人間と同様に、マシンもシステムやデータにアクセスするために認証情報を提示する必要があります。しかし、人間がユーザー名、パスワード、多要素認証（MFA）に依存するのに対し、マシンはキーや証明書などのデバイスの資格情報に依存しています。
これらの認証情報により、マシンは自らの身元を証明することができます。一般的な形態としては、セキュアなネットワーク接続用のTLS証明書、リモート・アクセス用のSSH鍵、デバイス認証用の公開鍵インフラストラクチャー（PKI）発行デバイス証明書などがあります。
マシン間通信が増大するにつれて、マシンIDをサイバー脅威から保護することが大きな課題となっています。IBM X-Force脅威インテリジェンス·インデックスによると、サイバー犯罪者が有効な認証情報を悪用してネットワークにアクセスするIDベースの攻撃は、データ侵害の32％を占めています。
最新のインフラストラクチャーは、マシンIDの管理をより困難にすることもあります。IT環境は急速に拡張し、デバイスのプロビジョニングと廃止が頻繁に行われ、認証情報を常に更新する必要があります。
MIMは、この複雑さに秩序をもたらし、サイバーセキュリティーを向上させるのに役立ちます。これにより、セキュリティー・チームはデバイスの認証情報がどこに存在するかを発見し、ローテーションと失効を自動化し、セキュリティー・ポリシーを適用し、有効期限や誤用を監視することができます。
MIMを使用すると、組織はゼロトラスト・アーキテクチャーをサポートし、期限切れの証明書による不正アクセス、データ侵害、サービス停止を削減できます。また、漏洩した鍵の潜在的な露出を制限し、規制遵守に必要な監査証跡を収集することもできます。
アイデンティティー・セキュリティーにおいて、非人間的アイデンティティー（NHI）とは、アプリ、サービス、ワークロード、コンテナ、API、ボット、AIエージェントやデバイスなど、人間以外の「ユーザー」に割り当てられるデジタル・アイデンティティーのことです。
マシンIDは、サーバー、仮想マシン、エンドポイント、ネットワーク・デバイス、またはIoTデバイスなどのデバイスに特に関連付けられたNHIのサブセットです。
マシンIDという用語は、どのNHIでも大まかな意味で使われることがありますが、この用法は技術的には正しくありません。マシンID管理は、特にマシンIDとその認証情報の管理に重点を置いています。
とはいえ、マシンは、サービス・アカウントやAPIキーなどの認証情報を使用して認証するソフトウェアやサービスと頻繁にやり取りします。MIMプログラムは、多くの場合、より広範な非人間ID管理やガバナンスの取り組みと並行して実施されます。
AIエージェントの台頭により、非人間のIDと機械のIDの区別はさらに曖昧になっています。AIエージェントは多くの場合、ワークロードやサービスIDを通じて作業を実行し、システム間でタスクを委任することもできます。つまり、こうしたシステムは人間以外のIDと機械のIDが交差する場所で動作することが頻繁にあります。
AI、サイバーセキュリティ、データ、自動化に関する厳選されたニュースをThinkニュースレターで購読しているセキュリティリーダーに加わりましょう。専門家によるチュートリアルと解説をメールで直接配信することで、手軽に学ぶことができます。IBMプライバシー・ステートメントをご覧ください。
推定は45対1から92対1までさまざまですが、ほとんどのIT環境では、人間以外のIDの数が人間を大きく上回っています。
また、クラウドインフラやSaaS（Software as a Service）の採用、分散システムやマイクロサービスの台頭、コネクテッドデバイスの増加などにより、IT環境は進化し続けています。それぞれに、マシンの数が増え、認証情報の種類も増えていきます。
マシンの認証情報は、多数に加えてサイバー犯罪者にとって魅力的です。人間のユーザーとは異なり、マシンは多くの場合継続的に稼働し、自動的に認証され、MFAプロンプトなどの対話型制御に依存することができません。また、ネットワークやワークフローにおいて暗黙的に信頼されていることが多く、認証情報が侵害された場合の影響が拡大する可能性があります。
マシンIDに関連する最も一般的なセキュリティー・リスクには、次のようなものがあります。
