DORAとDidit：堅牢なアクセス制御のためのマイクロパーミッション (JA)

DORA準拠には詳細な制御が不可欠デジタルオペレーショナルレジリエンス法（DORA）は、金融サービスにおける運用レジリエンスとデータセキュリティを確保するため、従来のロールベースシステムを超えた、非常にきめ細やかなアクセス制御を義務付けています。

マイクロパーミッションが解決策マイクロパーミッションは、個々のアクションとデータアクセスをきめ細かく制御し、「最小権限の原則」を効果的に適用し、複雑で動的な環境に適応することを可能にします。

Diditが導入を簡素化DiditのIDプラットフォームは、ID認証、生体認証、堅牢なオーケストレーションといったコア機能を提供し、高度なマイクロパーミッションシステムを構築・管理することで、DORA準拠を効率化します。

セキュリティと監査性の向上Diditによるマイクロパーミッションの実装は、DORA要件を満たすだけでなく、内部脅威のリスクを大幅に削減し、監査証跡を改善し、全体的なサイバーセキュリティ体制を強化します。

DORAの義務：なぜきめ細やかなアクセス制御が重要なのか

デジタルオペレーショナルレジリエンス法（DORA）は、金融機関がICT（情報通信技術）リスクを管理する方法に大きな変化をもたらします。2025年1月17日より発効するDORAは、アクセス制御に対する厳格な要件を含む、デジタル運用レジリエンスを管理するための包括的なフレームワークを義務付けています。従来の広範なロールベースアクセス制御（RBAC）では、DORAが要求する粒度に対応できないことがよくあります。サイバー脅威、洗練されたディープフェイク、AI生成IDが増加する時代において、特定の個人だけが特定の資源に対して特定の操作を実行できるようにすることは極めて重要です。これは、単にログインできるかどうかだけでなく、認証された後に正確に何ができるかに関わります。

DORAは、ICT関連の障害に耐え、対応し、回復できるシステムの必要性を強調しています。このレジリエンスの重要な要素は、不正アクセスと悪意のある活動の防止です。これには、粗い粒度の権限から、可能な限り詳細なレベルでアクセスが許可されるモデル、つまりマイクロパーミッションへの移行が必要です。金融機関にとって、これは機密性の高い顧客データ、重要なインフラストラクチャ、および取引システムを前例のないレベルの精度で保護することを意味します。

マイクロパーミッションの理解：従来のRBACを超えて

マイクロパーミッションは、属性ベースアクセス制御（ABAC）またはきめ細やかなアクセス制御とも呼ばれ、ユーザー、リソース、環境、および要求されたアクションに関連する多数の属性に基づいて権限を定義することを可能にします。ユーザーに事前定義された権限セットを持つロールが割り当てられるRBACとは異なり、マイクロパーミッションは動的でコンテキストを認識した意思決定を可能にします。

例えば、「トレーダー」ロールがすべての取引機能にアクセスできるのではなく、マイクロパーミッションシステムでは以下のように規定される場合があります。

• 「ジュニアトレーダー」は、特定の市場時間中に、承認されたデバイスから、生体認証後にのみ、特定の価値までの取引を実行できます。
• 「シニアトレーダー」は、より大きな取引を実行できますが、第二認証要素の後、かつ取引価値が事前定義されたしきい値を超えた場合にのみ、自動的にマネージャーの承認をトリガーします。
• 「コンプライアンス担当者」は、すべての取引活動を閲覧できますが、営業時間中に内部IPアドレスからのみであり、多要素承認を必要とする調査が明示的に許可されない限り、個人識別情報（PII）へのアクセスはマスクされます。

この詳細レベルは、DORA準拠にとって不可欠です。なぜなら、「最小権限の原則」—ユーザーに職務を遂行するために必要な最小限のアクセスのみを付与する—を直接サポートするからです。また、内部脅威に対する堅牢な防御を提供し、外部からの侵害に対する攻撃対象領域を削減します。なぜなら、侵害された資格情報ではアクセス範囲が限定されるからです。

Diditでマイクロパーミッションシステムを構築する

DiditのオールインワンIDプラットフォームは、DORAが要求する洗練されたマイクロパーミッションシステムの開発と管理を支える独自の立場にあります。ID認証、生体認証、不正検出、認証を単一のオーケストレーション可能なシステムに組み合わせることで、Diditはきめ細やかなアクセス制御のための基盤となるプリミティブを提供します。

