パスワードレス化も当然に？ これからの「IDおよびアクセス管理」（IAM）：IDおよびアクセス管理の手引き【前編】
IDを狙う攻撃が激化するにつれ、企業のIAMツールに対する期待が高まっている。実用的なIAMツールが備えるべき機能とはどのようなものか。
アジア太平洋地域（APAC）では、サイバー攻撃者が標的システムを侵害し、データの窃盗を目的として資格情報を盗み取るインシデントが相次いでいる。これを受けて、企業における「IDおよびアクセス管理」（IAM）がますます重要になりつつある。
Microsoftでアジア地域のセキュリティ事業担当の統括マネジャーを務めるマンダナ・ジャバヘリ氏によると、IDを狙う攻撃は、企業や個人を標的とするサイバー攻撃のうち最も一般的な種類の攻撃だ。IDに付与できるアクセス権限の中には、窃取されるリスクをはらむものが幾つもある。こうした状況において、「企業のIT部門が『各種クラウドサービスにあるどのデータに誰がアクセスできるのか』を把握することは、いっそう困難になっている」とジャバヘリ氏は話す。
ID管理ツールベンダーOktaでアジア太平洋地域および日本担当のバイスプレジデント兼統括マネジャーを務めるベン・グッドマン氏は、APAC地域が多様な文化、法律、規制を持つ地域であることに言及する。こうした状況で、プライバシーとパーソナライゼーションという矛盾する両者を両立させることは困難だ。IT部門には、重要なシステムに対するアクセス権限を成り行きで管理する余裕はない。
これからの「IAM」の条件とは パスワードレス化も当然に？
「強力な標準ベース認証を採用することで、データ侵害のリスクを低減できる」。IBMのセキュリティ部門IBM Securityで、アジア太平洋地域担当CTO（最高技術責任者）を務めるクリストファー・ホッキングス氏はそう指摘する。標準ベース認証は、標準化されたプロトコルや暗号技術を使用する認証を指す。「規制に関する標準が成熟しつつある現状において、IDガバナンスと『特権アクセス管理』（PAM）は、企業が自社を保護する上で中心的な役割を果たす」とホッキングス氏は補足する。
IAMは、企業の従業員や顧客、パートナー、ベンダーなどのIDの管理を容易にするプロセス、ポリシー、テクノロジーを指す。IAMツールは一般的に多要素認証（MFA）や、エンドユーザーが1つの資格情報で複数のシステムにログインできるSSO（シングルサインオン）などの機能を提供する。PAMは社内関係者による内部不正を防ぐため、IT管理者など特権を有する従業員のIDを保護することに重点を置く。
グッドマン氏は企業に、MFAを利用できるIAMツールを導入するよう勧める。それによって複数の方式での認証が必要になり、セキュリティを強化できるためだ。従業員の行動、場所、デバイスといったリスク要因に応じて認証要件を動的に調整する「アダプティブ認証」も選択肢となる。アダプティブ認証は、危険性が高い利用シナリオほど強固なセキュリティを提供する。
ポリシーやアクセス証明書を利用して、従業員が入社してから退職するまでのライフサイクル全体でIDを管理する機能を搭載するIAMツールもある。グッドマン氏が効果的だと考えるIAMツールは、従業員の入社、異動、退職に伴うユーザーIDのプロビジョニング（アクセス権限の付与）およびプロビジョニング解除（アクセス権限の取り消し）を自動化できる機能を備えるものだ。機密度の高いデータやシステムに対するアクセス権限が必要な場合には、適切な認証を確実に実行するため、カスタマイズ可能な承認ワークフローを利用できることも、優れたIAMツールの要件となる。
IAMツールが備えるべきポリシーとガバナンスに関する機能として、グッドマン氏は以下を挙げる。これらはエンドユーザーのアクセスとアクティビティーを追跡、分析するのに役立つ。
- エンドユーザーの役割に基づいたアクセス制御
- きめ細かいアクセス制御
- 包括的なログ記録、監査、レポーティング機能
IAMツールは、オンプレミスシステムやクラウドサービス、両者を併用するハイブリッドクラウドで利用可能だ。スケーラビリティ（拡張性）、管理しやすさ、使いやすさといった理由で、企業はクラウド型IAMサービスに注目している。一方で金融や医療など、規制が厳しい業種の企業は、オンプレミスシステムでIAMツールを運用する傾向にある。
企業は自社の従業員だけではなく、顧客やパートナー企業のIDも管理する必要がある。そのため、企業対企業（B2B）と企業対消費者（B2C）の両方の場面で利用可能なIAMツールの重要性も、グッドマン氏は指摘する。
これらの機能全てを1社のベンダーから調達する必要はない。IDの自動オンボーディング（利用可能な状態にすること）、パスワードレスのMFA、鍵管理といった機能は、オープンな標準に基づいており、ある程度の相互運用性がある。そのため「複数ベンダーの製品やサービスを組み合わせて使用することも検討の余地がある」とホッキングス氏は指摘する。
認証関連の標準化団体FIDO Allianceは、パスワードの代わりとなる認証資格情報（クレデンシャル）である「パスキー」（Passkey）の業界標準を主導している。パスキーはWebサイトやアプリケーションへのサインインをより高速、容易、安全にすることを目指す。
ジャバヘリ氏によるとMicrosoftは、エンドユーザーの所有物やエンドユーザーだけが知っている情報をパスワードの代替にするパスワードレスの認証方式を採用している。同社のスマートフォン向け認証アプリケーション「Microsoft Authenticator」は、Appleの「iOS」搭載スマートフォンでも、Googleの「Android」搭載のスマートフォンでも利用可能だ。Microsoft Authenticatorは、エンドユーザーがスマートフォンを使って生体認証やPINで任意のサービスにサインインできるようにする。
次回は、企業がIAMツールを用いる際のベストプラクティスを紹介する。
Computer Weekly発 世界に学ぶIT導入・活用術
米国TechTargetが運営する英国Computer Weeklyの豊富な記事の中から、海外企業のIT製
品導入事例や業種別のIT活用トレンドを厳選してお届けします。
Copyright © ITmedia, Inc. All Rights Reserved.