IDセキュリティーとは

組織において、クラウド・サービスの導入、リモートワークの支援、多様なエンドポイントやアプリケーションの管理が進むにつれて、ネットワーク境界はより曖昧になり、境界ベースの防御はもはや十分な効果を発揮しなくなってきています。デジタルID（システム内のユーザー、デバイス、またはアプリケーションを表す個別のプロファイル）は、データ・セキュリティーを維持するうえで極めて重要なものになっています。

IBM® のデータ侵害のコストに関する調査によると、盗難または侵害された認証情報は一般的な攻撃ベクトルであり、データ侵害の原因の10%を占めていますハッカーがユーザーの認証情報を入手すると、それを使って有効なアカウントを乗っ取り、権限を悪用します。

IDセキュリティーは、IDベースおよび認証情報ベースの攻撃リスクを最小限に抑えながら、許可されたユーザーのみが特定のリソースにアクセスできるようにする際に役立ちます。

効果的なIDセキュリティにより、組織は脆弱性を軽減し、運用効率を向上させ、フィッシング攻撃やデータ侵害といったサイバー脅威から保護することができます。

これまで組織は、ファイアウォール、仮想プライベート・ネットワーク（VPN）、アンチウイルス・ソフトウェアなどのツールによって保護された安全なネットワーク境界を確立することで、システムとデータを保護してきました。この「デジタル・フェンス」は、企業ネットワーク内のオンプレミスのものはすべて信頼できるものであり、企業ネットワーク外のものはすべてブロックする必要があるということが前提となっていました。

しかし、デジタル・トランスフォーメーションにより、その明確な境界線は消え去りました。組織がリモートワーク、ハイブリッドおよびマルチクラウド環境、サードパーティのSaaS（Software as a Service）ツールを導入したため、企業ネットワークは境界ベースのセキュリティを適用するには分散しすぎてしまいました。

セキュリティー戦略もネットワーク資産の保護からアクセスの保護へと移行したため、デジタルIDがサイバーセキュリティーの中心に据えられました。問題は「どのネットワークを使用しているのか」ではなく、「あなたは誰で、このネットワークにアクセスすべきか」という点です。

適応したのは脅威アクターも同様です。脅威アクターはファイアウォールを突破するのではなく、フィッシング、認証情報の盗難、セッションハイジャックを使用してユーザーになりすまし、権限を昇格することで、IDを直接ターゲットにし始めました。IBM® X-Force Threat Intelligence Indexによると、有効なアカウントの悪用はハッカーが企業ネットワークに侵入する最も一般的な方法の1つであり、サイバー攻撃の30%を占めています。

このような環境では、IDセキュリティーは、デジタルIDとそれに関連付けられたアクセス権限の盗難、悪用、乱用から保護することに焦点を当てた、独自のサイバーセキュリティー分野として登場しました。 

IDセキュリティは、ユーザーIDを管理し、システムとデータへのアクセスを制御するセキュリティ・フレームワークであるIDおよびアクセス管理（IAM）を基盤としています。IAMは、保護、検知、対応機能を提供し、特にデジタルIDの保護に焦点を当てています。

言い換えれば、IDセキュリティーはIAMに取って代わるものではなく、継続的な監視、コンテキストに応じたアクセスの実施、不審なアクティビティーに対する自動応答などの機能によってIAMを拡張するのです。IAMがアクセスできるユーザーを決定する場合、IDセキュリティーはアクセスの安全性を確保できるようサポートします。

IDセキュリティーとIAMを組み合わせることで、最新のIDセキュリティー・ソリューションの基盤が形成され、組織はデジタルIDを保護し、ユーザー権限を管理し、IDベースのサイバー脅威からシステムを防御できるようになります。

IDセキュリティは、ライフサイクルを通じてデジタルIDを保護するためのいくつかの異なるツールと実践を一貫性のあるプログラムに統合する分野です。この包括的なセキュリティ・フレームワークにより、組織は強固なデータ保護を維持しながらアクセス管理を合理化できます。

IDセキュリティの主なコンポーネントには以下が含まれます。

• デジタルID
• 認証メカニズム
• アクセス制御
• IDガバナンスと管理（IGA）
• ID脅威の検知と対応（ITDR）

デジタルIDは、IDセキュリティの基盤です。これは、企業システムのユーザー、デバイス、アプリを表します。

IDセキュリティーは、これらのデジタル・エンティティーを不正アクセスから保護し、悪意のある攻撃者がその権限を悪用してデータを盗んだり、資産に損害を与えたり、その他の損害を引き起こしたりしないようにします。

