システムが複雑化するほど、IDの管理は煩雑な作業になりがちだ。ID管理の不備は、不正アクセスを招き、ランサムウェア（身代金要求型マルウェア）をはじめとした攻撃につながりかねない。そうした中で、社内外からのアクセス要求の全てを怪しいと見なす「ゼロトラストセキュリティ」の概念を取り入れ、その一環としてIAMツールを採用する動きが広がりつつある。

　IAMツールを使うことによって各従業員とデバイスにデジタルIDを付与し、ユーザーごとにアクセス権限を設定できる。ユーザーの役割に応じてアクセス権限を制限しておけば、例えば一般従業員のIDが流出した場合に、攻撃者が重要なシステムに入り込める範囲を狭めることができる。ユーザーのアクセス履歴を追跡し、セキュリティポリシーに違反していないかどうか確認することも可能だ。

　IAMツールを採用するのであれば、それを使いこなす人材が欠かせない。IAMを扱うために必要なスキルや能力は以下の通りだ。

• コミュニケーション力
  • セキュリティチームの他のメンバーをはじめ、さまざまな関係者と密に情報共有することが大切なので、一定のコミュニケーション能力は不可欠だ。
• プロジェクト管理の経験
  • 特にIAMツールを新規導入する場合、製品選定や実装、導入後のサポートなど、プロジェクト全体を管理する経験が重要になる。
• リスク評価のノウハウ
  • ユーザーごとにアクセス権限を設定するに当たり、各レベルにおけるリスクを評価しなければならない。そのため、リスク評価を理解し、実務経験を積んでいることが望ましい。
• KPI意識
  • IAM担当者はIAMツールによって「どのくらい侵入を防げたか」を経営層に示す必要があるので、KPI（主要業績評価指数）を意識して施策を実施することが求められる。
• ディレクトリ管理の知識
  • ユーザーやコンピュータを一元管理するための仕組みであるディレクトリはIAMの土台になる。特に、Microsoftのディレクトリサービス「Active Directory」（AD）の利用に関する知識や経験が重要だ。

　他にも以下の用語を知っているとIAMを扱う際に役立つ。

• 「LDAP」（Lightweight Directory Access Protocol）
  • ディレクトリサービス接続用の通信プロトコル
• 「SAML」（Security Assertion Markup Language）
  • SSOで使われる認証の標準規格
• 「OAuth」
  • サービス連携用のプロトコル
• 「多要素認証」（MFA）
  • 複数の要素を用いて認証する仕組み
• 「特権アクセス管理」（PAM）
  • 高レベルのアクセス権限を管理する手法

　後編は、IAMの認定資格を紹介する。