CISSPドメイン5 IDとアクセスの管理
CISSP の8ドメインのうち、「誰（何）が、何に、どこまでアクセスしてよいか」を決め、守り、見直すドメインの学習ページです（英語では Identity and Access Management、
IAM）。このwikiの用語ページを、学ぶ順に並べています。
このドメインの問い
- 相手が誰かを、どう確かめるか（識別、身元確認、認証）
- 確かめた相手に、何を許すか（認可、アクセス制御の方式）
- 外部のサービスと、身元と認証の情報をどう受け渡すか（フェデレーション、シングルサインオン）
- 入社・異動・退職に合わせて、権限をどう付け、どう外すか（アカウントのライフサイクル）
- 強い権限を、どう絞り、どう見張るか（特権アクセス管理）
ISC2 の試験アウトライン（2024年4月15日発効）は、このドメインを6つの項目（物理と論理のアクセスの管理、識別と認証の戦略、外部のサービスとの
フェデレーション、認可の仕組み、IDとアクセスのライフサイクル、認証システムの実装）に分けています。なお、ISC2 は2027年4月15日発効の新しいアウトラインを公表しています。このドメインでは、パスワードレスの認証が独立した項目になって FIDO・WebAuthn・パスキー・生体認証の例が付き、リスクに基づく
アクセス制御が RAdAC（Risk-Adaptable Access Control）に置き換わり、5.6 は「認証と認可のシステムの実装」になります。
要点：3つの確からしさと、ライフサイクル
NIST SP 800-63-4（2025年7月）は、デジタルの身元の確からしさを3つの機能に分け、それぞれの確からしさを段階（1〜3）で表します。
| 種類 |
何の確からしさか |
このwikiのページ |
| IAL（identity assurance level） |
名乗った身元が本当にその人のものか（身元確認） |
身元確認 |
| AAL（authentication assurance level） |
認証した相手が、登録された本人か（認証） |
多要素認証 |
| FAL（federation assurance level） |
フェデレーションで、認証の結果と属性を受け渡す過程の確からしさ |
フェデレーション |
権限は、付ける（入社）、付け替える（異動）、見直す（定期）、外す（退職）の一連の流れで管理します（
アカウント管理）。
学ぶ順序
- 全体：IAM
- 確かめる：識別、身元確認、認証、多要素認証
- 許す：認可、アクセス制御、最小権限の原則、職務の分離
- 許し方の方式：任意アクセス制御、強制アクセス制御、セキュリティモデル、RBAC、ABAC
- 判断と施行を分ける：ポリシー決定点、ゼロトラスト
- 外部とつなぐ：フェデレーション、シングルサインオン、認証・認可技術
- 付けて、見直して、外す：アカウント管理
- 強い権限を守る：特権アクセス管理
- 記録して説明できるようにする：AAA、責任追跡性
- 守る相手を知る（攻撃）：フィッシング、ビッシング、ソーシャルエンジニアリング
解説と演習
このドメインの用語と基準は、このページと上の用語ページで解説しています。現場の判断を問う演習（8つの場面。場面1は無料で読めます）は note で公開しています。
日本で働くなら：対応する法令とガイドライン
| 考え方 |
日本で対応するもの |
| アクセス制御と認証 |
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」の「10（別添）講ずべき安全管理措置の内容」：個人情報取扱事業者が、情報システムで個人データを扱うときに講じなければならない技術的安全管理措置（法第23条）として、(1) アクセス制御（担当者と、扱う個人情報データベース等の範囲を限る）、(2) アクセス者の識別と認証 などを挙げている |
| 識別符号（ID とパスワードなど）の扱い |
不正アクセス禁止法 第4条（他人の識別符号を入力する不正アクセス行為〔第2条第4項第1号〕に使う目的で、アクセス制御機能に係る他人の識別符号を取得することの禁止）、第5条（業務その他正当な理由がないのに、アクセス制御機能に係る他人の識別符号を、アクセス管理者と利用権者〔利用を許された本人〕以外に提供することの禁止）、第6条（第4条と同じ不正アクセス行為に使う目的で、不正に取得された他人の識別符号を保管することの禁止） |
| 識別符号の入力を不正に求めること |
不正アクセス禁止法 第7条：アクセス管理者になりすまして、識別符号の入力を求める情報を Web で公開したり、電子メールで送ったりすることの禁止（フィッシング） |
| アクセス管理者の努力義務 |
不正アクセス禁止法 第8条：アクセス管理者は、識別符号と、それを確かめるために使う符号（照合用のデータ）の適正な管理に努め、アクセス制御機能の有効性を検証し、必要なときは機能の高度化などの措置を講ずるよう努める |
罰則は、第4条・第6条・第7条の違反と、相手が
不正アクセス行為に使う目的と知って第5条に違反した場合が1年以下の拘禁刑又は50万円以下の罰金（第12条）、それ以外の第5条の違反が30万円以下の罰金（第13条）です（
不正アクセス禁止法）。
確認問題
- NIST SP 800-63-4 で、身元確認（identity proofing）とは何をすることですか
- シングルサインオンとフェデレーションの関係を説明してください
- NIST SP 800-53 Rev. 5 の AC-2(3) は、どんなアカウントを無効にするよう求めていますか
模範解答
- 主体（人など）についての情報を集め（collect）、その正しさと本物であることを確かめ（validate）、本人のものであることを確かめて（verify）、名乗った身元への確からしさを得ること。身元の確からしさの段階を IAL として定めている。
- フェデレーションは、身元と認証の情報を、ネットワークでつながった複数のシステムの間で受け渡す仕組み。シングルサインオンは、1つのアカウントとその認証器で、複数のアプリケーションにまとめて入れるようにする認証の流れで、多くはフェデレーションのプロトコルで実現される。
- 期限が切れたもの、利用者に結び付かなくなったもの、組織の方針に反しているもの、組織が決めた期間使われていないもの。これらを、組織が決めた期間のうちに無効にする。
出典
確認日：2026年10月17日
最終更新：2026年10月18日 09:30
