SaaS活用でアイデンティティ管理を簡便に
多くの企業で、権限情報はシステムごとに管理されているのが現状だろう。これを統合管理するのが「アイデンティティガバナンス」という概念だ。
オンプレミス中心のときは、社内システムでアイデンティティガバナンスを実現している企業もあった。しかし最近はクラウド化が進み、新しいシステムがかなり短いスパンで入ってくる。そのたびに新たに組み込むのは時間もコストもかかりすぎるため、SaaSなどを使う流れになっている。
「SailPoint Identity Security Cloud」もアイデンティティガバナンスを実現するSaaSのパッケージ製品の一つ。オンプレミスやクラウドなど各種システムと双方向で連携し、アイデンティティ単位で、社内のどのシステムにどんな権限を持っているかをまとめた権限情報データベースのようなものを疑似的につくって管理するイメージだ。こういった仕組みを使うことでアクセス権限を効率的かつセキュアに管理できる。
アイデンティティ管理システム選定の3つのポイント
盛口氏は、どのサービスを選ぶにせよ、「アイデンティティ管理システムに重要な三大要素がある」と述べ、次の項目を挙げた。
1. アイデンティティ管理システムと連携システムが双方向で連携する
もし片方向だった場合、連携したい業務システム側で直接変更された情報は管理できない。源泉ソースとして人事データベースを使った場合、業務システム独自のサービスアカウントやシステムアカウント、業務システムに直接登録したユーザーなどが漏れてしまう。双方向連携であれば、業務システムにある情報もアイデンティティ管理システムに集約でき、すべてのアイデンティティを漏れなく可視化・管理できる。
2. 非正規社員のアイデンティティをカバーできること
かつて経営資源といえば、人・モノ・カネだった。近年はそれに情報がプラスされ、直近ではコミュニティも加わった。外部の人も含めたコミュニティが形成され、社員以外が社内システムへアクセスする機会も増えている。そのためアイデンティティ管理においても、非正規社員のアイデンティティまでカバーできる仕組みであることが重要だ。
企業によっては、社員は人事、派遣社員は調達など管理部門が異なるケースもある。派遣社員の情報をエクセルで管理し、システムごとにログイン設定をしているような場合、管理は不透明だ。正社員と派遣社員、パート・アルバイトなどではライフサイクルも大きく違う。派遣社員は権限範囲もある程度大きく、アクセス権限の厳格な管理は欠かせない。一方、パートやアルバイトは権限範囲こそ限定的なケースが多いが、人数が多く、入れ替わりも激しいため、やはり統合的な可視化が必要だ。
3. 継続的な管理が容易にできること
「システムは入れること自体が目的ではなく、セキュリティレベルを上げるのが目的なので、できるだけ使いやすいものを導入することが重要。せっかく導入しても使われなければ意味がありません」と盛口氏。大事なのは利便性と管理性のバランスだ。
AI活用で、利便性高く、よりセキュアに
AIテクノロジーを活用して管理性も向上している製品もある。たとえば、定期的に権限の棚卸をしようと思っても、マネージャーがすべての権限を把握しておくのは難しい。不用意に権限を削除すれば、業務に支障が出かねない。結果、何もしないということもあるだろう。SailPoint Identity Security Cloudには、そんなときに同等の役職の人の権限と比較し、ほとんどの人が持っている権限なら“OK”と推測、限られた人しか有していない権限なら“要チェック”と判断するレコメンド機能がある。盛口氏は「こうした機能で利便性高く使えることはセキュリティレベルを上げることにつながります」と話す。
なお、SailPoint Identity Security Cloudは上に挙げた三大要素をすべてカバーしている。100以上のコネクタで、多様な業務システムとスムーズに双方連携が可能。基本のプラットフォーム上で動く様々なマイクロサービスがあり、必要に応じて取捨選択することでコストと利便性のバランスをとりやすくなっている。
同製品は、国内外の様々な企業で採用されているが、社内システムが複雑なほど管理の効率化を感じやすいため、大企業の採用が多いという。「他にも海外で多拠点を展開する製造業、規制が厳しい金融・保険・製薬サービス、正社員以外の方も多く働くサービス業なども効果を発揮しやすいと思います」と盛口氏は分析する。
最後に盛口氏は再び、アイデンティティガバナンスが企業経営に欠かせないことを強調。「アイデンティティガバナンスはITシステム刷新における一丁目一番地。いくらよいシステムを入れても、セキュリティリスクを抱えた状態では、企業経営のリスクが発生します。AIなども活用しつつ、セキュアで漏れのないアイデンティティガバナンスを効率的に実施していくことが重要です」と締めくくった。
