個人情報としての従業員情報の取り扱いとID管理の課題

　2018年5月25日、EUにおいてGDPRが施行された。特に個人情報の域外移転（越境データ移転）について、日本とEUは2018年7月17日、相互のデータ保護システムを「同等」であると判断し、EUと日本の間の「安全な個人データの移転」を認めることで合意（十分性認定）した。

　ここで注意したいのは、十分性認定はあるものの、全ての個人データのやりとりで一定のデータ保護を適用する必要がある点だ。

　GDPRの対象は従業員情報や認証システムに格納されているID情報を含む。そのため商業ベースで個人データのやりとりがない場合でも、注意が必要だ。企業の海外進出や海外企業とのM＆Aなどによって、ID情報を移転するケースも域外移転だと見なされる（図3）。EU以外の国についても同様の規制があり得るので、海外とのやりとりが発生する場合には事前に十分な情報収集と対策が必要だ。

図3　GDPRの適用範囲

企業再編などにおけるID管理の課題

　M＆Aや子会社統合などにより、ID管理システムや認証基盤の統合もしくは分離を迫られる企業は少なくない。分離については「どこで分けるか」を考えればいいため、難易度はそれほど高くない。問題は統合の場合だ。

　ID管理システムは一度稼働させると、システム改修には相当な労力とコストがかかる。一般的に統合の場合、単純にエンドユーザーの数が増えるだけではなく、部門再編によるアクセス権の変更や他のシステムの統廃合とセットで検討する必要性が生じる。分離と比べると、システム改修というよりは部門間調整の割合が多くなってしまう。

　推奨する解決策はフェデレーションだ。フェデレーションによって複数のシステム間で信頼関係（トラスト）を構築する。そうすることで、ユーザー認証やアクセス権限など、認証と認可に関する情報を管理する「統合認証基盤」はそのままに、お互いの認証基盤を利用して、それぞれのシステムを利用できるようになる（図4）。

　もちろんアプリケーションがフェデレーションを利用できるかどうかは調査が必要だが、有効な解決策となるだろう。ちなみに後述のIDaaSを利用する形でも同様の仕組みを実現できる。

図4　企業間フェデレーションの概要図

IDaaSの活用による迅速な導入とコスト効果

　ここ数年でクラウドサービス版ID管理であるIDaaSが普及してきた。IDaaSはクラウドでID管理をし、クラウドやオンプレミスのシステム／リソースとの間で、認可や認証といったやりとりをする（図5）。以前はクラウドサービス利用時のセキュリティの懸念から採用に慎重な動きが見られたが、最近では積極的にIDaaSを利用する機運が高まっているという。

　企業ごとのカスタマイズが難しいなど自由度は高くないが、あらかじめ想定された運用に合わせられれば、かなり便利に利用できる。導入期間と初期コストをあまりかけずに利用できるため、大企業のみならず中堅・中小企業にも導入しやすい。ただしランニングコストは発生するため、5年程度のコストはあらかじめ算出しておいた方がよい。5年間のコストで見ると場合によっては、大企業の場合はオンプレミスで構築した方が費用を抑えられる可能性があるからだ。

　IDaaSの一般的な機能としては、以下が挙げられる。

• フェデレーションによるシングルサインオン（SSO）機能
• ID管理機能
• アクセスコントロール機能
• パスワードセルフリセット機能
• 監査レポート機能
• 認証方式の強化機能
  • OTP（ワンタイムパスワード）やICカード、生体認証、リスクベース認証、FIDO（Fast IDentity Online）などを利用

　代表的なIDaaSとしては以下が挙げられる。

• Azure Active Directory（Microsoft）
• OneLogin
• Okta
• Centrify
• SKUID（GMOグローバルサイン）

図5　IDaaS概要図

　これまで企業におけるID管理の基本的な仕組みと課題について述べてきた。本稿の内容を参考に、適切なID管理の仕組みを構築してほしい。

　次回は事件や事故の事例を基に、システム開発やサービス運用を業務委託する一連の流れである「ITサプライチェーンセキュリティマネジメント」に注目し、ID管理の重要性について解説する。