まず従来型のパスワード管理方法に存在するメリット・デメリットを解説する。

紙やExcel

　誰でも見える場所にパスワードを記載した付せんを貼ることに問題があるのは明らかだ。だが、紙によるパスワード管理は、工夫によって意外とセキュリティリスクを減らせる。手帳などにID・パスワードを整理して記載し、施錠のできる引き出しなどで保管していれば、端末上にID・パスワードが残されていないため、流出する危険性は低い。ただし、持ち運び時に紛失や盗難に遭うリスクはある。メモを見ながらパスワードを毎回入力しなければならない点も煩雑だ。

　Excelによる管理では、コピー＆ペーストで入力ができるため、紙よりも運用は楽になるが流出のリスクは高くなる。ZIPファイルによる暗号化などを行い、万が一に備える必要があるだろう。

パスワード管理ツール

　パスワード管理ツールは、ツールを開く際にマスターパスワードを求められ、いったん開いてしまえば、ExcelのようにIDやパスワードのコピー＆ペーストが可能だ。データ自体も暗号化されており、多くのID・パスワードを管理するには使い勝手が良い。マルチデバイスに対応したものなら、PCだけでなくモバイル端末などでも使えて便利だ。

　ただし、パスワード管理ツール自体に脆弱（ぜいじゃく）性が潜んでいることもある。実際に幾つかの侵害事例が存在する。いったんツールに侵入されると、全てのID・パスワードにアクセスできるため、情報が漏えいした際のリスクは高い。また、パスワード管理ツールは個人での管理が主で、組織的にID・パスワードを管理するには向いていない。

IGAによる管理

　従来の方法のデメリットをカバーする選択肢になるのがIGAだ。IGAとはどのようなツールなのか。概要や導入するメリットなどを解説する。

IGAとは

　IGAとは「Identity Governance and Administration」の略で、ID管理とIDガバナンスを合わせた概念だ。ID管理とは従業員のID・パスワードを企業側で一括管理するものだ。IDガバナンスとは、従業員がシステムなどを利用する際に必要なアクセス権限を制御する。

IGAによるID・パスワード管理のメリット

　「ID管理もアクセス権限の制御も従来から行われていたのでは」と思う人もいるだろう。確かにその通りだが、従来の方法では従業員が退職した際や異動後に、それまでのIDやアクセス権限が削除されずにそのまま残っているケースなどが起こりがちだ。

　IGAによる管理では、アクセス権に関するルールの設定により、ID・パスワードの管理やアクセス権限の変更は自動で行われる。ID・パスワードの棚卸機能もあるため、定期的に使われていないものを確認可能だ。適切にIDやアクセス権の管理が行われるだけでなく、異動のたびに煩雑なアクセス権変更などを行っていた担当者の負担も軽減されるだろう。

主なIGA製品

　主なIGA製品を3点紹介する。

SailPoint Identity Security Cloud

　「SailPoint Identity Security Cloud」は、IAM（IDおよびアクセス管理）ベンダーのSailPoint Technologiesによって提供されているサービスだ。AI（人工知能）と機械学習を利用して、アクセス権限を変更する際にはAIからの提案が行われる。アクセス権限履歴など大量のデータをAI技術で解析して、リアルタイムで外れ値の監視も行っている。正規従業員だけでなく、人事システムで管理されない非正規従業員も含めて、一元的に管理できる点もメリットだ。

Okta Identity Governance

　「Okta Identity Governance」は、IAMツールベンダーOktaによって提供されているサービスだ。「Slack」や「Microsoft Teams」などのコミュニケーションツールとも連携でき、アクセス権の申請から付与までの一連の対応はOkta Identity Governance上で完結できる。アクセス権申請ワークフローもGUIで作成可能だ。IDの棚卸もシステムごとに個別で行うのではなく、一元的に管理できるようになる。

Keyspider

　「Keyspider」は、ID管理サービスベンダーKeyspiderによって提供されている国産のサービスだ。日本企業向けに開発されており、事前に異動情報を登録して発令日と同時に同期ができる。異動後もしばらく権限を保持させるなど細やかな対応も可能だ。日本でよくある兼務職制への権限付与もできるなど、日本企業特有の制度に合わせた運用ができる。

　今後も管理しなければならないIDやパスワードは増えていくだろう。従来の方法では適切に管理できなくなる恐れがあることから、IGAなど新たな管理手法が必要だ。管理方法の不備により情報漏えいが発生する前に、それぞれのニーズに合った適切なIGA製品を選ぶことが望ましい。