アクセス環境の多用化とID数の増加

近年、情報システムが置かれている環境とユーザーが利用する環境は多様化しています。クラウドサービスは一般的になりつつあり、利用環境も社内ネットワーク内でのアクセスに加えて、自宅やサテライトオフィスなど多様なアクセス経路を利用しているのです。ユーザーの種類も正社員と契約・派遣社員などの雇用形態に加え、パートナー企業、クライアントなど、多彩なユーザーにそれぞれに適切なIDと権限の管理が必要となります。

他にも、業務のデジタル化に伴いアプリケーションやサービス数は増えており、IDを増加させる直接的な要因となっています。

可用性・完全性へのビジネス的な要求の高まり

情報セキュリティに欠かせない要素に「完全性」「可用性」があります。「完全性」とは、改ざんされた情報や、古い情報ではなく、最新で正確な状態であること、「可用性」とは、情報をユーザーが求めるタイミングでいつでも使えることです。

クラウドサービスや各種アプリケーションを使った業務が普及したことにより、「完全性」「可用性」に関する要求は高まり、迅速で、かつ正確にサービスにアクセスできることが、ビジネスを進める上での前提条件になりつつあるのです。よって、あらゆるサービスの入口であるIDの管理や、それにひもづいたデータへのアクセス管理において、迅速に処理が行えること、定常的に正常な管理が提供されることが求められます。

ゼロトラスト/SASE時代への適応

サイバー攻撃とサイバー犯罪は、多様化、巧妙化が急速に進む分野です。最新のセキュリティ対策を用意していても、新たに発見される脆弱性に対する攻撃は防ぐことができません。

情報セキュリティにおいては、この状況に対処すべく、従来型の境界型セキュリティからゼロトラストへとセキュリティモデルが大きく変化しています。ゼロトラストとは、境界を越えてマルウェアや外部から侵入されているかもしれないという前提であり、すべての情報資産へのアクセスを信用せず、一つずつ確認するというセキュリティの考え方です。

ゼロトラストに沿ってセキュリティを確保するには、よりきめ細やかなアクセス管理が必要になります。ネットワークとセキュリティの機能を包括的にクラウドから提供するSASEの適用が進むこともGartnerは予測しており、そこには強固なIDの管理が必要です。このこともIGAが重要視される背景の一つとなっています。

メンバーシップ型雇用からジョブ型雇用への変化に対応

国内企業の雇用形態に見られる変化もIGAが求められる背景の一つです。国内でも従来のメンバーシップ型雇用からジョブ型雇用に切り替える動きが見られ、従業員の流動性が高まっています。

従業員の柔軟な移動はIDの管理およびそれにまつわる対応機会の増加をもたらすため、より効率的かつ広範囲なID管理とガバナンスを実現することが必要です。

ロールベースの権限付与で迅速さと細やかな制限を両立

権限付与の場面では、ユーザーごとに適切、かつ必要な権限は異なります。権限を担当する管理者にとって、ユーザーごとに正しい範囲の権限を付与し、管理を行うことは膨大な業務負荷となり、付与の遅延発生の原因ともなります。

そこで、IGAシステムでは先に企業としてのID管理に関してポリシーを定め、それに沿って権限を付与することで迅速かつ細やかな制限を両立します。そのために利用できる機能がポリシー・ロール管理です。権限を個人ごとに別々に管理するだけでなく、ロール（役割）ごとに権限を定め、ユーザーにロールを付与することで権限の管理を適切にまとめることが可能です。また、ロール以外にも組織の権限付与により同じ部署の全ユーザーに権限付与することなどもできます。

ポリシーを定めておくことで、IGAによって自動的なロール付与や権限付与を行うことができます。たとえば、「部門」と「職務」に対してそれぞれにロールと権限を定めておくことで、IGAはルールに沿って自動的に各ユーザーに対してロール付与と権限付与を行えるのです。

ポリシー・ロール管理により、権限付与の煩雑さ・遅延を削減できるため、権限の管理工数や運用工数の削減が可能です。担当者の業務負荷を下げ、生産性を上げることも見込めます。

職務分掌で権力を集中させない仕組みづくり

職務分掌をIGAシステムの仕組み上で実現し、権力集中による不正などを防ぐことが可能です。

職務分掌は、主にポリシー・ロール管理などにより実現します。リスクの高い一連のアクセス権やトランザクション権限を一人の人物だけに集中させないルールを定めておき、仕組みとして提供することで権力の集中が防げるようになるのです。例えば、業務の監査を行う場合、業務の担当者と監査の担当者が同じでは、本来の第三者による公平なチェックは実現できません。業務の担当者と監査の担当者を設定する際に、業務と権力が集中してしまわないようIGAはチェックやレポートを出力し、管理者は適切なメンテナンスを行います。

しかし、この職務分掌方法には注意も必要です。なぜなら組織の数や役割の数だけロールを別々に作成し、ロールの数が増えすぎて管理できない事態を引き起こすことがあるからです。これを避けるためには適切なロールと組織の設定でロール種別と個数を最小限に抑えることが必要となります。

ログ記録/分析でインシデントの発見と追及を効率化

監査およびレポーティング・分析機能により、IDに関する証跡（いつ、誰が、どこから、何を、どうしたかなど）を記録・収集し、分析することで、ポリシーの適用と最適化、ID関連のセキュリティインシデントの検出、リスクの評価を実現できます。

IDの利用に関するセキュリティ上の問題、リスクを把握できることで、早期のインシデント解決、リスク対策が可能です。

IDに関するインシデント、リスクに限らないことですが、早期に発見するためには定常的にデータを収集し、俯瞰してID管理とガバナンスを確認することが必要です。IGAの監査、レポーティング・分析機能では、これらの情報を自動的かつ継続的に集め、可視化することができます。