一般的なIDには、次のようなタイプがあります。

• ユーザーID：名前、役割、部署、アクセス権限などの属性を含む、人間のユーザーのデジタル表現。

• マシンID：アプリケーション、サービス、IoTデバイスなどのエンティティーに関連付けられたID。

• サービス・アカウント：アプリケーションが他のシステムやサービスとやり取りするために使用する特別な目的を持ったアカウント。たとえば、災害復旧ソリューションでは、サービス・アカウントを使用してデータベースから夜間にバックアップを取得する場合があります。

組織がより多くのクラウド・サービスを導入し、自動化の取り組みを強化するにつれて、多くのネットワークでマシンIDとサービス・アカウントの数が人間のユーザー・アカウントの数を上回るようになりました。ある推計によると、一般的な企業における非人間のIDと人間のIDの比率は10:1です。¹生成AIとAIエージェントの成長により、この傾向はさらに加速する可能性があります。

IDセキュリティーは、拡大し続けるこのID環境全体の可視性と制御を維持すると同時に、組織の攻撃対象領域を削減しつつ、権限のあるユーザーの安全なアクセスを促進するのに役立ちます。

認証は、ユーザーが本人であることを検証します。これは、IDセキュリティーにおいて最初の重要なチェックポイントです。ユーザーアカウントや機密データへの不正アクセスのリスクを減らすには、強力な認証が不可欠です。

主な認証方法には次のようなものがあります。

• 多要素認証（MFA）：ユーザーは本人確認のために、2つ以上の検証要素を提示するよう求められます。この要件により、アカウントにアクセスには複数の要素を盗んだり偽造したりする必要があるため、ハッカーはユーザーになりすますことが困難になります。

• 生体認証：指紋や顔認識などの固有の身体的特性を使用してユーザーを認証します。生体認証要素はパスワードよりも窃取が困難です。 

• パスワードレス認証：従来のパスワードの脆弱性を排除し、暗号鍵や生体認証といったより安全な要素を採用します。

• シングル・サインオン（SSO）：ユーザーは一度認証するだけで複数のアプリケーションにアクセスできます。SSOは、ユーザー・エクスペリエンスを向上させるだけでなく、パスワード疲れを軽減し、脆弱なパスワードや再利用したパスワードのリスクを軽減し、アクセス制御の実施を一元化することで、IDセキュリティーをサポートします。 

• 適応型認証：場所、デバイスのセキュリティー体制、ユーザーの行動パターンなど、状況に応じたリスク要因に基づいて、認証要件を動的に調整します。例えば、いつも使用している同じデバイスからログインする場合は、パスワードを入力するだけでいいかもしれませんが、同じユーザーであっても、まったく新しいデバイスからログインする場合は、本人確認のためにパスワードと指紋スキャンの両方を入力しなければならない場合があります。

アクセス制御は、認証されたユーザーがアクセスできる対象と、システム内で実行が許可されているアクションを決定します。

IDセキュリティー・フレームワークは、最小権限という原則に基づいた強力なアクセス・ポリシーを優先します。つまり、ユーザーには職務の遂行に必要なアクセス権のみが過不足なく付与されます。

アクセス制御の一般的な手法には、次のようなものがあります。 

• ロールベースのアクセス制御（RBAC）：組織内のロール（役割）に基づいてユーザーに権限を割り当てます。例えば、財務ロールはユーザーに購入を許可し、人事ロールはユーザーに人事ファイルの閲覧を許可する場合があります。

• 属性ベースのアクセス制御（ABAC）：ユーザー、リソース、アクション、および環境の属性に基づいてアクセス許可を割り当てます。たとえば、最高財務責任者（ユーザー）が支払い（アクション）を承認するために決済システム（リソース）にアクセスしたい場合、ABACはこれらの要素をまとめて分析し、アクティビティを承認します。  

• ポリシーベースのアクセス制御（PBAC）：コンテキストを組み込むことができる一元化された動的ポリシーに基づいて、ユーザー・アクセスの決定を強制します。例えば、ユーザーは、自らのセキュリティー体制が会社のエンドポイント保護基準を満たしており、かつ自分が指定された地域にいる場合に限り、顧客データベースへのアクセスを許可される場合があります。

• ジャスト・イン・タイム（JIT）プロビジョニング：ユーザーに昇格権限を必要なときだけ、限られた期間だけ付与することで、ユーザーに常時権限を付与することによるリスクを排除します。たとえば、ユーザーが本番環境サーバーで定期的な保守を実行する必要がある場合、JITプロビジョニングは一時的な管理アクセス権をユーザーに付与し、保守期間が終了すると取り消すことができます。

• 特権アクセス管理（PAM）：PAMツールは、特権アカウント（管理者アカウントなど）と特権アクティビティー（機密データの取り扱いなど）の保護に特化しています。一般的なPAM機能には、認証情報の安全な保管と管理、セッション監視、ジャストインタイム・アクセス・プロビジョニング、認証情報の自動ローテーションなどがあります。

