RMFに対応した設計とSecurity by Designとは？
小話：ある中堅企業の“Prepare”な一日
2025年4月、ある中堅製造会社。新年度のキックオフ会議で、情報システム部の田中さんが提案したのは「セキュリティ・バイ・デザイン」プロジェクトの始動だった。
午前：経営層との会議
田中「まず“リスクマネジメントの準備”が大事です」
部長「準備って何するの？」
田中「“守るべき資産”と“攻撃されそうな弱点”を全社で棚卸しするんです」
佐藤さん（サプライチェーン担当）「たとえば？」
田中「営業データをクラウドに保存してる端末、委託先が管理してるIoT機器、旧システムの管理者アカウントとか…」
部長「まるでIPAの午後問題みたいだな」
昼：現場の声を聞く
佐藤「最近ベンダーからの攻撃って増えてるらしいよ。うちの委託先、大丈夫かな？」
田中「取引先のセキュリティ評価や契約見直しも“Prepare”の範囲です。NIST RMFでも供給者評価は重要ですし、ISO/IEC 27036も参考にできます」
午後：脅威シナリオの整理とスコアリング
ITチームが脆弱性や攻撃経路を洗い出し、「発生確率×影響度」でスコア付け。
部長「これ、本当にIPAの試験っぽいな…」
田中「そうです。現実のリスクを構造化していくのが、“Prepare”の真髄なんです」
翌日：経営レポート提出と社内展開
・“最重要システム”には継続監視の強化案
・重要資産にはアクセス制御の厳格化
・現場には「自分自身が標的になる想定」で啓発資料を配布
結論
“Prepare”は単なる前段階ではなく、「組織としてのセキュリティ文化の土台」になる。
IPAの出題のように、“状況分析→リスク評価→対策提案”をチーム全体で具体的に取り組むことが、セキュリティの実効力につながる。
はじめに
現代の情報システムにおいて、セキュリティは後付けではなく最初から設計に組み込むことが重要です。この記事では、NISTが提唱するRMF（Risk Management Framework）と、セキュリティ・バイ・デザイン（Security by Design）の概念と、それらを実務でどう活用できるかを解説します。
RMF（リスクマネジメントフレームワーク）とは？
RMFは、情報システムのライフサイクル全体におけるリスク管理のプロセスであり、以下の7ステップで構成されます：
- 準備（Prepare）：組織のリスク戦略の策定と管理体制の整備
- 分類（Categorize）：情報資産の機密性・完全性・可用性に基づき重要度評価
- 管理策選択（Select）：NIST SP 800-53等を基に対策選定
- 実装（Implement）：管理策の実装と運用統合
- 評価（Assess）：対策の有効性評価
- 認可（Authorize）：運用許可
- 継続的監視（Monitor）：運用中の監視と改善
Security by Designとは？
Security by Designは、脆弱性を後から塞ぐのではなく、開発初期（要件定義・設計）からセキュリティを考慮するアプローチです。
特徴
- セキュリティリスクを企画段階から評価
- 設計に脆弱性対策を織り込む
- 運用時まで見据えた監視・改善体制
このアプローチは品質向上、コスト削減、法令遵守などにも貢献します。
RMF × Security by Design = 実効力のあるセキュリティ
RMFのフレームワークを活用すれば、Security by Designを組織全体で実践できます。
連携例
| RMFステップ | Security by Designにおける役割 |
|---|---|
| Prepare | 全社方針・資産棚卸・優先度決定 |
| Categorize | 守るべき対象の重要度定義 |
| Select | 設計段階での管理策反映 |
| Implement | 脆弱性対策の実装 |
| Monitor | 継続的監視と改善（EDR/DLP等） |
Active Directoryの課題とIDaaSによる改善
ADの限界
- 認可設計が複雑
- MFA未導入や監査不足
- 権限棚卸しが困難
IDaaS（例：Okta）による補完
- SSOとMFAの統合
- 条件付きアクセス（端末・場所・時間）
- IDライフサイクル管理と自動棚卸し
- Cloud対応、PAMとの連携による特権管理
SharePoint・ファイルサーバのアクセス制御（AC）
- ADやIDaaSでファイル／フォルダ単位の制御
- アクセス権の最小化＋JITアクセス
- ローカルクライアントにはDLP/EDRを併用
監査と証跡（AU：Audit and Accountability）
- PAMやIDaaSにより「誰が・いつ・どこに・何をしたか」をログ記録
- ログのWORM保存や改ざん防止
- ログからのインシデント追跡（SIEM連携）
結論：RMF実装で“伝説の無敵神話”から脱却
オンプレ信仰による「ADがあるから大丈夫」は過去の話。現代のクラウド・ゼロトラスト時代では、以下が必須です：
- 最小権限設計（RBAC/ABAC）
- JITアクセス＋セッション記録
- クラウドID基盤＋PAM連携
- エンドポイント制御と情報漏洩対策
RMFをベースにSecurity by Designを実装すれば、実効力のあるセキュリティ運用が組織全体で構築できます。