爆発的に増えるID、手作業の管理はもはや不可能
まず言葉の定義として、アイデンティティとは、各種ログインIDを使う人やBotのこと。アイデンティティガバナンスとは、各アイデンティティがどんなログインIDを持ち、それぞれどのような権限を有しているかを一元管理し、企業のシステム環境の安全性を強化することを指す。
アイデンティティガバナンスの必要性が増している背景には、働き方が多様化してリモートワークが当たり前になったこと、システムのクラウドシフト、会社の資産をデジタル化して経営資源として活用するDX推進が加速していることが挙げられる。新しいシステムやBot、IoTなどの導入にともない、ログインIDの数が爆発的に増え、今や手作業では管理できないほどだ。
ユーザーにとっても、システムごとに違うログインIDとパスワードを管理するのは非常に煩わしい。しかし、システムごとにパスワードポリシーが違えば、共通化も容易ではない。この問題をSSOなどの利用でセキュアにシンプルにログインできるようになってもアイデンティティに適切な権限が付与されておらず、必要な情報にアクセスできないこともある。そのたびにシステム部門へ問い合わせるのは手間だ。盛口氏は「結果的に使うシステムが固定化され、せっかくいいシステムがあっても社内で有効活用されていないことがあります」と懸念を示す。
管理者側もユーザーからの頻繁なID・パスワード忘れへの問い合わせ対応は負担だし、管理が煩雑になり、辞めた人のIDがいつまでも残っているようなことも起こりがち。どのユーザーにどの権限を与えればよいかを管理者が把握しきれず、リクエストをすべて承認してしまい、過剰な権限が与えられてしまうこともあるという。
適切な管理ができているか、まずはセルフチェックを
こうした課題には、既に何らかの取り組みをしている企業も多いだろう。多くの企業が最初に行うのは、SSO（シングルサインオン）やMFA（多要素認証）の導入。SSOによって社内の複数システムに共通のID・パスワードでのセキュアなログインができれば、ユーザーの利便性は格段に向上し、管理の手間も大幅に削減できる。「ただ、これだけで対応を完了してしまうと、まだセキュリティレベルとしては中途半端です」と盛口氏は注意を呼びかける。
では次のステップは何か。盛口氏いわく、「アイデンティティやログインIDに紐づく権限情報を可視化し、コントロールできる状態にすること」だと言う。そもそも現時点で適切に管理できているかは、次のような質問に答えられるかどうかでセルフチェックできる。
- 誰がいくつ、どんなログインIDを持っているか？ 使っているか？
- 誰が何にアクセスできるのか。それは今も適切か？
- アイデンティティがどの組織の何にアクセスして何をしているか把握できているか？
- 疑わしい動きをしているアイデンティティを把握しているか？
適切に管理されていなければ、当然サイバーセキュリティリスクは高まる。管理できていない“野良アカウント”は、社内システムへの不正アクセスの踏み台にもなりえる。「昔のハッカーはウイルスに感染させてスキルを誇示していましたが、今は重要な情報を抜き取ってお金に換えようとする傾向」だと盛口氏。サイバーセキュリティリスクの高まりが、企業経営のリスクにより直結しやすくなっている。
経営者を対象にした調査（IGA動向調査、2022 ITR）でも、重視すべき経営課題として情報セキュリティ強化を挙げる人が多く、具体的に重視すべき情報セキュリティ課題としては「アイデンティティ管理およびガバナンス」という回答が75%以上に上った。サイバーセキュリティの担保が企業経営のリスクを抑えるために重要だという認識が高まっていることがうかがえる。
SaaS活用でアイデンティティ管理を簡便に
多くの企業で、権限情報はシステムごとに管理されているのが現状だろう。これを統合管理するのが「アイデンティティガバナンス」という概念だ。
オンプレミス中心のときは、社内システムでアイデンティティガバナンスを実現している企業もあった。しかし最近はクラウド化が進み、新しいシステムがかなり短いスパンで入ってくる。そのたびに新たに組み込むのは時間もコストもかかりすぎるため、SaaSなどを使う流れになっている。
