Identity management：組織がユーザーアクセスを管理する方法

要約: Identity Managementは、環境内のすべてのデジタルアイデンティティを管理する基盤となるプロセスです。誰が存在し、何にアクセスし、そのアクセスが適切かどうかを管理します。認証情報の悪用は、確認された侵害における主要な初期攻撃ベクトルです。この分野には、正確な情報源、自動化されたライフサイクルワークフロー、およびハイブリッドおよびSaaS環境全体にスケールする継続的なガバナンスが必要です。

資格情報の悪用は 確認された侵害の 22% を占めます。これは 2025 年 Verizon Data Breach Investigations Report によるもので、identity management が攻撃が実際に始まる場所のかなり近くに位置する分野の1つであることを示しています。

組織に参加するすべての従業員にはアカウントが付与されます。彼らはチームを移り、 新しいツールを使い始め、権限を積み上げます。やがて、その人は退職します。

これを何百人、何千人という規模に広げ、さらにサービスアカウント、請負業者、そして IT に連絡せずに事業部門が申し込んでしまった SaaS アプリケーションを加えると、今日の identity management の運用上の現実が見えてきます。

Identity management とは、自社システム内に誰が存在するのか、どの属性でそれらが定義されるのか、そして入社初日から退職までその人がどのアクセス権を保持しているのかを追跡するプロセスです。

実際には、ほとんどのセキュリティプログラムが強固な基盤を築くか、あるいは次のインシデントにつながるリスクを静かに蓄積してしまう場所です。

アイデンティティ管理とは？

アイデンティティ管理（IdM）とは、ユーザーのアイデンティティ、権限、アクセスレベルなど、環境全体にわたるデジタル・アイデンティティ情報を作成・保存・管理するための基盤となるプロセスです。

主な焦点はアイデンティティのライフサイクルです。実務者が呼ぶ "joiner-mover-leaver"（JML）プロセス を管理することが中心です。

• 誰かが入社すると、アカウントと基本的なアクセス権が付与されます。
• 役割が変わるときは、権限も調整されるべきです。
• 退職したら、すべての権限が取り消されます。

ID（アイデンティティ）管理は、アカウントの存在と、各ライフサイクル段階でプロビジョニングされるアクセスを統制します。しかし、それが時間の経過とともに引き続き適切であるかどうかまでは扱いません。そこから identity governance が始まります。

ID（アイデンティティ）管理 vs. identity and access management vs. identity governance：違いは何ですか？

実際には、組織によってはガバナンスなしで IAM を持つこともあれば、強制（enforcement）なしで identity management を運用することもあり、IGA がその下で機能していない場合もあります。これらの用語は同じものの別名ではなく、異なるレイヤー（層）を表しています。

• Identity management は 誰が存在するか を答えます。ライフサイクル管理、アカウント作成、属性の追跡を含みます。その出力は、環境全体でプロビジョニングおよびデプロビジョニングされるアカウントです。
• IAM (identity and access management) は 誰が何にアクセスできるか を答えます。IAM は identity management を、認証（あなたが誰かを確認すること）、認可（あなたが何をできるかを決めること）、およびそれらの判断をリアルタイムで実際に反映する強制（enforcement）メカニズムによって拡張します。その出力は、認証済みかつ認可済みのセッションです。
• IGA (identity governance and administration) は 誰がどのアクセス権を持つべきか、そしてそれを証明できるか を答えます。IAM の上に、コンプライアンス（法令・規程遵守）と監督（オーバーサイト）の層を追加します。その出力は、アクセス認証（access certifications）、SoD レポート、そして防御可能な監査証跡（audit trails）です。

なぜ identity management が重要なのか

Identity management は単なるバックオフィスの IT 機能ではありません。これは、組織が下すすべてのアクセス判断のためのコントロールプレーンです。中堅企業（mid-market）のセキュリティプログラムの中心に置くべき 5 つの理由：