システム内のマシンIDの数が膨大で、新しいデバイスやインスタンスがプロビジョニングされるペースにより、可視化が困難になり、サイバー犯罪者が侵入できる隙間ができる可能性があります。
多くの組織では、サーバーの廃止、仮想マシンのイメージの廃止、またはサービスからデバイスの削除を行う際に、マシンIDを正式に廃止することも怠っています。これらの古いIDは、権限がそのままの状態で、監視されていないことがよくあります。
マシンIDはコア・ワークフローに不可欠であるため、機密データへの特権アクセスが許可されることがよくあります。これらのプロセスが「正常に機能する」ことを保証するために、組織はデバイスの認証情報に必要以上に幅広い権限を付与することがよくあります。
デバイスとデバイス管理システムは、多くの場合、サードパーティーのプラットフォーム（IoTフリート管理プロバイダーやデバイス監視プロバイダー）に接続します。しかし、これらのサードパーティープラットフォームの認証情報が侵害されると、攻撃者は環境を横方向に移動することができます。
サーバーが廃止され、仮想マシンのイメージが廃止され、またはデバイスがサービスから削除されると、古い認証情報が残ることがあります。体系的な失効と廃止が行われないと、これらの孤立したデバイス認証情報はセキュリティー上のリスクになる可能性があります。
組織は通常、複数の種類のマシンID認証情報を管理しており、それぞれに異なる特性とセキュリティー要件があります。
マシンID管理は、マシンIDライフサイクルを自動化および運用化し、資格情報の発行からプロビジョニング解除までを管理します。
マシンID管理ライフサイクルの主要な段階は次のとおりです。
ディスカバリーには、ネットワーク、クラウド環境、証明書保管、アプリケーション構成をスキャンして、正式なITシステム外の認証情報を含む、使用されているすべてのデバイス認証情報を特定することが含まれます。
セキュリティー・チームは、存在すら知らなかった認証情報を見つけることがよくあります。例えば、忘れ去られたサーバーのSSHキーや、レガシー・システムに埋め込まれたデバイス証明書などです。
新しいマシンIDが確立または識別されると、MIMではそのアイデンティティーに新しい認証情報を発行します。正式なMIMプログラムにより、組織はその場しのぎの手作業ではなく、管理された監査可能なプロセスを通じて認証情報を作成できます。
プロビジョニング（適切なマシンに適切な資格情報を付与）の際、組織は多くの場合、最小権限の原則に従い、各マシンにその機能を実行するために必要なレベルのアクセス権のみを付与しようとします。
例えば、クラウドで作成された仮想マシンには、IAMシステム内で特定のIDを割り当てることができます。その後、MIMは、仮想マシンが必要とする短期間の認証情報を自動的に受け取るようにするのに役立ちます。これらの認証情報により、マシンに長期的なアクセス・キーを保存することなく、単一のストレージ・バケットやシークレット保管庫など、想定される特定のクラウド・リソースのみにアクセスできます。
ローテーションとは、認証情報を定期的に、または機密漏れの疑い後に置き換えることを意味します。これには、新しい証明書または鍵を発行し、古い証明書を廃止することが含まれます。
認証情報の寿命は設計上、限られています。例えば、TLS証明書の有効期限は通常90日から1年です。この限られた寿命には2つの目的があります。
1つ目は、攻撃者にとってチャンスの範囲が短縮されることです。認証情報が盗まれた場合、ローテーションすると役に立たなくなります。
第2に、定期的なローテーションを行うことで、ITチームが不意を突かれるような、証明書の期限切れによる機能停止を防ぐことができます。
自動化により手動での追跡が不要になり、ローテーションと更新を大規模に管理できるようになります。マシンID管理プラットフォームは、スプレッドシートやカレンダー・リマインダーの代わりに、認証情報インベントリーを通じて有効期限を監視し、証明書の更新とキー・ローテーションを自動的にトリガーできます。
証明書が侵害された場合やデバイスが廃止された場合など、必要に応じて、MIMは証明書を即座に取り消すことができます。失効には通常、証明書を証明書失効リストに追加するか、オンライン証明書ステータス・プロトコル（OCSP）レスポンダー（証明書が有効かどうかについてリアルタイムのクエリーに回答するサーバー）を使用することが含まれます。
