新型コロナウイルス感染症（COVID-19）のパンデミック（世界的大流行）を機に、VPN（仮想プライベートネットワーク）の導入が広がった。しかしVPNを狙った攻撃も活発化し、VPNのセキュリティリスクが指摘されるようになった。VPNをより安全なツールに置き換える選択肢として、「ZTNA」（ゼロトラストネットワークアクセス）が登場している。

　ZTNAには例えば、設定されたセキュリティポリシーが許可するまでトラフィック（ネットワークを流れるデータ）を制限する機能がある。そのトラフィックに関与する全てのユーザーのIDを検証し、アクセスを許可した後でも変更がないかどうかを再度検証する。これは社内外を問わず、全ての通信を怪しいと見なす「ゼロトラストセキュリティ」の考え方に基づいている。

　「VPNでは一度システムに入り込めば、ずっと居残れる」と、コンサルティング会社General Dynamics Information Technology（GDIT）のバイスプレジデント、マシュー・マクファデン氏は説明する。一方で「ZTNAではユーザーからデバイス、アプリケーション、データまで、あらゆる情報が何度も検証される」（同氏）

　近年、ZTNAの製品化も進んでいる。例えば、Amazon Web Services（AWS）のアクセス管理サービス「AWS Verified Access」や、セキュリティベンダーPalo Alto Networksの「SASE」（セキュアアクセスサービスエッジ）製品「Prisma Access」にZTNAの機能が採用されている。

7．「シングルサインオフ」の登場

　1度の認証で複数のシステムにアクセスできる手法として、「シングルサインオン」（SSO）がある。SSOにひも付いて、次は「シングルサインオフ」が登場する可能性があると、調査会社Gartnerのセキュリティアナリスト、フェリックス・ゲートゲンス氏は語る。シングルサインオフとは、ユーザーが複数のシステムにSSOでアクセスした際、1度のログアウトで複数のシステムを閉じられる仕組みだ。技術基盤としてシングルサインオフを可能にするのは、開発中の「継続的アクセス評価プロファイル」（CAEP：Continuous Access Evaluation Profile）だという。

　CAEPを使用すれば、システムにアクセス中のデバイスのセキュリティポリシーに反する挙動を検出し、セッションを閉じることができる。「IDプロバイダーとSaaS（Software as a Service）プロバイダー間で、リアルタイムにリスクについて信号を送り合える」（ゲートゲンス氏）。MicrosoftやGoogle、Appleなどが、CAEPの採用を進めている。2025年から2026年にかけて普及が始まると同氏は予想する。

　もう一つ、注目すべき動きが、新たなIDセキュリティ標準「IPSIE」（Interoperability Profile for Secure Identity in the Enterprise）の策定だ。非営利団体OpenID Foundationが立ち上げたワーキンググループには、MicrosoftやGoogleの他、ID管理サービスを提供するOktaが参加。IPSIEによって、複数のIDを一つにまとめるための技術開発に取り組んでいる。

　ログアウトを適切に管理しなかったり、定期的に再認証を要求しなかったりする場合、攻撃を招く恐れがある。

8．自動化の推進

　大半の企業がIDセキュリティに十分に取り組めていない。その理由は、実施すべきことが多岐にわたり、持っているリソースでは対応し切れないことだ。その解決策として期待されているのは、タスクを自動化できるIAMツールの導入だ。GDITのマクファデン氏は、IAMの取り組みを「可能な限り自動化する」よう勧める。

9．MFAの強化

　セキュリティを強化するために「MFA」（多要素認証）を導入する企業が広がっている。MFAツールは、パスワード入力だけではなく、ユーザーに複数の異なる認証要素の提供を要求する。しかし近年、MFAツールを狙った攻撃も活発化している。例えば、認証済みのユーザーに向けたテキストメッセージを傍受しようとする攻撃がある。組織は「MFAを無効にする攻撃に耐性のある『耐フィッシングMFA』（Phishing-Resistant MFA）に取り組むことが重要だ」（マクファデン氏）