アイデンティティおよびアクセス管理（IAM）システムとは、ユーザーが誰であるかを確認し、ユーザーが何にアクセスできるかを決定することで、機密データやデータ利用型業務を管理・保護します。 IAMは、複雑なITエコシステムの全体でデジタルアイデンティティを管理しアクセス権限を制御するための基盤です。組織がハイブリッド環境やクラウド環境へ移行する中で、IAMはリスクにさらされる危険性の低減に役立つとともに、規制の順守やレジリエンスに優れたアイデンティティセキュリティ体制の構築に重要な要素となります。
Rubrikでは、複数のアイデンティティプロバイダー（IDP）環境全体にわたる可視性を提供します。これにより、リスクや脆弱性を顕在化しリスクが深刻化する前に修正を行ったり、悪意のある変更が発生した際には環境を復旧したりすることができるようになります。このアプローチは、アイデンティティ関連の脅威を防御するだけでなく、インシデント発生後にアイデンティティシステムとその関係性を迅速かつ安全に復旧することができます。
IAMの目的と重要性
内部の脅威や外部からの侵害が、システムへの不正アクセスを引き起こす可能性があります。その結果、データ侵害やサービス中断が発生し、信頼が損なわれ、規制上の責任が生じる恐れがあります。
こうした事態を防ぐため、最も基本的な部分で、IAMは適切な個人が適切な理由により適切なタイミングで適切なリソースへアクセスするよう管理を行います。重要なシステムへの接続を認証されたユーザーおよびデバイスのみに限定して許可することで、権限のないアクセスを防ぎます。ユーザーは、身元の証明とともに、接続を試みているシステムに対してアクセス権限を有しているかの証明も行う必要があります。
IAMシステムは、ユーザーの効率的なライフサイクル管理を行う上で重要な要素になります。従業員の入社・退職・異動が発生した際には、その従業員のアカウントの追加、承認、最終的には削除を行う必要があります。IAMシステムはこれらのワークフローの多くを自動化し（ただし、人間の関与が継続的に必要です）、管理上の負担を軽減するとともに、使用されなくなった認証情報（これはしばしばセキュリティ上の脆弱性を引き起こします）が有効なまま残ってしまう可能性を最小限に抑えます。強固なライフサイクル管理により、組織のアジリティが高まり、リモート社員や外部委託者の迅速かつ安全なオンボーディングが容易になります。
IAMは、ガバナンスとコンプライアンスにおいても極めて重要な役割を果たします。GDPRやHIPAAといった規則では、機密情報にアクセスできるユーザー、アクセスの監視方法、不正利用防止のため施行されている対策に対して厳格な管理が求められています。IAMは、そうしたポリシーを一貫して実施し、監査証跡を生成し、規制審査の際にコンプライアンスを立証するための枠組みになります。
コンテキスト認識型の認証方法（多要素認証や条件付きアクセスポリシーなど）によってリモートワーカーからのアクセスを安全に保護するのに役立ちます。IAMは、機密性の高い知的財産（医療記録や財務データなど）を安全に保護するため、業務上、正当な必要性が認められる者に限定してアクセスを許可し、管理します。堅牢なバックアップ・復旧戦略は、攻撃が成功した場合や運用上の障害が発生した場合に復旧手段を提供することでIAMを支援します。
IAMシステムの主要な構成要素
IAMの構成要素は、それぞれが明確な機能を持ち、相互に連携して動作します。各構成要素でユーザーの認証、適切な権限の割り当て、一貫したセキュリティ制御が行われます。
認証と承認
認証と承認はしばしば一緒に言及されますが、IAMの枠組みの中ではそれぞれ異なる目的を果たします。認証とは、身元を確認するプロセスであり、ユーザーが自称する人物であることを確認します。これには、パスワードのような従来の手法が含まれることもありますが、多要素認証（MFA）、生体認証、あるいは状況的要素（デバイスの種類や位置情報など）を評価する適応型認証など、より強力なメカニズムの活用が増えてきています。
一方、承認とは、認証されたユーザーがアクセスできるリソースを特定します。ロールベースアクセス制御（RBAC）は、組織内でのユーザーの役割に基づいて権限を割り当てる方法で、最も一般的な承認手法の一つです。たとえば、職務分離のルールに従って、財務アナリストは会計システムにはアクセスできても、人事記録にはアクセスさせない、という運用です。
認証と承認を組み合わせることで、IAMは、ユーザーの身元を検証してその活動を適切に制限することができ、機密データやシステムに権限のないアクセスが発生する可能性を低減します。
