「強力な標準ベース認証を採用することで、データ侵害のリスクを低減できる」。IBMのセキュリティ部門IBM Securityで、アジア太平洋地域担当CTO（最高技術責任者）を務めるクリストファー・ホッキングス氏はそう指摘する。標準ベース認証は、標準化されたプロトコルや暗号技術を使用する認証を指す。「規制に関する標準が成熟しつつある現状において、IDガバナンスと『特権アクセス管理』（PAM）は、企業が自社を保護する上で中心的な役割を果たす」とホッキングス氏は補足する。

　IAMは、企業の従業員や顧客、パートナー、ベンダーなどのIDの管理を容易にするプロセス、ポリシー、テクノロジーを指す。IAMツールは一般的に多要素認証（MFA）や、エンドユーザーが1つの資格情報で複数のシステムにログインできるSSO（シングルサインオン）などの機能を提供する。PAMは社内関係者による内部不正を防ぐため、IT管理者など特権を有する従業員のIDを保護することに重点を置く。

　グッドマン氏は企業に、MFAを利用できるIAMツールを導入するよう勧める。それによって複数の方式での認証が必要になり、セキュリティを強化できるためだ。従業員の行動、場所、デバイスといったリスク要因に応じて認証要件を動的に調整する「アダプティブ認証」も選択肢となる。アダプティブ認証は、危険性が高い利用シナリオほど強固なセキュリティを提供する。

　ポリシーやアクセス証明書を利用して、従業員が入社してから退職するまでのライフサイクル全体でIDを管理する機能を搭載するIAMツールもある。グッドマン氏が効果的だと考えるIAMツールは、従業員の入社、異動、退職に伴うユーザーIDのプロビジョニング（アクセス権限の付与）およびプロビジョニング解除（アクセス権限の取り消し）を自動化できる機能を備えるものだ。機密度の高いデータやシステムに対するアクセス権限が必要な場合には、適切な認証を確実に実行するため、カスタマイズ可能な承認ワークフローを利用できることも、優れたIAMツールの要件となる。

　IAMツールが備えるべきポリシーとガバナンスに関する機能として、グッドマン氏は以下を挙げる。これらはエンドユーザーのアクセスとアクティビティーを追跡、分析するのに役立つ。

• エンドユーザーの役割に基づいたアクセス制御
• きめ細かいアクセス制御
• 包括的なログ記録、監査、レポーティング機能

　IAMツールは、オンプレミスシステムやクラウドサービス、両者を併用するハイブリッドクラウドで利用可能だ。スケーラビリティ（拡張性）、管理しやすさ、使いやすさといった理由で、企業はクラウド型IAMサービスに注目している。一方で金融や医療など、規制が厳しい業種の企業は、オンプレミスシステムでIAMツールを運用する傾向にある。

　企業は自社の従業員だけではなく、顧客やパートナー企業のIDも管理する必要がある。そのため、企業対企業（B2B）と企業対消費者（B2C）の両方の場面で利用可能なIAMツールの重要性も、グッドマン氏は指摘する。

　これらの機能全てを1社のベンダーから調達する必要はない。IDの自動オンボーディング（利用可能な状態にすること）、パスワードレスのMFA、鍵管理といった機能は、オープンな標準に基づいており、ある程度の相互運用性がある。そのため「複数ベンダーの製品やサービスを組み合わせて使用することも検討の余地がある」とホッキングス氏は指摘する。

　認証関連の標準化団体FIDO Allianceは、パスワードの代わりとなる認証資格情報（クレデンシャル）である「パスキー」（Passkey）の業界標準を主導している。パスキーはWebサイトやアプリケーションへのサインインをより高速、容易、安全にすることを目指す。

　ジャバヘリ氏によるとMicrosoftは、エンドユーザーの所有物やエンドユーザーだけが知っている情報をパスワードの代替にするパスワードレスの認証方式を採用している。同社のスマートフォン向け認証アプリケーション「Microsoft Authenticator」は、Appleの「iOS」搭載スマートフォンでも、Googleの「Android」搭載のスマートフォンでも利用可能だ。Microsoft Authenticatorは、エンドユーザーがスマートフォンを使って生体認証やPINで任意のサービスにサインインできるようにする。

　次回は、企業がIAMツールを用いる際のベストプラクティスを紹介する。