「非人間ID」保護が急務に　46％が侵害を経験、データ漏えいも相次ぐ：可視化されないIDが新たな侵入口に

「ノンヒューマンアイデンティティー」（NHI）を巡るセキュリティリスクが顕在化している。人間以外のIDが攻撃対象領域となる中、企業はその可視化と管理体制の強化を迫られている。

≫ 2025年07月18日 07時00分公開

　増加の一途をたどる「ノンヒューマンアイデンティティー」（NHI：Non-Human Identity、非人間ID）に対するセキュリティ対策が、近年大きな注目を集めている。非人間IDは、攻撃者にとって“侵入口”や“経路”となり得る「攻撃対象領域」（アタックサーフェス）の一部であり、そのリスクに気付き始めた企業が対策強化に乗り出している。

　「ID」（アイデンティティー）と聞くと、多くの人は従業員や一般ユーザーがシステムやアプリケーションにログインする際に使う認証情報を思い浮かべるだろう。だが実際には、IDを利用するのは人間に限らない。クラウドサービスやデータリソースに接続するマイクロサービスベースのアプリケーション、自動化されたDevOps（開発と運用を連携させた手法）ツールなど、人間以外の要素もIDを保持している。こうした非人間IDの増加に伴い、企業の攻撃対象領域が拡大し、対策が求められている。

「非人間ID」が関与したインシデントとその教訓

　非人間IDによる影響が指摘される最近のインシデントを見てみよう。2023年には、ID管理ベンダーのOktaとWebセキュリティ企業のCloudflareでデータ漏えいが発生した。2024年には、BI（ビジネスインテリジェンス）プラットフォームを提供するSisenseの顧客データ漏えい、米紙「The New York Times」のソースコード漏えい、さらには世界中のWebページや書籍、動画、音声などのデジタルコンテンツを長期保存し、公開している非営利団体Internet Archiveでのデータ漏えいも報じられた。

　非人間IDとは、人間ではないエンティティーが保持するIDを指す包括的な用語だ。「マシンアイデンティティー」や「ワークロードアイデンティティー」と呼ばれることもある。非人間IDには、以下が含まれる。

API（アプリケーションプログラミングインタフェース）
サービスアカウント（自動化されたプロセスやアプリケーション専用のアカウント）
bot
RPA（ロボティックプロセスオートメーション）の認証情報
認証プロトコルOAuth（Open Authorization）のアクセストークン
デジタル証明書
パスワードやAPIキーなどの機密情報（シークレット）
ワークロード（アプリケーションが実行する処理単位）

　米Informa TechTargetの調査部門であるEnterprise Strategy Group（ESG）は、2024年12月に非人間IDのセキュリティと管理に関する調査レポートを発表した。対象となったのは、北米のIT、セキュリティ、DevOps、プラットフォーム運用、セキュリティエンジニアリングの各分野で非人間IDセキュリティに関わる専門家367人だ。調査では、企業内に存在する非人間IDの数、非人間IDを保護・管理するために導入している製品やサービス、非人間IDに関連するインシデントの発生状況、意思決定に関わる関係者、予算の規模と配分について尋ねた。

　この調査ではさまざまな事実が判明したが、特に目立ったのは非人間にID関係するインシデントの発生頻度だ。実際、調査対象者の46％が、非人間IDが侵害されたと回答した。26％は侵害の可能性ありと回答した。ただし、非人間IDの侵害が必ずしもデータ漏えいに直結するとは限らない。非人間IDに対する攻撃の状況について掘り下げた質問では、66％が「何らかの攻撃を受けた」と回答し、25％は「複数回攻撃を受けた」としている。

併せて読みたいお薦め記事

不正アクセスを防ぐために必要なIAM

取締役会は問題に気付いている

　非人間IDの侵害は、企業にとって深刻な懸念事項となり、取締役会レベルで注目を集める問題となり始めている。非人間IDに関連するインシデントは、重大なビジネス損失に直結する可能性があるからだ。経営陣の多くは、非人間IDに関わるリスクを認識し、その影響を最小限に抑えたいと考えている。こうした背景を踏まえ、セキュリティチームには非人間IDリスクの軽減に向けた明確な戦略を策定することが求められる。

　新たなアタックサーフェスとして非人間IDが浮上し、非人間IDの可視性が不足していることや、リスク軽減のためには非人間IDの適切な管理が不可欠であることが明らかになるにつれ、非人間IDセキュリティは企業にとって急速に優先度の高い課題となりつつある。

　セキュリティやID管理に携わる責任者や実務者は、もしまだ対策を講じていないのであれば、非人間IDを保護するための方策を早急に検討する必要がある。非人間IDは種類も数も非常に多岐にわたるため、その保護と管理には多様なツールや技術が必要になる。既存のID管理ツールを提供するベンダーが解決の糸口を示してくれる可能性もあるし、非人間IDセキュリティ分野で台頭するベンダーの支援を得るという選択肢もある。