安全なクラウドシフト推進を支え、
ゼロトラストへの第一歩を支援するIDaaS

　昨今、様々な企業・組織において業務の幅広い場面で各種のSaaSが利用されており、「いわゆる『クラウドシフト』が進んでいるいま現在、社内にサーバーを立てて業務システムを運用していた時代とは、セキュリティー上守るべきポイントは大きく異なってきています」とエムオーテックス（以下、MOTEX）の疋田 一平氏は切り出した。つまり、社外と社内ネットワークの「境界」をいかに守るかという従来の視点から、クラウドサービス利用時に要となる「ID」をいかに保護するかという視点に移り変わってきているのだ。

　そうした中で、SaaSの利用数に比例して増加する個々のID・パスワードの管理が、利用者と管理者の双方に大きな負担を強いている。利用者側の課題としては、人間が一度に記憶できるパスワードの数は5個程度が上限といわれており、利用サービスが増えれば増えるほど、各人がパスワードを自分で記憶して管理する方法は非現実的となる。結果、付箋にパスワードをメモして机に貼り付ける、同じID・パスワードを複数サービスで使い回す、といった不適切な管理・運用に陥りがちだ。

　一方の管理者側の課題としては、IDのライフサイクル管理に関する作業負荷の増大が挙げられる。「例えば、異動や退職に伴うアカウントの削除などが適切に行われず、『幽霊アカウント』として残留してしまうと、不正アクセスなどに悪用されるリスクが生じます。そのため、アカウント情報を常に最新の状態に保つ、タイムリーなメンテナンスが不可欠です」と疋田氏は言う。

　また、ID・パスワードによる認証のみに依存した環境は、実は非常に脆弱な側面がある。実際、IDや認証情報を狙った攻撃の多くは、パスワードの窃取・悪用を起点としており、退職者アカウントの放置や脆弱なパスワードの利用は、不正アクセスやなりすまし、機密情報の不正な持ち出し、さらにはランサムウエア感染など、企業・組織や事業にとって致命的な被害を招きかねない。そのため、管理者側では多要素認証（MFA）の追加適用も重要な検討テーマとなる。

　「ぜひ意識していただきたいのは、ID管理の不備は、単なる現場のIT課題にとどまらず、ひとたびインシデントが発生すれば、業務停止による売上損失や株価の下落など、致命的な『経営リスク』にも直結するということです。そうした意味で、ID管理の適正化は、企業が最優先で取り組むべき経営課題となっているのです」と疋田氏は強調する。

　ID管理を行う上で問題になるのが、「セキュリティー強化」と「利便性向上」の両立だ。「この2つはトレードオフの関係になりやすく、管理者が手動で運用していくのも難しい。そうした背景から、現在普及が進んでいるのが『IDaaS』なのです」と疋田氏は説明する。

　IDaaSは、アカウント管理、シングルサインオン（SSO）、多要素認証（MFA）、アクセス制御などの機能を、クラウド上で一元的に利用できるサービスだ。MOTEXの調査^※によると、9割超の企業でIDaaSの導入・検討が進んでいる。しかし一方で、「導入企業の約8割が、現在利用中のIDaaSについて、リプレイスを実施、または検討したことがある」という結果も得たという。

※

MOTEX調査「情シス1,000人に聞いた！多要素認証・条件付きアクセスに関する実態調査」より

　リプレイスの主な理由としては、「管理運用の負担が想定より大きかった」「自社で利用しているSaaSに対応していない」「セキュリティー要件を十分に満たせない」といった利用中のIDaaSに対する課題が挙げられている。そして、さらに調査結果を細かく見ていくと、「セキュリティー要件」や「利便性」に加え、第三の軸として「コスト」に関する課題に言及しているケースが多かった。

　「というのも、市場において、高性能な製品はどうしてもコストが跳ね上がってしまう傾向にあり、逆に安価なツールでは対応しているSaaSが十分でなく、機能が足りないというジレンマが少なくありません」と疋田氏は指摘する（図1）。

　こうしたジレンマの解消に向け、MOTEXが解決策として提示しているのが「LANSCOPE IDアクセスマネージャー」（以下、IDアクセスマネージャー）だ。高度なセキュリティー機能とSaaS利便性をハイレベルに両立しながら、手頃な価格帯での提供を実現。多様な認証方式と、多数の国内・海外SaaSへの対応に加えて、将来的には「ID」と「端末」の統合制御を見据えた構想も描かれたものとなっている（図2）。 　特に、連携可能なクラウドサービスの豊富さは大きな強みであり、国内向けSaaSを中心に500種類以上の対応実績を誇る。IDaaSに求められる標準機能も過不足なく網羅しており、アカウントプロビジョニングでは、Active Directory（AD）などのプラットフォームと連携して、AD側で管理しているIDの入社・退社・異動に伴う作成や削除、変更をIDアクセスマネージャーと同期したり、クラウドサービス側へアカウント同期を行ったりすることも可能だ。

　多要素認証（MFA）にも対応するほか、既にBtoC領域では普及が進み、今後はBtoBでも主流になると目されているFIDO2など、パスキーを使ったパスワードレス認証にも対応している。さらに、普段と異なる場所・地域あるいは時間に応じたアクセス制御や、有効なデバイス証明書がインストールされていない端末からのアクセス制限なども行うことができる。

　「MOTEXが30年近くにわたり培ってきた『LANSCOPE』ブランドにおけるユーザーサポートのノウハウを存分に生かし、きめ細やかな導入・運用支援メニューをご用意している点も、お客様に大きな安心感を提供できるものと自負しています」と疋田氏は語る。

　IDaaSの導入は、新たなセキュリティーモデルである「ゼロトラスト」の構築における「一丁目一番地」となり得るものだということもぜひ認識しておきたい。ゼロトラストとは周知の通り、すべてのアクセスに対して常に検証を行う、いわば「石橋を叩いて渡る」という発想に立った対策手法だが、そこではまず、あらゆるクラウド活用の起点となるID・認証情報の統制こそが重要だ。

　そうした面から見ても、このIDアクセスマネージャーは、IDの一元管理からログイン統制、条件付きアクセス制御、権限の監査に至る、ゼロトラスト推進に必要なステップを包括的に支援している。加えてMOTEXでは将来的に、こうしたID管理と端末管理を統合した、より強固なゼロトラスト環境の実現を目指している。その構想の一環として、同社のIT資産管理・MDM製品である「LANSCOPE エンドポイントマネージャー クラウド版」との連携もロードマップに描いているということだ。

　改めて、SaaSの利用拡大に伴いID管理が複雑化する中、管理の不備をセキュリティーインシデントや事業への影響につなげないためにも、IDaaSの適切な導入・運用こそが急務だ。MOTEXのIDアクセスマネージャーは、確かなセキュリティーと高い利便性、そして導入しやすいコストパフォーマンスという3つのポイントを押さえ、安全なクラウドシフトとゼロトラストへの第一歩を力強く支えるソリューションといえるだろう。