不正アクセスのリスクを減らすには「IAM」（IDおよびアクセス管理）への取り組みが重要になる。IAMについて今知っておくべき動向とは何か。VPNからZTNAへの移行など、主要トレンドをまとめた。
ID（アイデンティティー）が流出すれば、大きな攻撃につながりかねない。IDを守るためには、「IAM」（IDおよびアクセス管理）への取り組みが鍵を握る。IAMを巡るトレンドとして何を押さえておくべきなのか。本稿は、調査会社やコンサルティング会社などのセキュリティ専門家が予測するIAMトレンドのうち、6つ目から9つ目までを紹介する。
新型コロナウイルス感染症（COVID-19）のパンデミック（世界的大流行）を機に、VPN（仮想プライベートネットワーク）の導入が広がった。しかしVPNを狙った攻撃も活発化し、VPNのセキュリティリスクが指摘されるようになった。VPNをより安全なツールに置き換える選択肢として、「ZTNA」（ゼロトラストネットワークアクセス）が登場している。
ZTNAには例えば、設定されたセキュリティポリシーが許可するまでトラフィック（ネットワークを流れるデータ）を制限する機能がある。そのトラフィックに関与する全てのユーザーのIDを検証し、アクセスを許可した後でも変更がないかどうかを再度検証する。これは社内外を問わず、全ての通信を怪しいと見なす「ゼロトラストセキュリティ」の考え方に基づいている。
「VPNでは一度システムに入り込めば、ずっと居残れる」と、コンサルティング会社General Dynamics Information Technology（GDIT）のバイスプレジデント、マシュー・マクファデン氏は説明する。一方で「ZTNAではユーザーからデバイス、アプリケーション、データまで、あらゆる情報が何度も検証される」（同氏）
近年、ZTNAの製品化も進んでいる。例えば、Amazon Web Services（AWS）のアクセス管理サービス「AWS Verified Access」や、セキュリティベンダーPalo Alto Networksの「SASE」（セキュアアクセスサービスエッジ）製品「Prisma Access」にZTNAの機能が採用されている。
1度の認証で複数のシステムにアクセスできる手法として、「シングルサインオン」（SSO）がある。SSOにひも付いて、次は「シングルサインオフ」が登場する可能性があると、調査会社Gartnerのセキュリティアナリスト、フェリックス・ゲートゲンス氏は語る。シングルサインオフとは、ユーザーが複数のシステムにSSOでアクセスした際、1度のログアウトで複数のシステムを閉じられる仕組みだ。技術基盤としてシングルサインオフを可能にするのは、開発中の「継続的アクセス評価プロファイル」（CAEP：Continuous Access Evaluation Profile）だという。
CAEPを使用すれば、システムにアクセス中のデバイスのセキュリティポリシーに反する挙動を検出し、セッションを閉じることができる。「IDプロバイダーとSaaS（Software as a Service）プロバイダー間で、リアルタイムにリスクについて信号を送り合える」（ゲートゲンス氏）。MicrosoftやGoogle、Appleなどが、CAEPの採用を進めている。2025年から2026年にかけて普及が始まると同氏は予想する。
もう一つ、注目すべき動きが、新たなIDセキュリティ標準「IPSIE」（Interoperability Profile for Secure Identity in the Enterprise）の策定だ。非営利団体OpenID Foundationが立ち上げたワーキンググループには、MicrosoftやGoogleの他、ID管理サービスを提供するOktaが参加。IPSIEによって、複数のIDを一つにまとめるための技術開発に取り組んでいる。
ログアウトを適切に管理しなかったり、定期的に再認証を要求しなかったりする場合、攻撃を招く恐れがある。
大半の企業がIDセキュリティに十分に取り組めていない。その理由は、実施すべきことが多岐にわたり、持っているリソースでは対応し切れないことだ。その解決策として期待されているのは、タスクを自動化できるIAMツールの導入だ。GDITのマクファデン氏は、IAMの取り組みを「可能な限り自動化する」よう勧める。
セキュリティを強化するために「MFA」（多要素認証）を導入する企業が広がっている。MFAツールは、パスワード入力だけではなく、ユーザーに複数の異なる認証要素の提供を要求する。しかし近年、MFAツールを狙った攻撃も活発化している。例えば、認証済みのユーザーに向けたテキストメッセージを傍受しようとする攻撃がある。組織は「MFAを無効にする攻撃に耐性のある『耐フィッシングMFA』（Phishing-Resistant MFA）に取り組むことが重要だ」（マクファデン氏）
米国Informa TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。
Copyright © ITmedia, Inc. All Rights Reserved.
脅威の検知と迅速な対応は、セキュリティ戦略の中核をなす重要な機能だ。これを実現するために、多くの組織が自動化ツールやAIなどの技術を採用しているが、成果を挙げている組織もあれば、そうでない組織もあり、明暗が分かれている。
近年、多くの組織が多数のセキュリティ製品をパッチワーク的に導入している。その結果、運用が複雑化し、非効率な状況が生まれてしまった。このような状況を改善するためには、セキュリティベンダーを統合することが必要だ。
データセンターにおいて、NGFWやマルウェア対策といったセキュリティ製品の導入は不可欠だが、選定を誤ると非効率な運用プロセスや高いコストに悩まされることとなる。5つの組織の例から、費用対効果の高い製品を見極めるコツを探る。
ダウンタイムが許されない基幹系システムやデータベースをクラウドに展開している場合、システムの障害対策をベンダー任せにすることは危険だ。本資料では、その理由を解説するとともに、クラウドの障害対策を実施する方法を紹介する。
エンドポイントがサイバー攻撃の対象となるケースも増えている今、企業にはどのような対策が必要なのか。2024年に実施された調査の結果を基に、3つの重大なリスク要因と、その解決策としてサイバーレジリエンスが重要な理由を解説する。
いまさら聞けない「仮想デスクトップ」と「VDI」の違いとは
遠隔のクライアント端末から、サーバにあるデスクトップ環境を利用できる仕組みである仮想デスクトップ（仮想PC画面）は便利だが、仕組みが複雑だ。仮想デスクトップの仕組みを基礎から確認しよう。
「パーソナライゼーション」＆「A／Bテスト」ツール売れ筋TOP5（2025年5月）
今週は、パーソナライゼーション製品と「A／Bテスト」ツールの国内売れ筋各TOP5を紹介し...
「マーケティングオートメーション」 国内売れ筋TOP10（2025年5月）
今週は、マーケティングオートメーション（MA）ツールの売れ筋TOP10を紹介します。
「サイト内検索」＆「ライブチャット」売れ筋TOP5（2025年4月）
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。
ITmediaはアイティメディア株式会社の登録商標です。