IGAは、デジタルIDに適切なアクセス・レベルを設定し、そのアクセスが内部要件および規制要件を満たすために追跡する上で役立ちます。 

IAMソリューションは、誰がシステムとデータにアクセスできるかを制御しますが、IGAは、そのアクセスが適切で、正当であり、積極的に監視されているかどうかに焦点を当てます。IGAは、IDライフサイクルとアクセス資格を管理し、アクセス関連のリスクを軽減し、セキュリティー・ポリシーを実施するための運用フレームワークを提供します。

IGAは、医療保険の相互運用性と説明責任に関する法律（HIPAA）、サーベンス・オクスリー法（SOX）、一般データ保護規則（GDPR）などの規制基準に準拠するうえでも重要な役割を果たします。機密システムやデータへのアクセス権限が正しく割り当てられ、定期的に見直されていることを組織が証明するのに役立ちます。また、内部レビューや外部監査をサポートするための監査証跡も生成します。

IGAの主な機能は次のとおりです。

• デジタルIDのプロビジョニングとプロビジョニング解除：IDライフサイクルを通じてアクセス権を管理することで、オンボーディングを合理化し、オフボーディングのリスクを低減します。例えば、従業員がロールを変更した場合、IGAツールは古くなった権限を自動的に取り消したり、更新された責任に基づいて新しい権限を割り当てたりすることができます。

• アクセス権限の見直し：ユーザー権限の定期的な監査を実施し、過剰または不適切なアクセス・レベルを特定して修正します。定期的に監査を行うことで、 組織は、最小権限の原則を適用し、権限の悪用リスクを軽減できます。 

• セキュリティポリシーの実施と報告：職務の分離（SoD）や最小権限などのセキュリティポリシーを一貫して適用し、違反を特定します。たとえば、ユーザーが支払いシステムと承認システムの両方にアクセスしようとすると、SoDルールの違反となり、IDガバナンス・ツールがトランザクションにフラグを立てたりブロックしたりすることができます。  

ITDRは、IDインフラストラクチャーを保護し、IDベースの攻撃に対処する高度な機能により、IDセキュリティーを強化します。ITDRは、標準的なIDセキュリティーソリューションに必ずしも含まれているわけではありませんが、組織が拡大するIDベースの攻撃の脅威に対する堅牢なセキュリティー対策を求める中、存在感を高めています。

ITDRの主な機能は次のとおりです。

• 継続的な監視：認証の試行、アクセス要求、権限昇格などのIDアクティビティをリアルタイムで監視し、不審なアクティビティを検知。たとえば、ITDRは、新しい場所からログインしたユーザーや、通常は使用していない機密情報にアクセスしようとしたユーザーにフラグを立てることができます。

• 分析：通常のユーザー行動のベースラインを確立し、ハッカーが正当なアカウントを乗っ取るなど、潜在的なセキュリティ脅威を示す可能性のある逸脱にフラグを立てる高度なアルゴリズム。

• 自動対応：脅威が検知されると即座に対処し、潜在的な被害を最小限に抑える適応型セキュリティー制御。たとえば、ユーザーが認証情報を誤用の兆候を示した場合、ITDRはそのセッションを取り消したり、再認証を強制したり、機密データへのアクセスを一時的にブロックしたりすることができます。
  

IDセキュリティーは、コアIAM管理を強化し、主に次のようなメリットをもたらします。

• セキュリティー体制の強化

• 法規制への準拠

• 運用効率

IDセキュリティーは、アカウント・ハイジャック、認証情報の盗難、不正アクセス、その他のIDベースの攻撃の可能性と影響を軽減するために役立ちます。

IDセキュリティー・ツールは、組織が関連する規則への準拠を維持し、その準拠を証明するのに役立ちます。

IDセキュリティー・システムは、組織の平常オペレーションの合理化に役立ちます。

人工知能（AI）の進歩は、脅威だけでなく、機会の観点からも、IDセキュリティーに影響を及ぼしています。

生成AIの脅威は、攻撃者がより短時間で、より多くの効果的なIDベースの攻撃を仕掛けやすくします。X-Force Threat Intelligence Indexによると、X-Forceのアナリストは、ハッカーが生成AIを利用してディープフェイクの音声や動画を生成したり、説得力のあるフィッシングEメールを作成したり、悪意のあるコードを作成したりするのを目の当たりにしてきました。

一つの機会として、AI搭載のID脅威の検知と防止ツールの普及が進んでおり、組織は攻撃をより迅速に検知して阻止できるようになっています。たとえば、ITDRソリューションは機械学習を使用して、通常のユーザー行動のベースライン・モデルを作成し、それを使用して脅威となる可能性のある疑わしい逸脱を識別できます。