デジタルアイデンティティを支える技術―ソリューション導入の失敗事例と成功事例―（SailPoint／Okta／CyberArk）

ID管理の現状と課題

小林：
最初に本セッションが取り上げる範囲を説明します。アクセス管理には「顧客のアクセス管理（Customer identity access management：CIAM）」と「従業員・パートナー社員のアクセス特権管理（Enterprise Identity and Access Management：EIAM）」の2つの領域がありますが、今回はEIAMに焦点を当てます。では、最初に皆さんの自己紹介をお願いします。

盛口：
SailPointテクノロジーズジャパン（以下、SailPoint）の盛口です。日本国内でのビジネス開発およびパートナーアライアンス全般を統括しています。

三船：
Okta Japan（以下、Okta）の三船です。ソリューションエンジニアリング本部で技術営業のプリセールスチームを統括しています。

斎藤：
CyberArk Software（以下、CyberArk）の斎藤です。CyberArkへは2017年の日本法人設立時から参画しています。

小林：
皆さんのお話を伺う前に、私からID管理の現状を説明します。デジタル化の進展やクラウドの導入、リモートワークの増加などに伴い、ビジネス環境は急速に変化しています。それに伴いIT環境も変化し、サイバーリスクも拡大しています。

その結果、課題となっているのがID管理のあり方です。デジタルサービスの増加によりID管理は複雑になりました。その結果、ユーザーの利便性は低下し、管理者の負担は増加しています。また、雇用形態が多様化したことで、ID漏えいのリスクが増大しています。実際にダークウェブでは、流出したID情報が売買されています。もはやID管理は限界を迎えていると言っても過言ではありません。

ID管理は「効率的かつセキュア」であることが重要です。そのために必要なのが以下の要素です。

• 人事システムなどと連携してユーザー情報を自動で更新する「ライフサイクル管理統制の自動化・効率化」
• 認証基盤管理による「シングルサインオン（SSO）の実現」
• 複数のID情報から権限を設定して動的に権限を変更する「IDを利用した認証・認可」
• 申請に基づく特権IDの払い出しやログ管理による「特権アクセス管理の最適化」

これらを実現するアプローチとして注目されているのが、以下の4つです。

• Identity and Access Management（IAM）：IDとアクセス管理
• Privileged Access Management（PAM）：特権アクセス管理
• Identity Governance and Administration（IGA）：IDガバナンスと管理

PwCが2023年に実施した調査では、69％の企業がIGAツールやIAMツールを導入し、高い満足度を得ていることが判明しています。一方、こうしたツールの導入にあたっての課題として「社内メンバーとの調整不足」「既存関係の複雑さ」「知見不足」「製品とのミスマッチ」が挙げられています。

デジタルID管理推進で起きがちな失敗とその対策

小林：
次にデジタルID管理を推進するうえでの留意点を伺います。新たなID管理を実施する際に起きがちな失敗があれば教えてください

三船：
新たなID管理の導入に向けて投資対効果を考える際には、初期投資だけに目が行きがちです。これからのビジネス環境は変化し続けていくことを前提に考えるべきであり、運用フェーズにおいていかに追加コストなしに変化に追随できそうかもあらかじめ念頭に入れておく必要があります。

また、繰り返しになりますがID管理は手段であって目的ではないということは忘れてはなりません。例えば、グループ会社や拠点ごとにバラバラのID管理を統合するような一大プロジェクトがありますが、統合そのものが目的のようになってしまうケースがまれにあります。目的をあくまでビジネス環境変化への対応と位置付ければ、場合によっては無理に統合するのではなく、既存はそのままにオントップで柔軟なID管理の仕組みを導入することで、ビジネス変化にも十分対応できうるID管理の実現も可能です。

斎藤：
特権アクセス管理の導入・運営で失敗するパターンは3つ挙げられます。

1つ目は特権アクセス管理導入の目的が明確でないケースです。「なぜ導入するのか」が曖昧で場当たり的に運用設計をしてしまうと"穴"ができてしまいます。

2つ目は1回のプロジェクトですべてを管理しようとすることです。IDセキュリティは外部環境の変化に応じて柔軟に運用を見直し、継続的に実施するものです。「1回やったら終わり」ではありません。

3つ目は導入・展開時に明確な旗振り役がいないケースです。IDの導入には各システムの管理者やマネジメント層との交渉が不可欠です。これを主導する人物が不在だったり、各部門とのコミュニケーションが取れていなかったりすると、導入作業はストップしてしまいます。

小林：
そうした失敗を回避するにはどうすればよいでしょうか。

斎藤：
まずは特権アクセス管理導入の目的を明確化することです。例えば、セキュリティ対策やガバナンス・コンプライアンスの強化、運用の利便性向上、運用コストの削減などの「ゴール」を確認したうえで、運用方法を事前に決定することです。

特権アクセス管理やID管理の導入は単一のプロジェクトではなく、複数の部門が当事者になる企業全体を通した継続的なプログラムです。「何をどのように守るのか」を決めるには情報資産の重要度を決定したり、保護対象のIDを定義したりする必要があります。その際にはIDの権限の“幅”や導入の“容易性”をスコアリングするといった作業も必要です。

導入・展開の旗振り役は、情報システム部の責任者が担うケースが多いと思います。導入で重要なのは、現場の声を聞くことです。既存のID管理に対する不満を吸い上げ、新たなID管理をどのように既存環境に適用していくのかを考える必要があります。その際には現場のリーダーとの勉強会やヒアリングを通じてナレッジを共有するといったことも重要です。

小林：
ソリューションによる解決だけでなく、部門間のコミュニケーションや進捗管理といった、人やプロセスも重要になります。

プロジェクトの立ち上げや人的な面での支援が必要な場合は、ソリューションベンダーやコンサルティングの活用も強力な推進力になります。PwCは導入や継続的な運用、ID管理を取り巻くトレンド情報の提供といった領域でご支援できると考えています。本日はありがとうございました。