全システムの「入口」となるIDの重要性
デジタル化、クラウド化が進展するとともに、その利便性の穴を突いたサイバーインシデントや情報漏えいも増加している昨今、すべてのシステムの入口といっても良い「ID」の重要性が増してきています。これは別に筆者がID管理システムの開発・構築を生業にしているから重要だと言っているわけではなく、一般的にそういった議論が高まっているのです。
筆者は普段、NTTデータ先端技術で提供する統合ID管理ソリューション「VANADIS Identity Manager（VANADIS）」のプロダクトマネージャーとして業務を行う傍ら、製品の開発・構築だけでなく、セキュリティに関連したシステムの開発も行っています。こうした経験を踏まえ、本稿では実際に業務を行う中で聞かれるお客様の声も汲みながら、IDを取り巻く現況について解説していきたいと思います。
働く環境に合わせハイブリッドクラウドが増加
ここ数年、ID管理、認証の分野は大きな変化を見せています。企業活動においてはクラウドの利用が当たり前となり、リモートワークが普及したコロナ禍以降はオフィスの外からインターネットを介して社内システムを利用したり、クラウドサービスを直接利用したりする機会が各段に増えました。こうした状況の変化に対応するべく、最適なゼロトラストネットワークを利用するケースも増えているでしょう。信頼できるネットワーク内の端末からだけではなく、インターネット上でIDを使ってシステム利用可否が判断されるケースが頻繁に見られるようになりました。
オフィス内で業務をこなすのが主流だったこれまでのネットワークは、“内部”と“外部”のように、単純に社内と社外を隔てる構成が一般的でした。一方、働く場所に縛られなくなった昨今の業務環境では、社内システムからクラウドにアクセスしたり、社外から社内システムにアクセスしたりなど、「どのシステムにいつ利用者がいて、重要な情報はどこにあるのか」といった状況が分かりにくい環境に変化しています。ハイブリッドクラウドな環境が一般化しつつある現在では、IDこそが情報資産を司っていると言えるでしょう。
【画像クリックで拡大します】
このような環境の変化に合わせて、多くの企業で認証基盤を新たに作り直そうと検討する機会が増えているのだろうと、普段お客様と会話している中で筆者は感じています。実際、「10年間同じ認証基盤を使ってきたけれど、今の会社の実態と合わなくなってきて、そろそろ何とかしないといけない」といった声や、「クラウドサービスを使うためにIDaaS（Identity as a Service）を限定的に使っていたが、全面的に利用しようと考えている」といった話を耳にすることが格段に増えてきました。
また、認証基盤の見直しに合わせてよく聞くのが「情報の重要度により段階的な認証を実現する仕組みを作りたい」「多要素認証を行ってセキュリティを強化していきたい」といったリクエスト。実際に最近、筆者は以下のような相談を受けました。
- データやシステムにアクセスする際に、ユーザーがログイン済みであっても、情報の重要度に応じてもう一度本人認証をかけたい
- 外部のゲストユーザーにも一部の内部システムを使わせたいので、専用の認証ルートを作りたい
これらの要件を実現するための最適な構成を提案していくことも私たちの仕事なのですが、色々と状況をヒアリングしていくと、ユーザーが抱える問題の根本原因は認証基盤ではないところにあることが多いのです。こうした相談を受けていると、本人認証の方法や情報の重要度などに応じた認証の強固さに対して、セキュリティリスクへの対策が不足していると感じることが往々にしてあります。
