べる時は、対象の機器に接続できるか、ソフトを機器に入れる必要があるか、操作の記録がどう残るか、PAM自体の管理者を誰にするかを確かめます。PAMの入口が止まると管理作業もできなくなるので、緊急時の入り方も決めておきます。
SCS評価制度の方針も、特定の製品の導入を必須としていません。手作業でも、手続きが決まって実際に動いていれば説明できます。
社員のIDとの違いはID管理の記事に、社員のパスワードの扱いはパスワード管理アプリの記事に書きました。漏えいが起きた時の責任は個人情報漏えいの罰則の記事で整理しています。漏えい対策の全体は漏えい対策のカテゴリにまとめています。
