事後対応型の監査からプロアクティブなガバナンスへ：真のデータセキュリティプラットフォームの重要性

現代のITセキュリティは、人間の処理能力の限界を超えました

ハイブリッドIT環境がここ数年で急速に拡大してきたことは、誰もが目の当たりにしてきました。データとIDが増え続け、それに伴ってスプロールも広がっています。 オンプレミスのシステムは、今もデータセンターで稼働しています。その上にSaaSサービスやクラウドインフラを重ね、さらに複雑さを管理するため、あるいはまったく新しい機能を加えるために新しいツールを導入してきました。各レイヤーは何かをもたらしましたが、同時に攻撃対象領域を広げ、リスクプロファイルを高めました。これはすべて、誰かがAIを口にする前から既に当てはまっていたことです。

ここ数年、AIは大きな話題となっており、それも当然です。AIが現代の組織にもたらすメリットは計り知れません。経営陣が、生産性を高め、「少ないリソースでより多くを成し遂げる」という格言をついに実現するために、組織全体へ展開したいと考えるのは自然なことです。ただし、注意点があります。AIはデータの増加も意味します。人間がはるかに高いスループットで作り出し、エージェントがマシンの速度で生成するデータです。エージェント型かどうかを問わず新しいツールを導入し、これまで以上に複雑なIDを持ち込んでいます。攻撃対象領域とリスクは指数関数的に膨らみます。AIツールは独自の新たなリスクをもたらし、環境にもともと潜んでいた脆弱性も露呈させます。

基本的な防御と対処だけでは不十分です

アクセス露出の問題は、従来セキュリティ部門の担当とされ、チームは慣れ親しんだ戦術的な手法に頼ってきました。監視、アラート、対応、脅威の緩和です。監視を設定し、違反のアラートを受け取り、対処します。多くの人に馴染みのあるモデルで、おおむね機能してきました。

問題は量です。イベント、通知、アラートは、少人数で余裕のないチームが処理できる速度を上回って積み上がり、なぜそれが起きたのかを掘り下げる時間はほとんどありません。そのため、目の前の最も緊急なリスクに対処して完了とし、次へ進みますが、次のアラートが届いて振り出しに戻ります。根本原因と、次のアラートを防ぐための取り組みを後回しにすれば、いずれ次の違反を追い続ける終わりのない戦いに陥ります。NetwrixのCEO、Grady Summersははっきりと述べています。「AIは、人間のペースのレビューが追いつけない速さでIDを追加し、データにアクセスします。攻撃者は数秒で影響を及ぼせます。ガバナンスはその速度で機能しなければ、単なる見せかけです。」

セキュリティリスクは悪意ではなく必要から生まれることが多いものです

アクセスリスクの多くは、善意から始まります。まったく別の課題を解決する途中で生まれます。アクセス依頼のITチケットの洪水を減らすために、全員に開放した社内ファイル共有を思い浮かべてください。当時は十分に理にかなったトレードオフでした。クラウド移行の期限に間に合わせるため、全社公開にしたSharePointサイトを思い浮かべてください。落ち着いたら再び制限するつもりでしたが、実際にはそうなりません。何年も前のM&Aの際に入れ子にされたドメインとグループを思い浮かべてください。そのプロジェクトはとうに終わっていますが、残されたアクセス権を整理しに戻った人はいません。

平均的なActive Directoryフォレストを見れば、その組織の歴史が見えてきます。私たちの多くは、考古学のような環境を引き継いでいます。かつてはそれぞれ筋の通っていた判断が幾層にも積み重なり、今もそこに残り、誰が承認したのかも覚えていないアクセス権を静かに付与し続けています。AIの急速な導入は、これを繰り返す恐れがあります。しかも、より速く、事後的なクリーンアップでは追いつけない規模で。

ガバナンスこそがこの悪循環から抜け出す道です

多くの組織はこの悪循環を断ち切れずにいますが、それは努力不足が原因であることはまれです。目先のリスクの緩和にとどまり、ガバナンスの構築まで進めません。ガバナンスとは、リスクの背後にあるニーズに応えるプロセス、組織のニーズの変化に合わせて調整され続ける統制、そしてすべてを安全に保つための監督と責任体制です。これを省けば、ITとセキュリティのチームは火消しに追われ続けます。

ガバナンスは可視化から始まります。現在地の実像を把握することです。全体的な露出、ディレクトリの衛生状態、ドメイン構成、アクセス露出、そしてデータ、ID、インフラ全体のセキュリティ態勢を対象とし、そのすべてをデータに基づいてマッピングし、評価します。

可視化ができれば、統制を導入できます。アクセス権を適正化し、定期的なアクセスレビューを自動化することで、最小権限アクセスを一度きりのプロジェクトではなく、常時の統制として徹底します。そのうえで、アクセスと利用状況を継続的に監視します。さらに、開放されたアクセス、誤った設定、有害なグループ関係、脆弱な統制、匿名または外部への共有といったセキュリティのベストプラクティス違反を、インシデントになる前に自動で修復します。

これが、先ほどのファイル共有とSharePointサイトの悪循環を断つ方法です。これが、ID基盤を適切に維持し、健全に保つ方法です。アクセス権が適正化され管理され、IDが整えば、セルフサービスのアクセス申請を安全に自動化できます。ITチームに届くチケットの流れを減らしながら、必要なアクセスを必要な分だけ、人々に提供できます。

オーナーを割り当てると大きな効果があります

多くの場合、重要なデータ資産や主要な権限にオーナーを割り当てるだけで、大きな違いが生まれます。オーナーシップは、中央のセキュリティチームには提供できない2つのものをもたらします。

