全社のIDを「すべて把握できている」企業は約5割、しかし約9割に管理漏れが発覚──ジョーシス調査

　ジョーシスは、従業員300名以上の企業・団体に勤務するCIO・CISO、情報システム・IT・セキュリティ部門の役職者を対象に、認証情報漏洩とアイデンティティセキュリティに関する調査を実施した。

　同調査では、企業が認証情報漏洩をどの程度のリスクとして捉えているのかに加え、ID・アクセス権限やAIエージェントの把握・管理状況、ID・アクセス管理ポリシーの整備・実行状況、セキュリティ投資の優先順位などを調査。加えて、SaaS・ID管理を支援するJosysの導入企業を対象に、導入前の管理認識と、導入後に明らかになったSaaS・IDの管理実態を調査している。詳細な‍調査結果は以下のとおり。

1）84.0％が認証情報漏洩を「経営リスク」と認識

　SaaSやシステムへのアクセスに使うID・パスワードなどの認証情報について、漏洩を「重大な経営リスク」「経営リスク」と捉える回答者は84.0％だった。認証情報が漏洩すると、第三者による不正アクセスや情報漏洩、業務停止につながる可能性がある。IT部門だけでなく、事業継続や企業信用に影響する経営課題として認識されているという。

2）約5割がID・アクセス権限を「すべて把握」と回答

　全社のID・アクセス権限を「すべて把握できている」と回答した人は48.5％だった。半数近くの企業が、アイデンティティセキュリティの基盤となるID・アクセス権限の管理を、一定程度できていると認識していることがわかる。

3）Josys導入企業の89.7％で、導入後に認証情報の管理漏れを可視化、86.2％が管理対象となる新たなSaaS・IDを発見

　Josys導入をきっかけに、管理漏れが判明した企業は合わせて89.7％、新たに管理すべきSaaS・IDを把握できた企業は合わせて86.2％だった。導入前には「管理できている」と認識していた企業でも、導入後に管理漏れが判明しているという。

　これらの結果から、ID・アクセス権限を把握できていると認識していても、実際には管理対象から漏れているSaaS・IDが存在する可能性が示されたと同社は述べている。

4）44.0％がAIエージェントの利用状況とアクセス権限を管理

　AIエージェントの利用状況を把握し、アクセス権限まで管理していると回答した人は44.0％だった。AIエージェントは、専用IDやサービスアカウント、利用者から与えられた権限などを使って、SaaSやデータへアクセスする。連携先や権限は運用中に変わる可能性があるため、AIエージェントも一つの管理対象として捉え、「どのAIが、どのSaaSと連携し、どの権限を持っているか」を継続的に把握する必要があるとのことだ。

5）SCS評価制度でも重視されるID・アクセス管理、約8割がポリシーの明文化と全社実行を両立できず

　6項目すべてを全社共通のポリシーとして明文化している人は24.5％だった。そのうち、設定したすべての事項を全社で実行できている人を確認したところ、全体の20.5％であり、明文化と全社実行を両立できていない人は79.5％に上るという。

　経済産業省が策定するサプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）では、アイデンティティ管理・認証・アクセス制御に関する対策が要求事項に含まれている。今回の結果から、評価制度で重視される領域に対して、企業のポリシー整備と実行が追いついていない状況がうかがえるとしている。

6）アイデンティティセキュリティへの投資優先順位は、5領域中最下位

　投資優先順位は、ネットワーク、エンドポイント、データ、クラウド、アイデンティティセキュリティの順となった。アイデンティティセキュリティを最下位の5位とした人は57.5％だった。認証情報漏洩を経営リスクと捉える人が多い一方、関連するセキュリティ投資の優先順位は低いといえる。

7）対策を阻む最大の要因は「専門知識・人材不足」46.0％

　アイデンティティセキュリティ対策を十分に実施できない最大の要因は、「専門知識・人材不足」の46.0％だった。次いで「人員・時間不足」が32.5％、「予算不足」が31.5％となっている。

　IDやSaaSなどの管理対象が増えるなか、専門人材と運用リソースの不足が、ポリシーの整備・実行や継続的な管理を難しくしているとのことだ。

調査概要

①企業・団体のセキュリティ対応実態調査

• 調査期間：2026年7月24日〜2026年7月30日
• 調査方法：インターネット調査
• 対象企業：従業員300名以上の企業・団体
• 対象者：CIO・CISO、情報システム・IT・セキュリティ部門の役職者
• 有効回答数：200名
• 調査主体：ジョーシス株式会社
• 表記：四捨五入し、小数第1位までの値で記載

②Josys導入企業におけるSaaS・ID管理実態調査

• 調査期間：2026年8月5日～2026年8月18日
• 調査方法：インターネット調査
• 対象企業：Josys導入企業
• 対象者：CIO・CISO、情報システム・IT・セキュリティ部門の役職者・担当者
• 有効回答数：58社
• 調査主体：ジョーシス株式会社
• 表記：回答数を基に算出し、四捨五入して小数第1位まで記載

【関連記事】
・日本は今や世界最大のランサムウェア標的──ジョーシス松本社長が警鐘、日経225の96％で認証情報漏洩を確認
・「CrowdStrike Falcon Next-Gen Identity Security」に新機能、AIエージェントのID管理を強化
・Google CloudとOktaがパートナーシップ拡大、ID管理／クラウドサービスなど統合