――　IDとAI技術は、今後どのように関わっていくと考えていますか。

デュランド氏　IDとAI技術の関係は、2つの観点から考えることができる。1つ目は、ID管理の特定業務を自動化する「IDのためのAI」だ。

　2つ目は「AIのためのID」だ。これは、エンドユーザーの代理として活動するAIエージェントが情報へのアクセスを必要とする、という前提に立つ。AIエージェントのアクセス範囲は適切に設定、保護されなければならない。IDを持たないものは識別できず、識別できなければ保護できない。だからこそ、AIエージェントにもIDが必要なのだ。

　AIエージェントの行動は、エンドユーザーの行動と同じように記録されるべきだ。必要最低限の権限のみを与える「最小権限の原則」を、人だけではなくAIエージェントにも適用しなければならない。

　例えば、エンドユーザーがある製品を調査する権限をAIエージェントに与えた場合、エンドユーザーの明確な同意なしにAIエージェントがその製品を購入することは望ましくない。責任の所在を明確にするためにも、全てのAIエージェントを認証、認可する必要がある。

　場合によっては、AIエージェントに対する適切なガバナンスも欠かせない。複数のAIエージェントが連携してタスクを処理する過程で、当初の目的を見失い、意図しない行動を取ってしまう危険性があるからだ。

――　IDは、具体的にどのようにセキュリティを強化するのでしょうか。

デュランド氏　われわれの生活は、デジタル取引の上に成り立っている。もはや「信頼せよ、されど検証せよ」という考え方は通用しない。これからは「検証されたものだけを信頼せよ」という考え方に従うべきだ。

　「何も信頼せず、全てを検証する」という「ゼロトラスト」の原則は、この考え方を的確に反映している。エンドユーザー、ネットワーク、デバイスのいずれも無条件に信頼せず、アクセスが必要になるたびに検証すべきだということだ。

　これまでのシステムに組み込まれていた「性善説」に基づく信頼が、かえって攻撃の温床となり、企業に対策を迫っている。この状況は、セキュリティにおける一種の「進化論」に例えることができる。攻撃という環境変化に適応し、より強固なセキュリティ対策を導入できた企業だけが生き残れるのだ。

　もしビデオ会議を通じてリモートで人材を採用した場合、実際に出社してくる人物が面接した人物と同じであるとは限らない。このような「採用詐欺」は、IDが保護すべき境界であることを示す例だ。優れたユーザー体験を提供しつつ、費用対効果が高い方法で逐一本人確認を実施できるようにすることは、企業にとっての課題であり、われわれのようなIDセキュリティベンダーにとっては好機でもある。

――　IDセキュリティ市場で起きている業界再編には、特別な意味があるのでしょうか。

デュランド氏　2025年8月にPalo Alto Networksが発表したIDセキュリティベンダーCyberArkの買収などの最近の動向は、従来のセキュリティベンダーが「もはやIDを避けては通れない」と認識したことの表れだ。

　既存のセキュリティ対策は、ネットワークやエンドポイント、Webブラウザを保護できる。しかし、結局のところ「識別できないものは保護できない」という原則に行き着く。IDに関する議論を抜きにして、本質的なセキュリティを語ることは難しい。

　API（アプリケーションプログラミングインタフェース）、処理、デバイス、エンドユーザーといった、システムに関わるあらゆるものを識別する必要がある。これらの要素が識別されないまま放置されれば、IDの不正利用のリスクを生む。AIエージェント、人間、デバイスなどの非人間的なID、これら全てが重要であり、これらを保護するためには、まず識別できる状態でなければならない。業界の再編は、「IDの時代」が到来したことの証しだ。