1つ目は、意思決定が適切な人の手に渡ることです。データセットに最も近い人や、特定のグループを担当する人は、持ち合わせていない文脈を推測するしかない3部署先のセキュリティアナリストよりも、誰にアクセスを許可すべきかをはるかに的確に判断できます。2つ目は、負荷が分散されることです。少人数で過重な負担を抱えるITとセキュリティのチームがすべてのアクセス判断を1人で背負う代わりに、本来最初からこうした判断を下すべきだったビジネス側の人々にガバナンスの責任を渡すことになります。

時間とともに積み重なるボーナスもあります。責任を問われるオーナーは、組織が自らガバナンスを考えるよう促す傾向があり、セキュリティ優先の考え方が外から取り付けられたものではなく、事業運営の一部になります。

AIは、管理されていないすべてのIDのリスクを高めます

AIの導入は、経営陣が迅速に進めたいプロジェクトです。しかし、メリットがどれほど魅力的でも、導入のリスクが減るわけではありません。急速なAI導入によるリスクは2つに分けられます。

1つ目は、ユーザーに代わって動作するツールです（Copilotなど）。これらはユーザーの権限を継承するため、主にもともと存在していたリスクを表面化させます。

2つ目は、同じくらい深刻、あるいはそれ以上です。独自の常時権限を持つ自律型エージェントとAIパイプラインです。1つでも侵害されたり暴走したりすれば、被害の範囲は甚大になり得ます。Driftがそれを証明しています。SalesloftのAIチャットエージェントは、顧客のSalesforce中核データに対する広範な常時クエリ権限を持つOAuthトークンを保持していました。攻撃者は2025年3月下旬から9月上旬までそのアクセスを保持していました。窃取そのものは8月の約10日間続いたものの、誰も気づかず、700以上の組織が被害を受け、その中には非常に有名な企業も含まれていました。Google CloudとMandiantの勧告は、Palo Alto Networks自身の声明の裏付けも得て、アプリケーションには必要最小限のアクセスだけを与え、デフォルトでフルアクセスを与えてはならないと明確に述べています。

業界はサービスアカウントや非人間IDへの対応に何年も取り組んできましたが、いまだ十分ではありません。Netwrixの2026年データおよびIDセキュリティレポートでは、76%の組織が非人間IDを十分に管理できていないことがわかりました。そこに、自ら行動し、広範囲に到達し、自らのアクセス権を引き上げ、光の速さで動くエージェントが加わります。管理されていないエージェントがたった1つあるだけでも、すぐに大きなリスクになり得ます。

ガバナンスは両方の側面に対応します。ツールが従業員の閲覧すべきでないデータを漏らさないよう常時権限を見直して適正化し、放置すれば暴走しかねないエージェントに対して責任者を置きます。また、SharePointサイトで有効化されたローカルエージェントや、承認も統制もなく導入されたシャドーAIツールなど、招かれずに現れるエージェントも検出します。こうしたツールとエージェントのすべてに、特権IDと同じオーナーシップが必要です。

ガバナンスが安全なAI導入を可能にします

成熟したガバナンスは、火消し対応から一歩進んだ、プロアクティブな姿へと導きます。スイッチを入れるものではなく、曲線として捉えてください。同じレポートで、Netwrixは組織が環境を保護し、AIを安全に導入するために進む5つの成熟度ステージを、リアクティブ（Reactive）から最適化（Optimized）まで定義しました。

リアクティブ（Reactive）は、データの機微性、アクセス、リスクを一貫して把握できないまま、問題を事後に発見します。認識（Aware）は問題を理解していますが、進化し強制されるポリシーで先手を打つのではなく、同じ対処を繰り返します。管理（Managed）は、検出と統制をスケジュールに沿って実行しますが、その合間に権限が残り続け、修復が遅れます。書類上のコンプライアンスには十分かもしれませんが、セキュリティとしては十分な回復力がありません。プロアクティブ（Proactive）は、可視化と統制を継続的に実行します。ジャストインタイムアクセスを標準とし、有害な組み合わせを検知し、統制を非人間IDとAIエージェントにまで広げます。リスクをインシデントになる前に捉え、自動化されたガバナンスが習慣になります。最適化（Optimized）は、ID、データ、AIが一体となって機能する段階です。修復は継続的な自動化で行われ、ID、データ、インフラ、AIからのシグナルを組み合わせて、組織全体でポリシーをリアルタイムに適用する進化するセキュリティ態勢を備えます。

レポートによれば、ほとんどの組織はまだ初期の3段階のいずれかにありますが、最適化されたガバナンス状態への明確な道筋があります。優れたデータセキュリティプラットフォームがそこへ導きます。エージェントや非人間IDを含むデータとIDの継続的な検出、自動修復を伴う継続的なリスク分析、明確に定義されたポリシー、統制、プレイブックを備えた確立されたオーナーシップ、そしてデータ、ID、AI、インフラ全体にわたる態勢と成熟度の継続的な記録を提供し、これらすべてが一度きりのスキャンではなく連携して機能します。すべてを危険にさらすことなくAI導入を実際の価値に変える組み合わせは、私の知る限りこれだけです。優れたプラットフォームは、ガバナンスを3つのフェーズで運用します。展開前の先回りの取り組み、展開中の監視、そしてその後の継続的な適用です。チームの負担を増やすことなく、データソースからエンドポイントまですべてをカバーします。

最初の1時間で価値を提供するプラットフォームは、安全なAI導入、そして高まるガバナンスの成熟度と組み合わさることで、少人数のチームがエンタープライズ級のセキュリティ運用組織のように機能できるようにします。それこそが、私たちがNetwrix 1Secureを構築した理由です。

ぜひご自身でお確かめください。お使いの環境で無料トライアルを開始するか、ブラウザ内デモを起動するか、新しいAI Securityソリューションのベータプログラムに参加してください。