企業における「ID管理」【第3回】事例で分かる 業務委託とID管理の「深い関係」とは (1/2)

ID管理は自社だけでなく、ビジネスパートナーとの間でも重要な役割を果たす。インシデント事例を基に、どのような点が問題になるか、対策は何かについて解説しよう。

[宮川晃一，NEC]

インシデントから学ぶID管理

　前回（働き方改革にGDPR、そしてM&A　企業を取り巻くID管理の課題とは）は、アイデンティティー管理（以下、ID管理）を取り巻く環境に加え、ID管理に関連する制度や課題について紹介した。

　3回目となる本稿では業務委託などの「ITサプライチェーン」（注）の視点から、セキュリティに関するID管理の重要性について解説する。2018年3月26日にIPA（情報処理推進機構）が発表した「ITサプライチェーンの業務委託におけるセキュリティインシデント及びマネジメントに関する調査報告書」のインシデント事例、特に業務委託関連事例を基にしてセキュリティとID管理との関連性、そして対策について説明する。

※注：IPAが定義する「ITシステム・サービスに関する業務を系列企業やビジネスパートナーなどに外部委託し、その委託が連鎖する形態」のこと。

ID管理を取り巻く環境と課題

• 「パスワード定期更新」の“悪夢”から学校を解放する認証手段とは？
• ID管理システムはAI、生体認証を活用へ　ユーザー環境の多様性にどう対応するか
• “パスワードがない世界”が目前でも「パスワード使い回し」が大問題になる理由

最新の認証方式

• 最強のGoogleアカウント保護機能「Advanced Protection Program」が不正アクセスを防ぐ3つの仕組み
• 「パスワードのいらない時代」が本当にくるかも、新認証技術「FIDO」が本格普及へ

ITサプライチェーン全体で考えなければならなくなったセキュリティ

　従来、セキュリティ対策は、どちらかといえば「個別の企業」に閉じていた。例えばサプライヤーと直接接点がある購買部門は、自社の情報セキュリティに関する方針に準拠さえしていれば、他に特段の対処をせずに各種契約を進めることができた。特にISMS（情報セキュリティマネジメントシステム）認証などの第三者認証の取得企業は、「認証がある」というだけで他社から取引の許可が得られるといった実態が、少なからずあったと筆者は想像している。

　情報漏えいを含むさまざまなインシデントが発生している現状を踏まえると、こうした状態は長続きしないと考えられる。企業には自社だけでなく、相手の企業にも一歩踏み込む対策が求められるようになるはずだ。実際のインシデントの事例で、対策を検討してみよう。