「SailPoint Identity Security Cloud」もアイデンティティガバナンスを実現するSaaSのパッケージ製品の一つ。オンプレミスやクラウドなど各種システムと双方向で連携し、アイデンティティ単位で、社内のどのシステムにどんな権限を持っているかをまとめた権限情報データベースのようなものを疑似的につくって管理するイメージだ。こういった仕組みを使うことでアクセス権限を効率的かつセキュアに管理できる。
アイデンティティ管理システム選定の3つのポイント
盛口氏は、どのサービスを選ぶにせよ、「アイデンティティ管理システムに重要な三大要素がある」と述べ、次の項目を挙げた。
1. アイデンティティ管理システムと連携システムが双方向で連携する
もし片方向だった場合、連携したい業務システム側で直接変更された情報は管理できない。源泉ソースとして人事データベースを使った場合、業務システム独自のサービスアカウントやシステムアカウント、業務システムに直接登録したユーザーなどが漏れてしまう。双方向連携であれば、業務システムにある情報もアイデンティティ管理システムに集約でき、すべてのアイデンティティを漏れなく可視化・管理できる。
2. 非正規社員のアイデンティティをカバーできること
かつて経営資源といえば、人・モノ・カネだった。近年はそれに情報がプラスされ、直近ではコミュニティも加わった。外部の人も含めたコミュニティが形成され、社員以外が社内システムへアクセスする機会も増えている。そのためアイデンティティ管理においても、非正規社員のアイデンティティまでカバーできる仕組みであることが重要だ。
企業によっては、社員は人事、派遣社員は調達など管理部門が異なるケースもある。派遣社員の情報をエクセルで管理し、システムごとにログイン設定をしているような場合、管理は不透明だ。正社員と派遣社員、パート・アルバイトなどではライフサイクルも大きく違う。派遣社員は権限範囲もある程度大きく、アクセス権限の厳格な管理は欠かせない。一方、パートやアルバイトは権限範囲こそ限定的なケースが多いが、人数が多く、入れ替わりも激しいため、やはり統合的な可視化が必要だ。
3. 継続的な管理が容易にできること
「システムは入れること自体が目的ではなく、セキュリティレベルを上げるのが目的なので、できるだけ使いやすいものを導入することが重要。せっかく導入しても使われなければ意味がありません」と盛口氏。大事なのは利便性と管理性のバランスだ。
AI活用で、利便性高く、よりセキュアに
AIテクノロジーを活用して管理性も向上している製品もある。たとえば、定期的に権限の棚卸をしようと思っても、マネージャーがすべての権限を把握しておくのは難しい。不用意に権限を削除すれば、業務に支障が出かねない。結果、何もしないということもあるだろう。SailPoint Identity Security Cloudには、そんなときに同等の役職の人の権限と比較し、ほとんどの人が持っている権限なら“OK”と推測、限られた人しか有していない権限なら“要チェック”と判断するレコメンド機能がある。盛口氏は「こうした機能で利便性高く使えることはセキュリティレベルを上げることにつながります」と話す。
なお、SailPoint Identity Security Cloudは上に挙げた三大要素をすべてカバーしている。100以上のコネクタで、多様な業務システムとスムーズに双方連携が可能。基本のプラットフォーム上で動く様々なマイクロサービスがあり、必要に応じて取捨選択することでコストと利便性のバランスをとりやすくなっている。
同製品は、国内外の様々な企業で採用されているが、社内システムが複雑なほど管理の効率化を感じやすいため、大企業の採用が多いという。「他にも海外で多拠点を展開する製造業、規制が厳しい金融・保険・製薬サービス、正社員以外の方も多く働くサービス業なども効果を発揮しやすいと思います」と盛口氏は分析する。
最後に盛口氏は再び、アイデンティティガバナンスが企業経営に欠かせないことを強調。「アイデンティティガバナンスはITシステム刷新における一丁目一番地。いくらよいシステムを入れても、セキュリティリスクを抱えた状態では、企業経営のリスクが発生します。AIなども活用しつつ、セキュアで漏れのないアイデンティティガバナンスを効率的に実施していくことが重要です」と締めくくった。