アイデンティティのライフサイクル管理
アイデンティティのライフサイクル管理には、ユーザーアカウントやアクセス権限の適切な作成、維持、最終的には廃棄のプロセスが含まれます。プロビジョニング（追加）とは、適切な権限を持つ新規アカウントの作成を指します。デプロビジョニング（削除）とは、従業員が退職または異動した際に、その従業員のアクセス権の速やかな取り消しを指します。
従業員は、異動に伴い、権限の一時的な付与や権限の拡張の申請が必要なことがよくありますが、IAMシステムは自動化されたワークフローによって申請を効率化できます。この自動化により、管理上の負担が軽減され、アクセスを申請した人物と申請理由についての明確な記録が保持されることになります。これらの記録は、監査人がアカウントや権限の変更を追跡して不審な活動やポリシー違反を検出しようとする際の手助けにもなります。
強固なライフサイクル管理を実施していない組織は、放置アカウント、特権クリープ（不要な権限を保持している状態）、攻撃者が悪用できる脆弱性などが発生する危険性があります。IAMは、ユーザーのライフサイクルのあらゆる段階において、アクセス制御の強化と維持に役立ちます。
アクセスガバナンスとポリシー
IAMを活用すれば、セキュリティチームはアクセス権限を組織のポリシーや規制要件に整合させることができます。つまり、職務分離のルールを適用し、特権アカウントに制限を設け、パスワード基準と認証基準を定義することができます。IAMシステムは、セキュリティチームがコンプライアンス状況を監視してリスク領域（ユーザーが承認された範囲を超えてシステムへのアクセスを試みる行為など）を特定する際に役立つレポートやダッシュボードを生成します。
多くの組織がGDPR、HIPAA、PCI DSSに対する遵守責任に対処するなか、より広範なコンプライアンス確保の取り組みの一環として、アクセス管理に関するポリシーの策定や更新を行っています。IAMは、これらの枠組みで求められる技術的な制御策を実行するだけでなく、監査時には証跡を提供します。エンタープライズ向けバックアップソリューションのようなレジリエンスのあるデータ保護戦略と組み合わさると、ガバナンスは、運用上および規制上のリスクの両方を最小化する包括的なセキュリティ態勢の一部となります。
クラウド環境およびハイブリッドIT環境におけるIAM
IAMは、オンプレミス、クラウド、マルチクラウドの各環境の全体にわたってアイデンティティ管理を統合するために必要な一貫性を提供します。クラウドサービスやハイブリッドITモデルを採用する組織は、IAMを使用することで分散型インフラの全体でアイデンティティを管理することができます。ユーザーは複数のデバイスからSaaSやクラウドプラットフォームに接続しますが、IAMを利用すればシームレスかつ安全なアクセスが可能になります。
アイデンティティのフェデレーションにより、中央のプロバイダーからの認証情報が複数のサードパーティシステム全体で信頼できるようになります。また、シングルサインオン（SSO）ではパスワード疲れを軽減するとともに、ITチームにはより可視化されたユーザー活動状況を提供します。クラウドネイティブなIAMモデルは、条件付きアクセス（アクセスを許可する前にデバイスのコンプライアンスや位置情報などの要素を評価する仕組み）などの機能によって、こうした能力を拡張します。これらの制御策は、クラウド環境においてセキュリティとユーザーの生産性のバランスを取る場合に役立ちます。
IAMは、クラウドに保存された機密性の高いバックアップデータも保護可能です。企業は、ランサムウェアや不正な削除からの保護策として、書き換え不可のデータバックアップへの依存度を高めています。これらのバックアップにIAMポリシーを適用することで、誰が復旧ポイントにアクセスできるかを厳格に管理できるため、盗まれた認証情報を持つ攻撃者が重要なデータの改ざんや消去を行えないよう防ぐことができます。
アイデンティティのレジリエンスと復旧
認証情報の侵害は、依然としてデータ侵害の主要な原因の一つです。IAMプラットフォームは、各種の多層防御（多要素認証、適応型アクセス制御、ログイン行動の継続的な監視など）を通じて、アイデンティティの侵害を防止するよう設計されています。これらのツールは、異常（たとえば、ユーザーやデバイスが通常とは異なる場所から重要なリソースへアクセスしようとしている場合）を早期に検出し、自動的に追加の認証を求めたり、アクセスを完全に遮断したりします。
