複雑化するIDの管理に必要な機能を
単一プラットフォームでトータルに網羅

　クラウド利用の拡大とAIエージェントの台頭で、企業が管理すべきIDの内容が大きく変化してきている。従業員など人にひも付くHuman IDだけでなく、システム間連携に用いられるサービスアカウントやAPIキーなど、「Non-Human Identity（NHI）」にまで拡大しているのだ。さらに近年では、AIエージェントもまた人に代わって企業内サービスを利用する存在であり、「管理すべきID」の対象として新たに位置付けるべきフェーズに入ってきている。「これらのIDがマルチクラウド環境に散らばる形で存在し、サイバー攻撃者にとっては格好の標的となっています」とマクニカの山田 陸氏は指摘する。

　Human IDについては、組織変更やユーザーの異動・退職の中で、ID情報を適切にメンテナンスしなければ、情報の不正持ち出しや外部からの不正アクセスの温床となり得る。複数のユーザーで1個のアカウントを使い回す「共有アカウント」を含む、サーバーや基幹システムに対して高い操作権限を付与された「特権ID」の存在も、高いリスクをはらんでいる。

　「高権限が常時付与された状態だと、IDが窃取された瞬間にネットワーク内での横展開を許し、ランサムウエアの拡散など致命的な被害につながってしまいます」と山田氏は言う。さらに共有アカウントは、インシデント発生時に「誰が何をしたか」の特定を困難にし、調査の長期化や内部不正の隠蔽を許す原因ともなり得る。

　また、APIキーなどのNHIにはMFA（多要素認証）を適用できないケースが多く、一般的なセキュリティー対策をバイパスされてしまうという脆弱性がある。「開発時などに作成してそのまま『放置されたID』になりやすいという点にも留意が必要です。悪用されても侵入に気付きにくく、長期潜伏を許すことにつながりかねません」と山田氏は説明する。

　AIエージェントに関しては、急速に普及する中で社内にどういうAIエージェントがどれだけ存在しているかの実態把握が困難で、誰が責任を持つのかというオーナーシップが曖昧になりがちだ。また、AIが自律的に判断してシステムを操作するため、その目的や実態が不透明になるというリスクもある。

　こうしたID管理をめぐる課題の解消に向けて、統合的なアプローチを提供しているのが、マクニカが取り扱う「Saviynt」だ。「可視化」「アクセス制御」「ガバナンス」という、IDセキュリティーに不可欠な要素を単一のプラットフォームで網羅し、IDの運用に関するトータルなセキュリティーを実現している。

　まず、あらゆるIDのライフサイクルと権限状態を一元管理し、組織全体のアクセスガバナンスの基盤を提供しているのが、SaviyntのIGA（Identity Governance and Administration）機能である。「ID情報の源泉となる人事システムなどと同期してIDのライフサイクル管理を行うとともに、各種SaaSやオンプレミス環境からAPI経由で詳細なアプリケーション権限情報を自動で収集。これにより、誰がどのシステムに対してどのような権利を持っているかを可視化して一元管理できます」と山田氏は紹介する（図1）。 　入社・異動・退職に応じた権限の付与・剥奪を自動化して退職者アカウントの残存を防ぐことができ、各IDにリスクスコアを付与する仕組みによって、IDに対し外部的に設定された権限、長期に見直されていない権限などを明確に識別。是正すべき対象を絞り込むことができる。これにより、IDの棚卸しに伴う工数の大幅な削減が可能となる。

　SaviyntのJITA（Just-In Time Access）機能では、必要なときに必要な時間だけ権限を有効化することにより、特権IDへの常時特権付与にまつわるリスクを解消。「対象アプリケーションのパスワードを自動でローテーションして変更。通常時は特権アカウントを誰も利用できない状態にして、利用者が特権を必要とした際にSaviynt上で申請を行い、承認フローにより許可されたタイミングで、当該セッションのためだけに発行された限定的なパスワードで接続します」と山田氏は説明する。あらかじめ指定した有効期限が切れると、延長申請をしない限りパスワードは自動でローテーションされるため、パスワードの再利用を防ぐことができる（図2）。 　さらに、PAM（Privileged Access Management）機能では、特権アカウントによるアクセスそのものを制御・記録して、共有アカウントなどの不透明性を排除できる。Saviynt自体がゲートウエイとなって利用者に対しブラウザ内での特権セッションを直接提供。ユーザーはAWSコンソールやLinux、Windowsサーバーなどへの特権アカウントを選んで、利用期限を示して申請を行う。

　「ゲートウエイを経由することで、特権ユーザーが実行している操作をリアルタイムにモニターし、すべて記録することができます。特定のクリティカルなコマンドが実行された際にはそれを可視化し、実行を制御することが可能です」と山田氏は語る。これにより、「誰がいつ何をしたか」という確実な証跡を残し、共有アカウント利用時の調査長期化や内部不正の隠蔽という課題を解消できる。

　そしてSaviyntのISPM（Identity Security Position Management）機能は、多様化するIDの潜在的なリスクを継続的に可視化し、評価するためのものだ。個々のワークフォースに加え、サービスアカウントやAPIキーなどのNHI、AIエージェントまでを同一のダッシュボード上でシームレスに管理できる。「高度なアクセスグラフを用いて、特定のAIエージェントがどのサーバーに接続され、どのツールやデータソースへのアクセス権を持っているのかといった依存関係を視覚的にマッピングして把握できます」と山田氏は紹介する。

　「さらに最新の機能拡張として、AIに関するアクセスゲートウエイ機能というものが追加されており、AIエージェントの動向を可視化するだけでなく、不適切な操作を検知した際に動的なポリシーによってゲートウエイ側でアクセスをブロックすることも可能となっています」と山田氏は語る。

　Saviyntは、複雑化する今日のID管理に必要なあらゆる要素を統合するソリューションである。変化の激しい時代にあって、すべてのIDの強固な「可視化」「防御」「検知＆対応」のための体制を整備する上で強力な味方となってくれるだろう。