4.4セキュリティアーキテクチャ

システムアーキテクトにとってセキュリティ設計は、後工程で「対策を追加する」ものではなく、アーキテクチャの初期段階から組み込むべき性質のものです。境界（ファイアウォール等）さえ固めれば安全という発想は、内部ネットワークへの侵入やクラウド利用・リモートワークの普及によって通用しなくなっています。この節では、多層防御とゼロトラストという2つの防御思想、認証/認可の役割分担、そしてセキュアバイデザインの考え方を踏まえ、業務要件とリスクに応じて、どの層にどの対策を配置するかを判断する力を養います。

4.4.1多層防御とゼロトラスト

• 多層防御（defense in depth）＝ネットワーク境界・サーバ・アプリケーション・データといった複数の層それぞれに独立した対策を配置し、1つの層が突破されても他の層で被害を食い止める設計思想。境界防御（ファイアウォールのみ）に依存すると、境界を一度突破された時点で内部が無防備になるため、層ごとに異なる種類の対策（境界のファイアウォール＋サーバのパッチ管理＋アプリのWAF＋データの暗号化等）を重ねることがリスク低減の要になる。
• ゼロトラスト＝「内部ネットワークだから安全」という暗黙の信頼を置かず、社内・社外を問わずすべてのアクセスを都度検証するアーキテクチャ思想。境界防御・多層防御が「外部は危険、内部は安全」という前提に立つのに対し、ゼロトラストは内部ネットワークに侵入された前提（またはリモートワーク等で境界そのものが曖昧になった前提）に立ち、アクセスのたびに認証・認可・デバイスの状態確認を行う。両者は排他的ではなく、多層防御の1つの層としてゼロトラスト的な検証を組み込むという併用が実務的である。

4.4.2認証と認可

• 認証（Authentication）＝「利用者が誰であるか」を確認するプロセス（ID/パスワード・多要素認証MFA・証明書等）。認可（Authorization）＝認証によって特定された利用者に対し「何をしてよいか」の権限を判定するプロセス（ロールベースアクセス制御RBAC等）。認証は本人確認、認可は権限判定という別の工程であり、認証に成功したからといって全ての操作が許可されるわけではない。
• アーキテクチャ設計における典型的な誤りは、認証さえ実装すれば十分とみなし、認可（権限の粒度設計）を後回しにすることである。例えばログイン機能（認証）だけを実装し、ログイン後の全利用者に管理者相当の操作を許可してしまうと、正規のログイン利用者による過剰な権限行使（内部不正や誤操作）を防げない。最小権限の原則（必要な操作にのみ権限を絞る）に基づき、認可を認証と対にして設計することが重要である。

4.4.3セキュアバイデザインと脅威分析

• セキュアバイデザイン＝要件定義・設計の段階からセキュリティ要件を組み込む考え方で、実装完了後に脆弱性診断で欠陥を発見し後追いで修正する（コストが高くつく）やり方とは対照的に、上流工程での対策のほうが手戻りコストが小さいという原則に基づく。デフォルト設定を安全側にする（セキュアバイデフォルト）、権限は必要最小限に絞る（最小権限の原則）などが具体的な実践である。
• 脅威分析（脅威モデリング）＝設計段階で「誰が、何を目的に、どのような手口で攻撃しうるか」を体系的に洗い出し、対策の優先順位を決める活動。想定される脅威をすべて同列に扱うのではなく、発生可能性と影響度の両面からリスクを評価し、優先度の高い脅威から対策を講じることが、限られた予算の中で効果的なセキュリティ投資につながる。

ある医療情報システムのシステムアーキテクトが、リモートワークの職員が社外のネットワークから患者データにアクセスできるようにする、というシステム改修要件を受けたとします。従来の設計は「社内ネットワークに接続していれば信頼する」という境界防御を前提にしていましたが、リモートワークの導入によって境界そのものが曖昧になり、境界防御の前提が崩れることにアーキテクトはまず気づく必要があります。ここで陥りやすい誤判断は、「VPNで社内ネットワークに接続させれば、あとは既存の境界防御の仕組みがそのまま使える」という考え方です——VPN接続によって社内ネットワークに"つながった"としても、接続元の端末が私物であったりマルウェアに感染していたりするリスクは変わらず存在するため、境界防御の前提（内部＝安全）は依然として成り立ちません。適切な設計は、ゼロトラストの考え方に基づき、VPN接続の成否にかかわらず、患者データへのアクセスのたびに利用者の認証（MFA必須）・デバイスの状態確認（OSパッチ適用状況・アンチウイルスの稼働）・アクセス先データに対する認可（診療科・職務に応じた最小権限のRBAC）を都度検証することです。さらに、この改修を単発の対策として実装するのではなく、設計段階で脅威分析を行い、「私物端末からのアクセス」「公衆Wi-Fi経由の盗聴」「退職者アカウントの不正利用」といった具体的な脅威シナリオを洗い出し、それぞれの発生可能性・影響度に応じて対策の優先順位（例えば患者データの機密性の高さから、まず端末の状態確認と認可の粒度設計を優先する）を決めることが、セキュアバイデザインの実践となる。認証（MFA）だけを導入して満足し、認可の粒度設計（どの職種がどの患者データにアクセスできるか）を後回しにすると、正規にログインした職員による過剰なアクセス（本来の職務に不要な患者データの閲覧）を防げない点にも注意が必要である。

4.4.4この節のまとめ

• 多層防御は各層に独立した対策を重ね、ゼロトラストは内部も信頼せずアクセスのたびに検証する——両者は併用が実務的
• 認証（本人確認）と認可（権限判定）は別工程で、両方を対にして最小権限の原則で設計する
• セキュアバイデザインは上流工程からセキュリティを組み込み、脅威分析で発生可能性・影響度に応じ対策の優先順位を決める