侵害の発生後、IAMシステムが、悪意のある変更を元に戻し、認証情報をリセットし、通常のアクセス構成を復元することで、迅速な復旧と修正に対応します。この復旧機能は、アイデンティティインフラ自体にも及びます。バックアップによって、ディレクトリ、信頼関係、アクセスポリシーをクリーンで検証可能な状態から再構築ができるようになります。これらの復旧プロセスをIAMに統合することで、アイデンティティ関連の攻撃の後に発生しがちなダウンタイムや不確実性を回避できます。
IAMは、ゼロトラストアーキテクチャ（いかなるユーザーやデバイスも本質的に信用するべきでないという前提に基づく概念）の基盤にもなっています。継続的な認証を要求し、最小限のアクセス付与を適用することで、日常業務にレジリエンスを組み込みます。
IAM導入のベストプラクティス
IAMを効果的に導入するには、慎重な計画、ポリシーの整合性の確保、継続的な監督が必要です。以下のベストプラクティスでは、組織のニーズに沿った安全かつレジリエンスのあるIAMプログラムを構築するための枠組みを示しています。
役割と責任を定義する：IAMプログラムを効果的なものにする第一歩は、ユーザーの役割とその役割に関連して必要となるアクセス権を明確に理解することです。 アクセス権限と職務機能とを慎重にマッピングする必要があります。これには、システム、データ、アプリケーションをカタログ化し、それらを従業員全体の具体的な責任と整合させる必要があります。これらの責任を文書化するプロセスは、それ自体がすべてのユーザーのアクセス権限をビジネス要件に沿うよう策定し、管理するうえで役に立ちます。
このプロセスが完了すると、その結果に基づいてIAMシステムが運用されることになります。たとえば、医療従事者は、患者記録にアクセスする必要があっても人事システムにアクセスする必要はありません。一方、ヘルプデスクの技術者は、技術的な問題を解決するために、一時的にさまざまなシステムで高い権限を必要とすることがあります。ロールベースのアクセス制御モデルを確立することで、機密性の高いシステムやデータへの不適切なアクセスの可能性を低減できます。
最小限のアクセス付与の原則を採用する：最小限のアクセス付与の原則（PoLP）は、ユーザーには自分の業務の遂行に必要なアクセス権限のみを持たせるべきである、と定めています。 このようにアクセスを制限することで、アカウントが侵害された場合でも、攻撃者がそのアカウントに付与された限定的な権限によって制約されるため、予想される被害を軽減できます。
ロールベースのアクセス制御を適用し、権限セットを定期的に見直し、従業員の役割やプロジェクトが変更になった際には不要な権限を削除することで、PoLPを実施できます。一時的なアクセス権限も厳密な制御の対象とし、作業が完了した時点で自動的に失効するようにします。この慣行は、厳格なデータ保護を求める規制要件の順守に役立ちます。
アクセス権限の監視、監査、見直しを実施する：IAMは、「設定したら放置してよい」システムではありません。 異常を検知しコンプライアンスを維持するには、継続的な監視、監査、見直しが不可欠です。自動化された監視ツールは、異常な活動（普段と異なる場所からのログイン試行や、ユーザーが通常の自分の範囲外のシステムへのアクセスを試みる行為など）を顕在化できます。
監査からは、インシデントの調査に必要な記録や、NISTサイバーセキュリティフレームワークのような基準への準拠を証明するための記録が得られます。Rubrikは、各環境の全体にわたるアイデンティティ関連のリスクや異常を可視化することで、このプロセスを強化できます。IAMによる監視をデータ保護の情報と組み合わせることで、組織は脅威を迅速に特定・修正し、アイデンティティとデータの両方の安全を維持できます。
IAMは、アイデンティティを管理し、アクセス制御を適用し、復旧戦略にレジリエンスを組み込むことで、複雑化するIT環境の中でも組織が安全に業務を遂行できるようにします。Rubrikは、この基盤をリアルタイムでアイデンティティを保護、監視、復旧するIAM対応ソリューションによって強化しています。Rubrikは、アイデンティティセキュリティとデータ保護を統合することで、企業が重要なシステムを安全に保護し、コンプライアンスを維持し、データ侵害が発生した場合でも業務を継続できるよう支援します。
よくある質問
デモ環境を体験する
RubrikのZero Trust Data Securityプラットフォームについて、Rubrikのテクニカルソリューションエキスパートがお客様環境に即したデモを行います。