プロビジョニング解除には、デバイスやインフラストラクチャー・コンポーネントを廃止する際に認証情報を定期的に削除することも含まれます。数秒または数分存在する一時的なリソースの場合、MIMは、リソースが破棄されたときに自動的にプロビジョニング解除が行われるようにします。
いくつかのテクノロジーとプラクティスがMIMの基盤を形成しています。最も重要なものは、次のようなものがあります。
公開鍵インフラストラクチャーは、デジタル証明書を通じてユーザーの身元を割り当て、識別、検証するための包括的なフレームワークです。これは、多くの組織がデジタル証明書の発行、管理、取り消しに使用している主要なフレームワークです。
証明機関（CA）は、サーバー、デバイス、組織などの要求元のエンティティーのIDを検証した後に、証明書を発行します。証明書には、要求元エンティティーの公開鍵やCAのデジタル署名などの貴重な情報が含まれており、これらはエンティティーの身元を証明するのに役立ちます。
例えば、WebサーバーがTLS証明書を必要とする場合、リクエスト（多くの場合、証明書署名リクエスト、CSRの形式）をCAに送信します。CAは要求を検証し、証明書を発行します。サーバーはその後、その証明書を使用してHTTPS接続を確立できます。
一部のPKIデプロイメントでは、CAが証明書を発行する前に、登録機関（RA）が証明書要求を承認することもできます。RAは、承認ステップを追加し、職務の分離を強制することで、セキュリティーを強化できます。
CLMツールは、証明書の検出、追跡、更新、失効を自動化します。クラウドとオンプレミスのシステムにまたがるハイブリッド環境全体の一元的な可視性を提供します。CLMツールは、有効期限が近づいていることを管理者に警告し、自動ワークフローをトリガーして認証情報を更新、ローテーション、取り消すことができます。
例えば、CLMツールは、組織のクラウドとオンプレミス環境全体で500件の証明書を検出し、30日以内の期限が切れる30件にフラグを立てて自動的に更新することができます。これにより、手動介入なしで障害を防ぐことができます。
シークレット管理ソリューションは、インフラストラクチャーのオートメーションやデバイス管理ワークフローで使用される認証情報（SSHキーやその他の特権シークレットなど）を安全に保管およびローテーションできます。シークレット管理ツールを使用すると、チームはデバイスのシークレットをコード・リポジトリーやその他の安全でない場所ではなく、保護された保管庫に保存できます。
シークレット管理ツールは多くの場合、DevOpsワークフローと統合して、オンデマンドで認証情報をプロビジョニングし、アクセス・ポリシーを適用し、監査ログを維持するのに役立ちます。
特権アクセス管理（PAM）ツールは、高度な特権の認証情報の管理を支援します。多くの場合、セッション監視やジャストインタイム・プロビジョニングなどの機能が提供され、必要な場合にのみアクセスを許可し、その後自動的に取り消すことができます。
例えば、PAMでは、エンジニアに本番環境サーバーへの永続的なルート・アクセス権を与えるのではなく、保守期間後に期限切れとなる一時的なSSH認証情報をプロビジョニングして、永続的な権限を軽減できます。
HSMは、秘密鍵を保管するための耐タンパー性ハードウェア・デバイスです。攻撃者がサーバーにアクセスしたとしても、暗号の部品が抽出されないように保護します。HSMは、多くの場合、金融サービスや規制遵守の面で価値があります。
例えば、銀行は支払い処理証明書の秘密鍵をHSMに保管する場合があります。これにより、サイバー犯罪者がアプリケーション・サーバーに侵入した場合でも鍵が抽出されないようにしています。
MIMとIDおよびアクセス管理（IAM）は、どちらもIDセキュリティーの一部であり、デジタルIDとそれを管理するシステムの保護に重点を置いています。
主な違いは保護する内容にあります。IAMは主に人間のユーザーに焦点を当て、MIMはマシンに焦点を当てています。
IAMシステムでは、多くの場合、人が存在することを前提とするインタラクティブなフロー（パスワード入力、MFAプロンプト、生体認証）が使用されますが、MIMは、人間の介入なしに自動化された認証情報交換を使用する必要があります。
