バックアップ権限を分離する｜日常利用アカウント侵害時の被害を限定する

当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー

バックアップを管理する権限を日常利用する権限から分離すると、日常利用するアカウントが侵害されても、バックアップまで操作されるリスクを低減できる。

サービスによって権限の実現方法は異なる。本記事では小規模環境で採用しやすい「専用アカウントによる分離」を前提とする。

なぜ権限を分離するのか

日常利用するアカウントがバックアップの管理権限も持っている場合、そのアカウントが侵害されるとバックアップまで削除・改竄される可能性がある。

バックアップデータを保護するためには、保存先だけでなく、操作できる権限も保護する必要がある。

バックアップの権限分離は、小規模環境では専用アカウントによる方法が採用しやすい。
日常利用するアカウントとは分離し、バックアップ管理以外の用途には使用しないこと。

複数人で運用する環境では、バックアップ専用アカウントを利用できる担当者を限定する。

バックアップ専用アカウントには、必要最小限の権限だけを付与する。

管理対象は次のような範囲に限定し、通常のファイル共有や他システムの管理権限は付与しない。

バックアップ専用アカウントは、バックアップの設定変更や復元作業など、必要な場面だけで利用する。

メール、Webブラウザ、通常業務などには使用しない。利用機会を減らすことで、認証情報が漏えいするリスクを低減できる。

アカウントだけを分けても、同じパスワードを利用していては意味がない。パスワードだけでなく、多要素認証や回復コードも日常利用アカウントとは共有しない。

また、バックアップ専用アカウントの認証情報をブラウザやソフトウェアへ保存しないこと。

バックアップ専用アカウントは、緊急時に利用できる状態かどうかを定期的に確認する。

権限分離は、バックアップを管理するすべてのサービスで検討する。
対象は次のとおり。

製品によって設定方法は異なるが、バックアップ管理権限を日常利用から分離する考え方は共通である。

日常利用するアカウントが侵害されても、バックアップまで同時に失わない構成を目指すことが重要である。