アイデンティティ管理（IAM）は、組織内でその役割を高め、セキュリティ上の重要性を再定義する、10年に一度のチャンスを迎えています。新たな製品を追加するのではなく、根本的に異なるもの、つまり企業セキュリティの中核を担う専門分野へと進化することで、その地位を確立できるのです。IAMの実務担当者にとって、これはバックオフィス業務というイメージを払拭し、オーケストレーター兼最前線の防御者としての役割を担う絶好の機会です。
「IAM（アイデンティティおよびアクセス管理）の実務担当者にとって、これはバックオフィス業務というイメージを払拭し、オーケストレーターや最前線の防御者としての役割を担うチャンスです。」
なぜ今なのか？ SaaS、クラウド、エージェントソフトウェア、AIエージェント、自動化サービス、高速デジタル取引の爆発的な普及により、現状は完全に覆されました。アイデンティティはもはや従業員や少数の人に限定されません。 サービスアカウント現在では、機械の速度で出現したり消滅したりする一時的なエージェント、スクリプト、ワークロード、ボットなどが含まれるようになっています。こうした人間と非人間のアイデンティティの増殖は、従来のIAMでは制御できない新たな規模と複雑さをもたらします。同時に、アイデンティティの設計、運用、セキュリティのあり方を根本的に変革する機会も生まれています。
そして、その背景にある一つの事実は変わっていません。今日の攻撃の80%以上は、依然としてID侵害に基づいています。小規模な組織でさえ、数十から数百ものIDを管理しており、大企業では数万から数十万ものIDに苦慮しています。IDの爆発的な増加は、どの組織も手動でそれらを追跡したり制御したりすることを不可能にしています。これは単なるリスクではなく、アクセスを保護するための新しいパラダイムを構築する機会でもあるのです。
アイデンティティはもはや「単なるITインフラ」や「コンプライアンス自動化」ではありません。クラウドインフラストラクチャ、AIを活用した運用、そして企業の信頼性の未来を守る上で、最も重要な構成要素となっています。この10年の半ばは、単なる技術進化の通過点ではなく、アイデンティティが現代のセキュリティの基盤となる転換点なのです。
このブログでは、IAMの簡単な歴史、IT管理からコンプライアンス、そしてセキュリティへとどのように進化してきたのかを探り、その視点から、将来の役割への段階的かつ実践的な移行を提案します。目標は、視点と強い意見の両方を提供することです。組織はIAMを監査ツールとしてではなく、今後5年間の最前線の防御策として扱うべき時が来たのです。
IAMの簡単な歴史：IT運用からセキュリティの中核へ
1960年代～1970年代：コンピューティングにおけるアイデンティティの誕生
デジタルアイデンティティのルーツは、フェルナンド・コルバトが率いたMITの互換タイムシェアリングシステム（CTSS）に遡る。コルバトは、複数の人がコンピューティングリソースを安全に共有できるように、おそらく最初の主流のアイデンティティ制御であるユーザーごとのパスワードの概念を導入した。これは、複数の段階を経て実現した革新であった。 認証認証、認可、説明責任といったすべての要素が、個々のユーザーIDに紐づけられるようになった。これが、後にIAM（アイデンティティおよびアクセス管理）という分野が誕生するきっかけとなった。
2000年代：認証情報、暗号化、コンプライアンスの乗っ取り
2000年代初頭までに、企業はユーザー名、パスワード、PIN、スマートカード、物理トークン、生体認証実験など、認証情報であふれかえった。暗号化が広く普及し、認証情報の安全な保管と交換も普及した。この10年間は、「BYOC」（Bring Your Own Credential）、請負業者、パートナー、フェデレーションアクセスが普及した時代でもあった。同時に、SOX、HIPAA、PCIなどのコンプライアンス要件により、IAMが注目を集めるようになった。アイデンティティは、業務の円滑化よりも監査人の要求を満たすことに重点が置かれるようになった。IAMは、アクセスレビュー、職務分掌チェック、ガバナンスワークフローといった証拠を提示する能力によって評価されるようになった。多くの組織では、セキュリティよりもガバナンスが優先されるようになった。
2010年代：鍵、トークン、証明書、そして非人間型アイデンティティ（NHI）の台頭
クラウド時代は、APIキー、OAuthトークン、証明書、サービスアカウントといった新しいタイプの認証情報を爆発的に増加させた。これらの認証情報は、ほとんどのセキュリティチームには見えないが、インフラストラクチャ全体を動かしていた。これが、 非人間的アイデンティティ （NHI）は、アイデンティティの主要なクラスとして、しばしば人間の40倍以上の数を占めています。同時に、ネットワーク境界の崩壊により、セキュリティチームは「アイデンティティこそが新たな境界である」と宣言せざるを得なくなりました。 MFASSOやフェデレーションIDは、もはや基本的な要件となった。しかし、IAMは依然として受動的で、プロビジョニングサイクルや静的なロールモデルに追随するばかりであり、その間にも攻撃者はこれらの新しいマシン認証情報をますます標的にしていた。
「アイデンティティは新たな境界線となった。多要素認証、シングルサインオン、フェデレーション型アイデンティティは、もはや当然の期待事項となった。しかし、IAM（アイデンティティおよびアクセス管理）は依然として受動的な存在だった。」