現代のIDセキュリティー・プログラムは一般にIAMとMIMの両方を必要とし、ほとんどのIDガバナンスと管理（IGA）フレームワークはマシンIDを人間と同様に扱います。マシンには人間のユーザーと同様のガバナンス・ニーズがあります。両方の場合、組織は何が存在し、何にアクセスできるか、そしてそのアクセスが長期にわたって適切であるかどうかを追跡する必要があります。
MIMは、組織がセキュリティーを強化し、アップタイムを維持し、コンプライアンスを簡素化するのに役立ちます。
MIMは、企業のエコシステム全体にわたるデバイス認証情報を一元的に把握できるようにします。
この機能により、セキュリティー・チームは脆弱性、つまり、正体不明の認証情報、過剰なパーミッション、期限切れ間近の証明書などを簡単に特定し、ハッカーが攻撃する前に修正することができます。
自動化されたポリシー適用は、ITチームがセキュリティー標準を一貫して適用し、悪用可能な構成ミスのリスクを軽減するのにも役立ちます。
期限切れの証明書は、予期せぬダウンタイムの一般的な原因です。有効な証明書がないと、マシンは暗号化された接続を認証または確立できず、サービスがオフラインになったり、障害が発生したりする可能性があります。自動化された証明書管理は、期限が切れる前に認証情報を更新することで、これらの中断を防ぐのに役立ちます。
MIMは、一般データ保護規則（GDPR）、決済カード業界データセキュリティー標準（PCI-DSS）、健康保険の携行性と説明責任に関する法律（HIPAA）、サーベンス・オクスリー法（SOX）などの規制の遵守を維持するのを支援します。MIMは、認証情報の所有権、ローテーション履歴、機密システムへのアクセス権を文書化することで、監査証跡の提供を容易にし、コンプライアンス・レビューを合理化します。
MIMによってITインフラストラクチャーの拡張が容易になり、管理を比例的に増やさずにクラウド・ワークロード、コンテナ、接続されたデバイスを急速に増加させることができます。認証情報の発行、ローテーション、失効を自動化することでこれを実現し、環境の拡大に対応してITチームがIDを安全に維持しやすくします。
組織がマイクロサービス、IoTデバイス、AIエージェントのエコシステムを拡大し、それぞれが新しいマシンIDと認証情報を追加し、ライフサイクル全体にわたって管理する必要があるため、スムーズなスケーリングの重要性が高まっています。
ゼロトラストには、人間も機械も、すべての接続を継続的に検証することが必要です。MIMは、マシンIDを検出してカタログ化することで、継続的検証を実用化するのに役立ちます。これは、組織が特定していない認証情報を検証することができないため、必要な最初のステップです。また、アクセス制御を自動化し、環境全体に一貫して適用することで、最小権限をサポートすることもできます。
多くのメリットがあるにもかかわらず、MIMを実装・運用する際には、組織が課題に直面する可能性があります。
マシンの認証情報は、単一のシステムまたはセキュリティー・ソリューションを通じて管理されることはほとんどありません。セキュリティー・チームはPKI証明書用に1つのツールを使用し、シークレット管理には別のツールを使用し、運用チームは全面的に独自の認証情報を管理する場合があります。このツールの断片化により、可視性の大きなギャップやポリシーの不整合が生じる可能性があります。
人間のユーザーには通常、アクセス要求を定期的に承認し、権限をレビューする管理者がいます。マシンIDには同等の監視機能が備わっていない場合があります。例えば、認証情報を提供したエンジニアが役割を変更したり、組織を離れたりすると、説明責任がなくなる可能性があります。明確な所有権がなければ、認証情報は何年も確認されないままになる可能性があります。
MIMはオートメーションに依存しています。しかし、完全に自動化されたローテーションは、構成に組み込まれたキーなどの静的な認証情報を期待するアプリケーションやシステムを破壊し、システムが突然認証できずに停止を引き起こす可能性があります。組織は、優先事項を達成するための十分な自動化と、本番環境に到達する前にエラーを検出するための十分な監視のバランスを取る必要があります。