• より強固なセキュリティと侵害の減少： least privilege、MFA、そして中央集約型の access control ポリシーを徹底することで、認証済みで権限のあるユーザーのみが機密性の高いシステムに到達できるようになり、外部脅威とインサイダーによる悪用の双方に対する攻撃対象領域を減らせます。
• より優れた規制対応と監査の準備性：GDPR、NIS2、NIST CSF v2、PCI-DSS、SOX など、主要なフレームワークのほとんどは、厳格なアクセス制御と追跡可能性（traceability）を求めています。Identity management は、監査をより迅速に、そして説得力のある形で通すためのログ、アクセス記録、承認の経緯（approval trails）を生成します。
• 運用負荷の軽減と identity の混乱の解消： Identity administration を一元化することで、あらゆるシステムにまたがってアカウントを個別に管理する必要がなくなります。自動化されたオンボーディング（onboarding）、オフボーディング（offboarding）、ロール変更（role changes）により、チケット数が減り、IT チームは繰り返しの手作業から解放されます。
• より迅速なオンボーディングと、よりスムーズなユーザー体験： 新規採用者は初日から適切なアクセス権を取得し、退職者は即座に権限を失います。SSO はセキュリティ制御を損なうことなく、パスワードの疲労（password fatigue）やログイン時の摩擦（login friction）を減らします。
• ハイブリッドおよびクラウド環境全体での集中可視化： オンプレミス、クラウド、SaaS システムにまたがるアイデンティティとアクセスの統合ビューにより、攻撃者が悪用する死角が解消されます。異常な挙動（例：リスクの高いログイン、権限のじわじわした拡大、異常なアクセスパターン）が可視化され、実行可能になります。

これらの利点をまとめると、Identity management がセキュリティ体制を強化しながら、日々の運用に伴う手間を減らすことが分かります。

Identity management の 7 つの中核コンポーネント

Identity management は、いくつかの相互に連携するコンポーネントで構成されています。各コンポーネントがどのように機能し、どのように組み合わさって全体を成しているのかを理解することは、スケールするプログラムを設計するうえで欠かせません。

1. デジタルアイデンティティ：ユーザー、サービスアカウント、非人間（ノンヒューマン）アイデンティティ

デジタルアイデンティティとは、デジタル環境においてユーザー、デバイス、またはシステムを表す一意の属性の集合です。これは、あなたのシステムが「その人が誰か」「どのリソースにアクセスする権限があるか」「そのアクセスが現在も適切かどうか」を判断するために頼りにする記録です。

2. ディレクトリと真実の情報源

ディレクトリサービスは、環境内のすべてのアイデンティティに対して権威ある記録の情報源として機能します。アイデンティティ作成の権威ある情報源として HR システムを使用し、アイデンティティハブとして Entra ID を用いることは、Microsoft 環境向けの基盤となるアーキテクチャ推奨事項です。

3. 認証：SSO と MFA

SSO は、単一の認証済みセッションから複数のアプリケーションへのアクセスを付与します。MFA は、複数の要素による検証を必要とします。つまり、知っていること、持っていること、または自分そのものです。 Entra ID best practicesに従い、ハードウェアにより裏付けられた暗号鍵を使用するフィッシング耐性の高い方法は、資格情報（クレデンシャル）に基づく攻撃に対して最も強力な防御を提供します。

4. 認可（オーソリゼーション）モデル：ロール、グループ、最小権限

認可（オーソリゼーション）によって、検証されたアイデンティティが実行できることが決まります。 Role-based access control (RBAC) は職務機能に応じて権限を割り当てる一方、属性ベースの構造は HR データが変更されたときにアクセスを自動的に更新します。 最小権限の原則 により、ユーザーは自分のロールに必要な最小限のアクセス権のみを保持します。

5. アイデンティティのライフサイクル管理：入社者、異動者、退職者

JML のライフサイクル自動化は、採用時にアカウントをプロビジョニングし、ロール変更時に権限を調整し、退職時にデプロビジョニングします。放置された（孤立した）アカウントはすべて潜在的な攻撃ベクターになり得るため、オフボーディング（退職処理）を自動化することが、アイデンティティ管理がセキュリティ態勢に最も直接的な影響を与えるポイントです。

6. ガバナンス、証明（認証）、アクセスレビュー

アクセスレビュー、監査ログ、認証キャンペーンにより、運用上の Identity Management が「証明できる」コンプライアンスへと変わります。定期的な認証は権限が引き続き適切であることを確認し、職務分掌は不正行為やセキュリティリスクを生み得る有害なアクセスの組み合わせを防止します。

7. モニタリング、監査、そして脅威検知

認証パターン、特権の変更、異常なアクセスを継続的に監視することで、侵害を早期に検知するために必要な可視性が得られます。このテレメトリはより広範なセキュリティ運用へと反映され、Identity Management を次のセクションで扱う脅威検知の機能と直接つなげます。