2020年代：人間のIAMプロセスだけでは不十分
2020年代に入り、振り子はセキュリティを最優先とするアイデンティティへと回帰しました。手動承認、静的ロール、定期レビューといった人間主導のIAMプロセスでは、クラウドやAIエコシステムの規模、速度、複雑さに対応できません。アイデンティティには、AIエージェント、一時的なワークロード、パイプライン、自動意思決定システムなどが含まれるようになりました。セキュリティ担当者は、アイデンティティをコンプライアンスの付け足しとして扱うことはできませんし、基盤となるエンドポイントやクラウドソリューションに付け足された脆弱なアイデンティティ機能に頼ることもできません。IAMは最前線となる必要があります。アイデンティティ担当者は現在、リアルタイムの意思決定、コンテキスト、および強制のために、すべてのIAMインフラストラクチャで単一のコントロールプレーンを使用しています。
この緊急性は、地殻変動的な市場の変化によって強調されています。Palo Alto Networks が CyberArk を買収し、Microsoft が Entra にセキュリティ優先の機能を追加し、Identity Threat Detection & Response (ITDR資産管理の分野は急速に拡大しており、資産管理自体もハードウェアやネットワークトポロジーではなく、アイデンティティという観点から定義されることが増えています。こうした変化は、アイデンティティがもはや単なる有線接続ではなく、新たなセキュリティ基盤であるという現実を裏付けています。
セキュリティがアイデンティティ中心のセキュリティへと進化する必要がある理由、そして今こそIAM人材が成長すべき時である理由
従来のIAMツールボックス、手動によるアクセス承認、定期的なレビュー、静的なロール、プロキシベースの強制といった手法は、クラウドとAIの時代に対応できなくなっています。IAMは今や、国境や組織を超えてシステム、プラットフォーム、データを繋ぐ結合組織となっています。より高速で、より動的で、場合によっては自律的に動作します。今日のアイデンティティは、善意のユーザーと悪意のあるユーザーの両方に利用されています。ソフトウェアを構築するAIエージェントは、マルウェアや悪意のあるボットとして悪用される可能性もあるのです。
これにより、IAM専門家は、デジタルアイデンティティという新たなフロンティアにおいて、最後の人間による介入者となります。私たちは、攻撃が成功する前に阻止、消耗させ、反撃する立場にあり、同時に、それに関連するガバナンスと運用を自動化することができます。IAMが正しい方向に変化すれば、それは第二の防御層ではなく、セキュリティそのものの最前線となるでしょう。
「今日のアイデンティティは、善人にも悪人にも利用される。ソフトウェアを開発するAIエージェントは、マルウェアや悪意のあるボットとして武器化される可能性もある。」
アイデンティティチームの役割を再定義する
この変革には、IAMチームの働き方を根本的に見直すことが求められます。IAMの役割は、もはやユーザーのプロビジョニングやSSOの有効化だけにとどまらず、セキュリティにおける人的オーケストレーターおよび最前線の防御者となることです。IAMチームは組織をつなぎ、権限と認証情報を通じてビジネスを可能にし、さらに重要なことに、コンテキストに基づいたアクセス決定を大規模にオーケストレーションします。アイデンティティが最前線となる中で、IAMチームはセキュリティのパートナーとなるのです。
IAMコントロールは、付与するすべての権限に組み込まれた「小さなエージェント」だと考えてください。これらのエージェントは、状況に応じて、アクセス決定を動的に調整・適応させる必要があります。IAMチームの役割は、まさにここに戦略的なものとなります。つまり、企業規模に合わせて拡張可能なセキュリティ基盤の一部として、これらのエージェントを構築、運用、改良していくのです。
今後の記事で詳しく説明しますが、IAMはオーケストレーションの分野へと進化する必要があり、IAMの専門家はアクセスを可能にするだけでなく、アクセスのあらゆる利用が継続的に評価され、状況に応じて強制され、リアルタイムで保護されることを保証する防御者となるべきです。
セキュリティの最前線にアイデンティティを組み込むための6つのステップガイド
(0) 頭を整理して、タスクリストを作成しましょう。 今すぐ、できる限りのことを自動化しましょう。アクセス権限のレビュー、コンプライアンス関連業務、権限の適正化、初期アクセス権限の付与などを自動化してください。これらの作業は既にコモディティ化されているので、あなたの注力すべきは他の分野です。 ガバナンスの自動化を統合し、日々の業務から手作業による監査の煩雑な作業を排除するプラットフォームを探しましょう。
(1) 操縦翼面を作成してください。 すべての制御機能を連携させましょう。サイロ化はもう不要です。人間と機械のすべてのアカウントに、相関関係とオーケストレーションのレイヤーを追加してください。すべてのルートエンティティ（ユーザー、マシン、ソフトウェア、エージェント）には、作成時から自動的に構築される明確なアクセス履歴と行動プロファイルが必要です。IDごとのリアルタイムアクセスグラフは、もはやオプションではありません。 ハイブリッドクラウド、DevOps、SaaS間でIDを統合し、継続的なアクセスマッピングと制御を実現するテクノロジーを模索する。.
