ネットワークセキュリティにおけるATO（Authority to Operate）とは？意味と仕組みを徹底解説

ネットワークセキュリティにおけるATO（Authority to Operate）とは

ATO（Authority to Operate：運用許可）とは、米国連邦政府の情報システムやクラウドサービスを安全に運用するために設けられた、正式なセキュリティ承認のことです。指定された承認権限者（Authorizing Official）や指定承認当局（DAA：Designated Approving Authority）が、システムに実装されたセキュリティ対策を評価した上で、残存リスクを受け入れる形でシステムの運用を承認します。

政府機関の情報システムを安全に維持するためには、このATOセキュリティ承認プロセスを通過する必要があります。電子認可申請のセキュリティ承認プロセスの一環としてATOが判定され、これは米国連邦政府特有の専門的な手法を要するユニークなプロセスです。

ATOの目的と役割

米国におけるATOは、指定承認当局（DAA）が署名する正式な声明であり、「ビジネス製品（情報システム）の運用を承認すると同時に、それに伴うリスクを受け入れる」ことを意味します。上級機関責任者は、合意された一連のセキュリティ管理策が実装されている場合に、機関の業務・資産・個人に対するリスクを受け入れ、情報システムの運用開始前にATOを付与しなければなりません。

ATOプロセスの流れ

ATOプロセスでは、セキュリティ管理策に関連するリスクが許容範囲内であるかを評価します。その結果に基づき、連邦政府機関は一定期間にわたって情報システムの運用を承認するかどうかを決定します。なお、監査（Auditing）はATOプロセスには含まれず、「ATO監査」という呼称も使用されません。

RMFにおけるATO

2013年後半に開発されたRMF（Risk Management Framework）は、データへの安全なアクセスを実現するためのフレームワークです。RMFは、従来のC&A（Certification and Accreditation：認定・認可）プロセスを置き換えるものであり、ATOステータスの取得と維持のための6段階のライフサイクルを確立しました。

タイプ認可（Type Authorization）とは

タイプ認可はATOの一種です。タイプ認可では、発行元組織が情報システムを「できるだけ多くの組織や拠点で利用できるようにすること」を明確な目的として開発します。これにより、各組織が個別に承認プロセスを実施する負担を軽減できます。

ATO境界（認可境界）とは

OMB（米国行政管理局）A-130における認可境界の定義では、「指定された役職者が運用を承認する情報システムのすべてのコンポーネント」が含まれます。一方、個別に認可済みの接続システムは、システム統合の対象には含まれません。

FedRAMP ATOコンプライアンスとは

FedRAMP（Federal Risk and Authorization Management Program）は、米国政府が利用するクラウドサービスのセキュリティ評価プログラムです。政府と取引するすべてのCSO（Cloud Service Offering）およびCSP（Cloud Service Provider）は、FedRAMP認可を申請する必要があり、ATOはFedRAMPの必須要件となっています。

FedRAMP ATOの取得方法

FedRAMP認可の取得には、主に以下の2つの方法があります。

• JAB（Joint Authorization Board）による暫定認可：複数の政府機関にまたがって利用されるサービスに対して、暫定的な認可を取得する方法です。
• 政府機関による認可（Agency Authorization）：特定の政府機関がCSPと直接協力して認可を取得する方法です。機関は任意の時点でCSPと直接連携することが可能です。

誰がATOを必要とするのか

ATOは米国連邦政府機関で広く活用されています。例えば、従業員がネットワークにソフトウェアをインストールする前にATOの取得が求められることがあります。ATOの発行により、その製品やサービスが既存のシステムと互換性があることが証明されます。

まとめ

ATO（Authority to Operate）は、米国連邦政府の情報システムやクラウドサービスを安全に運用するための中核的なセキュリティ承認制度です。指定承認当局がリスクを評価・受容した上で一定期間の運用を承認するものであり、RMFの6段階ライフサイクルやFedRAMP認可とも密接に関わっています。政府関連のシステムやクラウドサービスを提供する事業者にとって、ATOへの理解と取得は不可欠な要件といえるでしょう。