IAMシステムの市場が拡大するにつれ、IT部門の選択肢が増えている。IAM製品やサービスを扱うベンダーにおいても注力する部分は違っている。Ping IdentityやForgeRockなどが提供するIAM製品では、認証と属性情報の交換を重視する。これに対し、TruliooとSignicatは、脅威の特定に役立つIDデータの収集に力を入れている。

　IAM製品の使いやすさ（ユーザーエクスペリエンス）を考慮することも重要だ。例えば、パスワードの入力を何度も要求されると煩わしく感じるユーザーもいる。権限認証の仕組みである「OAuth」を利用するIAM製品はその煩わしさをなくすため、ユーザーが一度パスワードを入力すれば、全ての企業ポータルにログインできるようになる。

　IT担当者は、ログイン履歴や使用量などの定量データ（メトリクス）を追跡するツールも事前に確認すべきだ。こうしたツールは、アクセスを管理、統制するため、ディレクトリ管理用にLDAP（Lightweight Directory Access Protocol）と「Active Directory」を組み込んでいる必要がある。その代わりとして、管理者はブロックチェーンを使ったアプリケーションで、アクセス管理を外部に委ねることもできる。

購入後に検討する機能

　自社の現在のニーズを満たすIAMシステムを購入するのは簡単だ。だが、システムの将来にも配慮する必要がある。管理者は、新しい脅威、パートナー、テクノロジーに応じて、パスワード管理ポリシーの変更、システム全体のリソースへのアクセスの簡素化、新たなツールの導入を検討することが必要になる。

　IAMシステムは、セキュリティリスクを抑えるため、パスワードの管理に重点を置く。IAMツールはコンプライアンスを守る必要があるが、管理者ならそれ以上のことができる。細かく言えば、個別のページやディレクトリレベルで認証を管理できる。あるいはサイト全体で認証を管理することもできる。

　システムがSSOやMFAを使ってユーザーを認証しても、IT担当者にはまだ仕事が残っている。リスクの監視を続け、新しい脅威に対抗するためにパスワード管理ポリシーを絶えず変更しなければならない。IT部門はユーザー登録を自動化することで、ID管理の効率を上げることができるだろう。

　ユーザーがセキュリティの確保された領域（セキュリティドメイン）以外のリソースにアクセスする必要があれば、IT部門は統合ID管理を検討する必要がある。その結果、社内ユーザーが外部リソースに、外部ユーザーが社内リソースにアクセスできるようになる。

　ID統合により、ユーザーは関連するセキュリティドメイン全体で認証を受けるのは一度だけになる。さらに、複数のドメインにアクセスすることで起きる問題も緩和される。しかし、管理者の仕事は終わらない。自社ドメインのアクセスレベルの管理は引き続き必要だ。企業がID統合の作成を決めるときは、その企業に属する全員が統合の構築に必要なポリシーとテクノロジーに同意しなければならない。

　人工知能と生体認証（バイオメトリクス）も、IAM製品を特徴付けている。こうしたテクノロジーが進化するにつれ、IAM製品も進化し、テクノロジーや多種多様なデバイスやアプリケーションにアクセスする新たな手段に対処することになる。

　現状では、多くの管理者が、企業アクセスを判断するためにユーザー名とパスワードを資格情報として使用している。新しいIAMツールは、指紋認識、顔認識、音声認識を、キーストローク解析などのAI機能や、場所や時刻のデータと組み合わせて、アクセスを判断できるようになる可能性がある。セキュリティを強化するために、複数のツールを併用するのも一考だろう。