# 内部者リスク ## 定義 内部者リスク(insider risk)とは、内部からシステムや専有知識への信頼されたアクセスを持つ人物(insider)が、悪意・過失・偶発のいずれかによって組織に害を及ぼしうる脅威を指す。ある人物が実際に組織に害を及ぼす行動を取れる状態になったとき、その人物は*内部者脅威(insider threat)*になったと表現される。*Building Secure and Reliable Systems* 第2章は内部者を3類型に整理する: (1) **first-party insiders** — 従業員・インターン・役員・取締役など、事業目的のために直接組織に受け入れられた人。内部者リスクに関する報道の大半はこの類型に関するものである。(2) **third-party insiders** — オープンソースソフトウェアの貢献者、APIを通じて特権的アクセスを得た外部開発者、商業パートナー・委託先・ベンダー・監査人など、組織の誰も直接会ったことがないかもしれない人を含む。(3) **related insiders** — 家族・同居人など、内部者と生活を共にすることで間接的にアクセスや影響力を持ちうる人。「職場」を自宅やテレワーク環境まで含めて広く定義する必要があるとされる。(Source: [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 2 Understanding Adversaries]] ch.2 §Insiders, §Third-Party Insiders, §Related Insiders) 内部者の意図を判定することは本質的に難しい問題である。システムが内部者の行動によって停止した場合、それが事故か故意かを確定するには法務・人事・場合によっては法執行機関との連携が必要になることが多く、極端な過失のケースでは確定的な判断が不可能なこともある。したがって設計・運用・保守の各段階では、悪意ある行動と意図しない行動の両方を想定し、両者を常に区別できるとは限らないという前提を置くべきだとされる。(Source: 同上 ch.2 §Determining Insider Intent) 内部者リスクの脅威モデリングには、*actor/role*(その組織に存在する役割: エンジニアリング・運用・営業・法務・マーケティング・経営陣など)・*motive*(偶発的・過失・侵害された・金銭的・思想的・報復的・虚栄心など)・*action*(データアクセス・持ち出し・削除・改変・注入・報道機関へのリークなど)・*target*(利用者データ・ソースコード・文書・ログ・インフラ・サービス・財務情報など)という4要素を組み合わせる簡易フレームワークが有効だとされる。この4要素は自由に組み合わせて多様なシナリオ(業績評価に不満を持つエンジニアが報復的にバックドアを仕込む、脅迫されたSREが暗号鍵を渡してしまう、超過勤務中の財務担当者が誤って年間収益を1000倍に改変するなど)を作れる、ブレインストーミングや簡単なカードゲームにも応用できる枠組みである。(Source: 同上 ch.2 §Threat Modeling Insider Risk) 内部者リスクへの設計上の対策として、本章は6つの概念を特に効果的だとして挙げる: **最小権限の原則**(職務遂行に必要な最小限の権限のみを、範囲と期間の両面で付与する)、**ゼロトラスト**(内部者が広範なアクセスを持たなくて済むよう自動化・プロキシ機構を設計する)、**多者認可**(機微な操作に複数人の承認を技術的に要求する)、**業務上の正当化(business justifications)**(機微なデータ・システムへのアクセス理由を正式に文書化させる)、**監査と検知**(全アクセスログと正当化理由が適切かをレビューする)、**復旧可能性(recoverability)**(不満を持つ従業員によるファイル削除のような破壊的行動からシステムを復旧できる能力)である。著者は、外部の攻撃者への対策と内部者リスクへの対策の多くが本質的に同型であり、システムやデータへのアクセスを持つ者は誰でも本章で述べたいずれの攻撃者類型にもなりうる、という前提に立つべきだと結論づける。(Source: 同上 ch.2 §Designing for Insider Risk) 信頼性とセキュリティの交差は、内部者への対策を設計するときに最も先鋭化する。内部者に付与された特権的アクセスが原因であり、大半の信頼性インシデントは、自分がシステムに与える影響に気づいていない内部者の行動(不良コードや誤った設定変更など)に起因する一方、セキュリティの観点では攻撃者が従業員のアカウントを乗っ取れば、その内部者と同じ権限で悪意ある行動を取れてしまう。善意の内部者の過失とアカウント乗っ取りの双方を同時に想定した設計(最小権限の原則など)が、信頼性・セキュリティ双方のリスクを同時に低減する。(Source: 同上 ch.2 囲み記事「Intersection of Reliability and Security: Effects of Insiders」) ## 横断的知見 - 現時点では本概念のソースは *Building Secure and Reliable Systems* 第2章のみであり、複数ソースの突き合わせによる横断的知見はまだ蓄積できていない。[[敵対者の類型論]] が集約する Ross Anderson の4類型(スパイ・犯罪者・geeks・スワンプ)には「内部者」を独立の軸として扱う分類が明示的には存在しない——本概念が示す first-party / third-party / related insiders という3類型が、Anderson の動機ベースの4類型とどう対応する(あるいは対応しない)かは、*Security Engineering* 側の該当章(内部脅威を扱う章があれば)を ingest したうえで検証すべき課題として残す。 ## 未解決の問い - 「内部者の行動が悪意によるものか過失によるものかを常に区別できるとは限らない」という前提のもとで、実際のインシデント対応(法務・人事・法執行機関との連携)がどのような具体的なプロセスで進むかは、本章では触れられていない。 - third-party insiders(オープンソース貢献者・API経由の外部開発者)を「内部者」として扱う閾値は、どの程度の特権的アクセスがあれば内部者とみなすべきかという線引きが本章では明示されていない。第13・14章(コードレビュー・デプロイ)を ingest すれば、この閾値に関する具体的な実務が見えてくる可能性がある。 - 本章は「内部者への対策と外部攻撃者への対策の多くは同型である」と結論づけるが、この主張がどこまで一般化できるか(たとえば related insiders のような、システムへの直接アクセス権を持たない間接的な脅威にも同じ対策が有効か)は検証されていない。 - 内部者リスクの脅威モデリングフレームワーク(actor/role・motive・action・target)は、本書が別途扱うと予告する脅威モデリング一般の手法(第5章など、本wiki未取り込み)とどう関係するか。 ## 関連 - ソース: [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 2 Understanding Adversaries]](§Insiders, §First-Party Insiders, §Third-Party Insiders, §Related Insiders, §Threat Modeling Insider Risk, §Designing for Insider Risk) - 概念: [[敵対者の類型論]](Andersonの動機ベース4類型には内部者を独立の軸とする分類物がない) / [[セキュリティ設計原則]](最小権限の原則・完全な仲介などの一般原則) / [[ゼロトラスト]](内部者に広範なアクセスを持たせない設計) - 実体: [[Google]] ## 出典 - Heather Adkins et al. (eds.), *Building Secure and Reliable Systems*, O'Reilly Media, 2020, Chapter 2.