ブログ記事
アイデンティティ・セキュリティとは何か？情報漏洩を防ぐ管理を解説
昨今、テクノロジー抜きでビジネスを行うことはできません。そして、アイデンティティ・セキュリティなしにテクノロジーを利用することは不可能です。
アイデンティティ・セキュリティは、アイデンティティ・ガバナンスやアイデンティティ管理とも呼ばれ、すべての従業員に対し高度なアクセス制御を利かせることでサイバー脅威を防ぎます。これは組織内に存在するすべてのデジタル・アイデンティティのアクセス管理とガバナンスを可能にすることで実現します。企業のクラウド化が急速に進む中、デジタル・アイデンティティを狙うサイバーリスクからビジネスを守ることは必須です。
デジタル・アイデンティティとは何か？
デジタル・アイデンティティとは、コンピュータで処理するためのアイデンティティ情報のことで、ユーザーが内部なのか外部なのか、アクセスが許可されているのか禁止されているのかを識別するために役立つ属性情報の集合体です。これらの属性情報は、組織の在籍期間中に継続して記録・更新され、アクセス許可とセキュリティ対策への取り組みを常に最新の状態に保ちます。属性情報は、メールアドレス、ログイン認証情報（ユーザーネーム／パスワード）、暗証番号等で構成されます。
従業員がITリソースにアクセスするためには、デジタル・アイデンティティが必要です。もし適切な制御を怠ってしまうと、組織は大きなセキュリティリスクを抱えることになります。企業内には何百、何千、時には何百万というデジタル・アイデンティティが存在するので、各デジタル・アイデンティティに最小権限の原則を適用することが、セキュリティプログラムを維持するために重要となります。
IDSA（Identity Defined Security Alliance）の2022年度の報告書によると、企業の情報漏洩の84％がアイデンティティ関連だったものの、驚くことに96％はアイデンティティ関連のセキュリティ対策をすることで侵害を防止、または最小限に抑えることが可能だったとしています。
これが、企業がアイデンティティ・セキュリティへの対策を積極的に行わなければならない理由です。デジタルトランスフォーメーションが本格化している中、企業はあらゆる種類のアイデンティティを検出、保護、管理できるようにする必要があります。このアイデンティティには従業員、契約社員、ベンダー、顧客と、機械やボットなどの人間以外のユーザーも含まれます。
アイデンティティ・セキュリティはアクセス管理を超えている
「アイデンティティ」という言葉を聞くと、まずシングルサインオン（SSO）や多要素認証（MFA）といったアクセス管理を考えるかもしれません。実際は、それはアイデンティティ分野の一部にすぎません。認証は相手が名乗った通りの人であることを確かめる、本人確認を行います。しかし、これにはITリソースへのアクセスが許可されているかどうかを相互チェックし、アクセスポリシーを遵守しているかどうかの確認は含まれていません。更に、SSOとMFAでは、リソース内のどの情報をユーザーが閲覧したり編集できるかについては管理できません。データプライバシー規制の強化により、機密情報を保護するための組織の説明責任の強化がますます重要になっています。
アイデンティティ・セキュリティは、アクセス管理よりも大局的に問題を解決することができます。例えば、最小特権の原則（PoLP）を用いて、アクセス権を付与、保護、管理します。これは、すべてのユーザーが仕事をするために必要な最低限のアクセス権のみが付与されることを意味します。職務とユーザーの役割に基づいて権限を最小限にすることで、ユーザーが閲覧すべきでない情報にアクセスして機密情報が漏洩するリスクを軽減できます。
アイデンティティ・セキュリティは、利便性とセキュリティの両方に重点を置いています。これには、ユーザーロールの設定と定義、デジタル・アイデンティティのライフサイクル全体でアクセス権を統制するポリシーの作成が含まれます。
誰が特定のアクセス権を必要とするかを理解し、職務変更に基づいてアクセス権を修正や無効化できる機能は、リスク管理とコンプライアンス遵守にとって重要です。アクセスポリシーの定義付けと実行は、アイデンティティ・セキュリティの中核です。アクセス権の制御なしにテクノロジーを利用することは不可能です。
リモートワークやクラウド化の取り組み、テクノロジーにおけるパラダイムシフトを考慮すると、企業は包括的なセキュリティ戦略としてアイデンティティ・セキュリティを進化させ、構築する必要があります。
クラウド化が進む企業のためのアイデンティティ・セキュリティ
強力なアイデンティティ・セキュリティソリューションがあれば、ハイブリッド環境やマルチクラウド環境、リモートワーク、マルチデバイスなど、どんな環境であってもビジネスの基盤を保護しながらスムーズにアクセスが可能です。
企業は強力なアイデンティティ・セキュリティを導入することで、リスクの軽減、ITプロセスの自動化、従業員の満足度向上といった様々なビジネス価値創出につながることに気付きました。
アイデンティティ・セキュリティは、アクセス権を正確にプロビジョニングし、ビジネス資産を広範囲に保護しながら、コンプライアンスを確保することで、上記で挙げたような結果を生むことができます。
優れたプロビジョニング
強力なアイデンティティ・セキュリティを活用することで、入社から異動や退職といった従業員のライフサイクル全体において、AIと機械学習を活用し、適切な従業員に適切なアクセス権を適切なタイミングでプロビジョニングし、提供できます。
アイデンティティ・セキュリティは、組織全体に渡る可視性および一貫性を維持しながら、すべてのアプリケーション、システム、データ、クラウドサービスのアカウント、ロール、権限の管理および統制を可能にします。
これにより、リスクの発見、利用状況の監視、ロールの精査が容易になります。
ビジネス資産を保護
クラウド化が進む企業は、ビジネス規模を拡大する際、セキュリティを管理しながら、事業の継続性を担保することが重要です。どうすれば企業はリスクを軽減しながら、何百万ものアイデンティティとアクセスポイントを確実に管理できるのでしょうか？
アイデンティティ・セキュリティは、セキュリティ管理を実施するために高度な分析と機械学習を用いて、リスクを検出、特定、職務分離（SoD）を行い、カスタムアクセスポリシーを構築して実行します。これらのポリシーを構築することで、運用効率を維持しながらコンプライアンス要件を満たすことができます。
アイデンティティ・セキュリティの仕組みがあれば、どこにいても心配することなく、大量のユーザー、リクエスト、権限の管理を行うことができます。
コンプライアンス確保
ユーザーのアクセスを管理し、使用状況を追跡し、すべてのユーザー、アプリケーション、データに対してポリシー制御を実施することで、監査担当者にコンプライアンスの徹底状況を示すことができるようになります。
アイデンティティ・セキュリティは、企業内のすべてのデジタル・アイデンティティに対して透明性をもたらすことで、コンプライアンス遵守を確実なものにします。これには、属性、権限、さらにはアクセス履歴の情報まで含まれます。
優れたアイデンティティ・セキュリティソリューションがあれば、AIと機械学習を使用してユーザーの棚卸を迅速に行うことができます。加えて、ユーザーのライフサイクル全体を通してアカウント、権限、ポリシー、アクションの監査証跡を維持し、ポリシーを管理できます。
最後に
SailPoint Identity Security Cloudは、手動で行っていたプロセスを自動化し、セキュリティ対策をテクノロジー中心から人間中心へと転換します。また、静的なポリシー作成を動的にし、学習機能を搭載することで、一歩進んだ基盤を構築することができます。
では、クラウド化を進める企業がSailPointのアイデンティティ・セキュリティソリューションを導入することで、どのようなメリットが得られるのか見てみましょう。