(2) コントロールを完了してください。 触れることのできない領域に触れましょう。AI、DevOpsパイプライン、IoT、ICS、クラウドワークロード、そして新たなエージェントシステムに関して、適切な制御体制を確保してください。非人間的なアイデンティティは既に大多数を占めています。それらを第一級市民として保護しましょう。 ユーザーだけでなく、エンドポイント、ワークロード、API、インフラストラクチャにもIAMの可視性を拡張するツールを採用しましょう。
(3) あらゆる取引判断において、状況を考慮に入れること。 （1）と（2）を組み合わせることで、コンテキスト、行動、権限、姿勢、リスクといった情報を構築し、制御システムに反映させることができます。すべてのアクセス要求は、認証情報に基づくだけでなく、コンテキストに基づいたものであるべきです。まずは高度な静的ルールから始め、その後、リスクベースまたはAI支援による意思決定へと移行してください。 探す アイデンティティセキュリティ コンテキストを意思決定エンジンにネイティブに統合する。
(4) 自動化された動的アクセスにおける、人間が関与する仕組みを構築しましょう。 日常業務を自動化するプラットフォームが整えば、あなたの役割は、人間の判断力が不可欠となる、難しい判断、特殊なケース、異常事態への対応、そして真のアクセスセキュリティに関する意思決定へと移行します。 例外的な事態が発生した場合にのみ人間の介入を促すような技術を選択することで、戦略的な意思決定に時間を割くことができる。
(5) 安全保障危機対策の場で、あなたの居場所を築きましょう。 IAMは、情報漏洩発生時にはバックオフィスではなく、危機管理パネルに参加しなければなりません。情報漏洩が発生した際には、意思決定者であり、状況を把握するリーダーであり、リーダーシップを発揮する必要があります。そうすることで、IAMは真にセキュリティ第一の組織となるのです。 IAMシグナルをインシデント対応およびSOCワークフローに直接取り込むプラットフォームに投資しましょう。
（近い）未来はアイデンティティが最優先：今すぐ準備を始めよう
IAM（アイデンティティおよびアクセス管理）の専門家にとって、今ほど刺激的で重要な時代はありません。攻撃の80%がアイデンティティに起因し、クラウドとAIがデジタル環境を大きく変革する中で、IAMは今や企業防御の最前線となっています。
さて、ここで決断を迫られます。あなたは先駆者として率先してIAMの導入方法を変革し、企業におけるセキュリティ対策を再構築するのか、それとも変化が完全に起こるまで待ってから慌てて適応するのか。
2020年代半ばから2030年にかけては、アイデンティティ管理の専門家がようやく最前線で正当な地位を確立した10年間として記憶されるだろう。そして、この取り組みが成功すれば、IAMは企業を守るだけでなく、安全なデジタル信頼の未来を形作るものとなるだろう。
今後、ブログやポッドキャストで、これら6つのステップそれぞれについて、様々な記事やレビューを掲載していく予定です。どうぞご期待ください。そして、この新しい時代をリードする準備をしましょう。
参考情報
– MITとフェルナンド・コルバト氏、パスワードの起源：[MITニュース]
– ソンライセキュリティ – アイデンティティの歴史
– パロアルトネットワークスによる買収 サイバーアート （2024年）：[SecurityWeekレポート]
– Microsoft Entra ロードマップ: Microsoft Security Blog
– アイデンティティ脅威検出・対応（ITDR）の成長：[Gartner – 2023-identity-threat-detection-and-response-gartner]