Diditがどのように役立つかを見てみましょう。

1. 堅牢なID認証と生体認証：マイクロパーミッションが付与される前に、ユーザーのIDを明確に確立する必要があります。DiditのID文書認証、NFC読み取り、パッシブおよびアクティブな生体検知、1:1顔照合により、アクセスを要求している人物が本当に本人であるかを確実にします。この高い保証レベルは、DORA、特に特権アクセスにとって重要です。

   実用例：金融アナリストが重要な財務報告システムにアクセスしようとしています。Diditはまず、ライブセルフィーと検証済みIDとの顔照合を通じてそのIDを検証します。成功した場合、システムは特定のマイクロパーミッションのために割り当てられた属性をチェックします。

2. 文脈に応じた不正信号：DiditのIP分析、デバイスインテリジェンス、および行動信号は、アクセス要求に重要なコンテキストを追加します。これらの不正信号は、マイクロパーミッション決定エンジンに統合できます。通常とは異なる場所やデバイスからのアクセス試行、または疑わしい行動パターンを示すものは、ユーザーの基本的な権限に関係なく、より高度な認証要件をトリガーしたり、完全に拒否したりすることができます。

   実用例：従業員が、通常とは異なる国の公共Wi-Fiネットワークから機密データベースにアクセスしようとします。DiditのIP分析はこれを高リスクとしてフラグ付けし、たとえその役割が通常アクセスを許可するものであっても、認証を単純なパスワードから、登録済みの会社支給デバイスに送信される生体認証とOTPに自動的に格上げします。

3. ワークフローオーケストレーション：Diditのビジュアルワークフロービルダーを使用すると、これらのマイクロパーミッションチェックを組み込んだ複雑なIDフローを設計できます。属性（ユーザーの役割、部署、場所、時間帯、データの機密性、取引額）に基づいて条件付きロジックを作成し、アクセスを動的に許可または拒否したり、追加の検証ステップをトリガーしたりできます。

   実用例：高額な取引を承認しようとしているユーザーの場合、ワークフローは次のように設定できます：ユーザー認証 (生体認証) → 取引額の確認 → IF 値 > X THEN マネージャー承認を要求 (生体認証) → IF マネージャー承認 THEN 取引実行。ここでの各ステップは、強力なID認証によって強制されるマイクロパーミッションです。

4. 再利用可能で安全な認証：リピートユーザーの場合、Diditの生体認証は、摩擦なく、しかし非常に安全な方法でIDを再検証します。これは、パスワードだけでなく、特定の機密性の高いアクションに対して生体検知を要求するなど、マイクロパーミッションの強制に直接結びつけることができます。

   実用例：カスタマーサービス担当者が顧客の全アカウント履歴を閲覧する必要がある場合、基本的なアクセス権を持っていても、機密性の高いPIIを閲覧するには、データがマスク解除される前にセルフィーによる生体再認証が必要になる場合があります。これにより、その瞬間に認証された個人だけが情報を閲覧していることが保証されます。

DiditがDORA準拠を支援する方法

Diditの統合されたアプローチは、IDとアクセス管理に関連するDORAのいくつかの主要な要件に直接対応しています。

• ICTリスク管理：堅牢なID認証と不正検出を提供することで、Diditは金融機関がICTリスク、特に不正アクセスとID侵害に関連するリスクを特定、測定、管理、監視するのを支援します。
• デジタル運用レジリエンステスト：Diditによって強化されたマイクロパーミッションが提供する粒度により、レジリエンスシナリオのより正確なテストが可能になり、さまざまな攻撃ベクトルや運用中断下でもアクセス制御が機能することを保証します。
• サードパーティリスク管理：サードパーティプロバイダー（クラウドサービスやアウトソーシング業務など）を扱う場合、Diditは彼らのアクセスに対して厳格なマイクロパーミッションを強制し、許可された正確なリソースとデータのみとやり取りすることを保証し、サプライチェーンリスクを最小限に抑えます。
• インシデント報告と管理：Diditのプラットフォームによって生成されるすべてのID認証および認証イベントの詳細な監査証跡は、インシデント分析と報告のための重要なデータを提供し、DORAのインシデント管理義務を果たすのに役立ちます。

開始する準備はできましたか？

DORA準拠のためのマイクロパーミッション戦略の実装は、圧倒されるような作業である必要はありません。Diditの包括的なIDプラットフォームを使用すれば、金融機関独自の要求に合わせて、柔軟で安全かつレジリエントなアクセス制御システムを構築できます。Diditが堅牢なデジタル運用レジリエンスの達成にどのように役立つかをご覧ください。

デモセンターを見る

ビジネスコンソールにアクセス

料金を見る