図1　クラウドサービスごとのクラウド事業者とユーザー企業との責任分解モデル

　中堅・中小企業やベンチャー企業ではコスト面の課題もあり、手動でIDやアクセス権を管理していることがある。問題となるのは、操作の間違いやIDを即時に反映できないことによるリスクだ。分かりやすい例では退職ユーザーアカウントの取り扱いがある。退職者のアカウントがいつまでも残っており、何者かがそのアカウントを使ってクラウドサービスにアクセスできてしまうと、情報漏えい事件につながることもあり得る。大企業ではID管理やアクセス権限管理を自動化しているケースが少なくない。

　自動化には「トークン」と呼ばれる情報を使って異なるシステム間でID認証をする「フェデレーション」、認証や認可をするための事前処理の「プロビジョニング」といった技術を用いる。大企業のように従業員、つまりエンドユーザー数が多い場合、自動化していなければエンドユーザー数に比例して手動で管理する工数が増える。さらに管理漏れを防止するという内部統制の観点からも自動化が推奨される。これらのことが大企業で管理の自動化が進んでいる理由だろう。ただしシステム化や自動化には多額のコストが発生することから、現実的には本格的なシステム化はそれなりの規模の企業でなければ難しい。小規模企業の選択肢としては、後述のIDaaSが有効だ。

働き方改革とID管理の課題

　多様な働き方の実現を推進する上で重要になるのは、ITインフラの充実だ。特にリモートワークを可能にするためには、Web会議システムをはじめとする関連システムの導入や、VPN（仮想プライベートネットワーク）をはじめとするリモートアクセス用回線の増強などが必要になる。

　申請によってリモートワークを許可する企業の場合、エンドユーザー数は比較的少ない。全社規模のリモートワークとなると、関連システムやリモートアクセス用回線といったITインフラを増強しなければならず、コスト増につながる。そうなるとリモートワーク関連システムをオンプレミスで構築するのではなく、クラウドサービスとして利用することが視野に入ってくる。そのとき懸念事項となるのがセキュリティの確保だ。特に認証の仕組みとアカウント管理、アクセス権限管理機能が重要になる。もちろんクラウドサービスを利用しない場合においても、リモートアクセスの際の認証やID管理が重要なのは論をまたない。

　オンプレミスの認証基盤とフェデレーションしている前提で、クラウドサービスをエンドユーザーに利用させるパターンとしては、主に2つがある（図2）。この他にクラウドベースの認証基盤を利用する形もあるが、そちらは後述する。

図2　リモートアクセス時におけるクラウドサービスへのアクセス形態の違い

　1つ目のパターンAは、エンドユーザーがまずVPN装置を経由してイントラネット内にアクセスし、その後クラウドサービスやオンプレミスのシステムにアクセスする方式である。エンドユーザーにとってはクラウドサービスとオンプレミスのシステムに同様にアクセスできるメリットがあり、管理者にとってもIPアドレス制御やアクセス権限設定などが実装しやすい。さらにクラウドサービスへのアクセスログも一元的に取得可能なため、IT統制をしやすいのもメリットだ。ただしVPN装置への負荷が増大する、エンドユーザーの認証回数が増えるなどのデメリットがある。

　2つ目のパターンBはエンドユーザーが直接クラウドサービスにアクセスする方式だ。仮にオンプレミスのVPN装置にアクセスできなくても、クラウドサービスを利用できる。これは災害時やオンプレミスVPN装置の不具合など不測の事態では有効なメリットとなる。デメリットはどこからでもクラウドサービスにアクセスできてしまうため、ネットワーク面でのアクセス制限ができなくなることだ。認証強化など本人確認の有効性を高めることで、セキュリティを保証しなくてはならない。アクセスログについてはクラウド側の監査の仕組みを利用する。将来的にはほとんどの企業がパターンBを選択すると推測している。なお、最近ではパターンBに加えてクラウドセキュリティの「CASB」（Cloud Access Security Broker）と組み合わせて、これらのアクセス制限やセキュリティの保証といった課題に対処する動きも出てきている。

　アカウント管理やアクセス権限管理については、管理者の手作業で実施している企業がほとんどだろう。中堅・中小企業の場合、クラウドサービスを利用した方が初期コストを抑えられるケースが少なくない。そうした企業にはクラウドサービスの検討を勧める。