概要 | bok

概要

これは、 IAMに関する中核的なISO規格の一つであるISO/IEC 24760-2:2015に何が含まれているかの概要であり、アイデンティティシステムに関わる人による使用に対するその適合性に関する意見も併せて記載されている。

キーワード:標準

引用方法:

Dobbs G.B., (2020) 「レビュー-ISO/IEC 24760-2:2015」、 IDPro Body of Knowledge 1 (2) 。

発行日

2020年6月18日

ライセンス

クリエイティブ・コモンズ表示-非営利-非派生4.0

レビュー-ISO/IEC 24760-2:2015

ITセキュリティとプライバシー-アイデンティティ管理のフレームワーク-パート2:リファレンスアーキテクチャと要件

「ITセキュリティとプライバシー-アイデンティティ管理のフレームワーク-パート2:リファレンスアーキテクチャと要件」国際標準化機構、専門委員会、ISO/IEC JTC 1、分科委員会SC 27、2015年6月、https://www.iso.org/standard/57915.html。

レビュアー:George Dobbs

レビュー

この文書は形式的な性質を持ち、アイデンティティ管理システムの厳密なモデルと、そのシステムの設計に何を含めるべきかの概念を提供します。アーキテクチャの知識がない人は、このアプローチがあまりにもアカデミックだと感じるかもしれませんが、あなたの計画にある程度厳密さを加えようとしているなら、読み続けてください。

事前準備の後、このテキストは、受け入れ可能な最小限に文書化された設計を提供する一連の視点にジャンプする。これらはコンテキスト・ビューと機能ビューです。次に、これらの視点について、定義、関心事、およびモデルの観点から説明します。

視点から見ていくと、このテキストは2つの必須ビューをある程度詳細に取り上げています。コンテキストの視点では、ステークホルダー、アクター、コンテキスト・モデル、ユース・ケース・モデル、コンプライアンスとガバナンス・モデルについて詳しく説明しています。利害関係者に関する精緻化は、規制機関や、めったに言及されない消費者/市民の代表者または擁護者など、忘れられることが多い利害関係者の一部を特定するために有用であろう。

この文書は、検討すべき利害関係者の集合を列挙しただけではない。それはまたその人たちの関心を識別する。

本文書では利害関係者と関係者を区別しているが、リストにはかなりの重複がある。利害関係者が懸念を抱いている場合、関係者は責任を持ち、場合によっては能力を提供するが、その両方を列挙している。アクターセクションのテキストは非常に正確で、小さなスペースで多くの概念を伝えるので、勤勉な読者は注意深く勉強したいと思うかもしれない。

テキストがユースケースに移動します。本文では例として簡単なユースケースを示し、ユースケースのいくつかのクラスについて説明します(従業員、雇用者、プリンシパル、デバイス)。興味深いことに、このテキストではCustomer/Citizenの具体的な使用例は示されていませんが、Employeeの使用例は示されています。これらの概念は、主なユースケースのセクションに含まれています。その他の例を添付資料Bに示す。これらの例は有用である。ユニバーサルモデリング言語 (UML) に堪能な実践者にとっては、図とユースケースのセクションはわかりやすいものである必要があります。他の人にとっては、これは難しいかもしれません。

コンテキスト・ビューは、コンプライアンス・ガバナンス・モデルに何を含めるべきかについての短いセクションで締めくくられています。このセクションでは、チェックリストを示します。

次は機能ビューです。このセクションでは、アクターとシステム内アーキテクチャの要素との間で予想される相互作用を一覧表示します。これには、ID情報の保守、ID情報へのアクセス、アイデンティティ機関の検出やID情報の公開(方針の下で)などの一般的ではないプロセスの終了など、10のプロセスが含まれます。繰り返しになりますが、これらは簡潔に表現されていますが、施術者にとって有用なチェックリストを提供するはずです。機能コンポーネントはUML図としてAnnex Cに示されており、「信頼ルート」などの新しい項目がいくつか追加されています。

要件セクションに進む前に、4つのシナリオについて説明します。シナリオは、必要な信頼関係を決定するために使用されます。この簡単なセクションでは、各シナリオで必要な機密性、整合性、および信頼性を設計することをアーキテクトに勧めます。詳細はほとんど示されていない。例えば、連合シナリオは抽象的な用語で記述されますが、アイデンティティプロバイダまたは信頼者の一般的な概念についての言及はありません。しかし、アーキテクトは、少なくともどのようなシナリオが望ましいかを検討し、要件の確立に役立てることができます。

メインテキストは、機能要件と非機能要件の両方のリストで終わります。これは、システムの要件を確立するための優れたソースです。

付属書A~Cに加えて、文書は付属書Dを提供し、同意管理、資格情報ライフサイクル管理、構成管理(連合で)、ポリシー管理、およびプリンシパルのライフサイクル管理を含む選択されたビジネスプロセスについて詳述している。

この文書は全体的に非常に形式的で構造化されているため、アイデンティティ管理の基本概念を利用できます。アクセス管理は再帰モードでのみ参照され、識別情報自体へのアクセスを制御します。より一般的なアクセス管理については、別のISO/IEC文書、ISO/IEC 29146、Information technology-Security techniques-A framework for access managementに記載されている。これは、認可と認証についての詳細を探す場合に、読者をイライラさせるかもしれません。

レビュー担当者は、新しいIDシステムを開発したり、IDシステムの現在の状態を評価したりして、ギャップや欠点を軽減する必要のあるアイデンティティシステムに関わる人にとって、この文書は価値があると判断します。それは、そのような作業を知らせるために使用できる概念の構造化されたフレームワークを提供する。そうは言っても、それは読者が読書に大きな精神力と経験を持って来ることを要求するテキストです。このプレゼンテーションでは、アクセス管理については説明しません。完全に識別管理に焦点を当てています。アクセス管理のための別のISO/IEC文書を参照する。他にもいくつかドキュメント外の参照がありますが、このレビュー担当者は、理解にあまり影響を与えずに、それらをスキップできると感じています。この文書は、頑強なアイデンティティシステムを構築したり改訂したりしようとしており、完全な設計が作成されたという保証を得るために、自分の考えを他人の考えと比較しようとしている人に適している。