アクセス権の「もぐらたたき」は終わりません。そこには理由があります

私はアクセス権の「もぐらたたき」問題についてよく考えます。新入社員、新規プロジェクト、新しいファイル、新しい共有、そして誰かが気づかないうちにフォルダーの継承を解除してしまう。これが決して終わらない理由です。新しいものが、既存のものをレビューできる速度より速く増えていくため、どれだけ頻繁に整理しても、リストは短くなりません。

この問題は昔からありましたが、より深刻になっています。過剰に公開されたファイルを見つけるには、以前は誰かが手作業で探し回る必要があり、そのためほとんどは何年も見つからないまま静かに放置されていました。Copilotのようなエージェントは、その探索全体を1つの質問にまとめ、尋ねる誰にでも数秒で答えを返します。AIがリスクを生み出すわけではありませんが、もともとあったリスクを増幅します。

私は元エンジニアで、ソフトウェアチームが似た問題にどう対処するかを観察するのが好きです。Claude Mythos Previewは4月に公開され、1か月以内にAnthropicとそのパートナーは、広く使われているソフトウェアで1万件を超える重大度の高い、または致命的な脆弱性を発見しました。メンテナーにはこれをパッチで追いかけることはできません。見つかるたびにバグを修正するのは、すべての権限変更を追いかけようとするのとよく似ていて、決して終わりません。そのため貴いチームはすべてのバグを修正しようとはしません。代わりに、現実的に追いきれない最も危険なコードを、堅牢化され隔離されたプラットフォームへ再設計し、多数の脆弱性が一度に問題でなくなるようにします。

同じ考え方がアクセスガバナンスにも当てはまると私は考えています。

データをより厳重に守るのではなく、移動させる

一般的なファイルサーバーは、機密データにとって最も脆弱な置き場所です。権限は予測できない形で継承され、ラベル付けやDLPが標準で有効になっていることはまれで、監査証跡も乏しいからです。クリーンアップを1回逃すと、その背後にあるものすべてが露出します。権限レビューの頻度を上げても、スケールさせるのは困難です。解決策は、機密データを最も統制しにくい場所から出すことです。

特定のカテゴリーの機密データには、すでにより適した置き場所があり、多くの場合それはすでに保有しているシステムです。財務記録は共有ドライブではなく財務プラットフォームに置くべきです。健康データは、コンプライアンスプログラムがすでに統制している臨床システムや保険請求システムの中に置くべきです。どれも新しい考え方ではありませんが、これを本当の解決策として扱う価値があります。そうしなければ永遠に再監査し続けなければならないデータの山から、そのデータを取り除けるからです。

一般的な個人情報、GDPRの対象となる資料、そして誰も適切な置き場所を用意しなかったために古い共有に残っているものは、明確な専用システムがないデータです。そうしたデータには、SharePointは単に整理されているだけでなく、実際により優れたプラットフォームです。秘密度ラベルはファイル自体と一緒に移動するため、誰かがダウンロードや転送をしても保護は失われません。単純なファイルサーバーは、標準ではこれを実現できません。ラベルによってIDベースのアクセスを発動させることもできます。機密資料を保持するサイトは、ログインさえあれば誰でも信頼するのではなく、開こうとした瞬間にMFAを要求できます。さらに、Restricted Access Controlを使えば、グループごとに権限を解きほぐす代わりに、長年蓄積した共有の乱立を上書きして、サイトの実際の対象者を即座に制限できます。この最後の点は、特にCopilotのようなエージェントにとって重要です。エージェントは質問した本人がすでにアクセス権を持つものしか表示しないため、実際の対象者を絞れば、あらゆるAIエージェントが見つけられる範囲も狭まります。Netwrix 1Secureなら、今すぐCopilotへの露出状況を可視化できます。

常時権限にも同じ論理が当てはまる

もう1つ、際限なく蓄積される権限の問題は、ほとんど使わない昇格権限を誰が持っているかです。そのリストのレビューは、すべてのファイル権限をレビューするのと同じ終わりのないもぐらたたきで、リスクがより高いだけです。特権サービスアカウントは影響範囲が大きいため以前から標的でしたが、AIエージェントのIDは自律的に動作できるため、これをさらに一段上へ押し上げます。より持続的な解決策は、ジャストインタイムの権限昇格です。作業のためにアクセスを付与し、期限が切れるようにして、常時アクセス可能な状態のまま放置しません。まさにこのための特権アクセスツールがあり、誰かが覚えて徹底しなければならないポリシーではなく、インフラとして扱う価値があります。

緊急性が高まる場面

データ面の対策は、機密データが実際にどこにあるかをまず把握していなければ機能しません。そして、そこが多くのチームが飛ばしてしまう手順です。

常時権限は今日から修正でき、何かを待つ必要はありません。しかし、データ面では見えないものを再設計することはできません。ファイルサーバー上に個人情報を見つけたら、それはSharePointのように専用に作られた場所へ移すべきというサインです。何を持っていて、それがどこにあるかを知ることが、保護できないプラットフォームから機密データを出すための出発点です。まさにそこでNetwrix 1Secureが役立ちます。