よくある Identity Management の課題

多くの Identity Management プログラムは、ポリシーが不足して失敗するのではありません。失敗するのは、実行上のギャップが静かに積み重なり、事件（インシデント）が表面化するまで見過ごされるからです。以下に挙げる課題は、そのようなことが最も起こりやすい共通点です。

ハイブリッド環境および SaaS 環境における身元（アイデンティティ）の分断

管理の分断は、アイデンティティ基盤全体で広く報告されています。多くの場合、SaaS の導入がガバナンスに勝ってしまっていることが原因です。対策は、SCIM または SSO を通じてすべてのアプリケーションを「正規の（canonical）アイデンティティ記録」に接続し、どの新しいアプリケーションも承認する前にアイデンティティ統合計画を必須とすることです。

統制されないアクセスとシャドー IT

事業部門が標準プロセスの外で SaaS ツールを導入すると、誰も本当には監視していないアカウント、データ、権限が生まれてしまいます。これは、IT を通すと遅い、または不透明だと感じるときに特に起こりやすく、その結果チームが独自の回避策を見つけてしまいます。検証済みで事前に統合されたアプリケーションを、迅速かつ予測可能なプロビジョニングとともにユーザー向けのセルフサービス・カタログとして提供すれば、「IT を迂回する」ルートは不要になります。

常時付与された特権（standing privileges）と管理アカウントに対する脆弱な統制

58% の組織 は、Cloud Security Alliance の調査によると、特権（privilege）コントロールを一貫して適用することに苦戦しています。継続的な管理者アカウントは、実際にアクティブに使用されているかどうかにかかわらず存在し、そして積極的に狙われます。

常駐（standing）特権をなくすことは、大規模なチームや長い導入期間を必要としません。たとえば、Eastern Carver County Schools は侵入テスターが過剰にプロビジョニングされた管理者アカウントを繰り返し悪用して重要なシステムに到達したことを受け、常駐特権を完全に廃止しました。

IT リソースが限られている中、学区は just-in-time のアクセス制御を導入し、9,300 人の生徒のデータを数か月ではなく数日で保護しました。

JIT に変換できないアカウントは、文書化された例外として扱い、四半期ごとに見直してください。

監査人から求められたときに、アクセスが適切であることを証明する

SOX アクセス制御 は、欠陥の繰り返しの原因となることが多く、そのギャップは通常、意図ではなく証拠の不足です。継続的なアクセスレビューにより、認証記録、承認ログ、ロールと権限の対応付けが生成され、必要なときにすぐに作成・提示できます。自動化されたガバナンスにより、「制御を用意する」ことと「それを証明できる」ことの間の距離が縮まります。

非人間のアイデンティティの増殖（スプロール）

ほとんどの企業環境では、マシンアカウント、サービスアカウント、API キー、OAuth トークンが、いまや人間のアイデンティティよりも数が多くなっています。CyberArk の調査 では、この比率を平均で 82 対 1 としています。さらに、OWASP は、非人間のアイデンティティのスプロールを 2025 年の主要リスクの一つに挙げています。

人間のアカウントとは異なり、これらのアイデンティティは正式なライフサイクル管理を経ることがほとんどありません。特定の目的のために作成され、幅広い権限が付与され、そして本来の使用ケースがなくなったずっと後になっても有効のまま放置されます。人間のアカウントを統制するのと同じ JML の規律を、非人間のアイデンティティ が攻撃者にとって最も抵抗の少ない突破口になってしまう前にまで広げる必要があります。

規模に応じて入社者・異動者・退職者を把握し続ける

手作業のチケットで実行されるプロビジョニング解除（Deprovisioning）は、誰かがリクエストをクローズするまでアカウントが有効なままになり、完了までに数日かかる場合もあれば、そもそも起きないこともあります。オフボーディングのワークフローを HR システムの termination イベントに連携すれば、その依存関係をなくせます。

月次の照合（reconciliation）では、HR システム外にあるアカウント、特に自動化プロセスではカバーできない契約社員やサービスアカウントを見つけられます。

このような手作業の負担（manual toil）は、すでに逼迫しているチームにとっては持続可能ではありません。Netwrix's 2025 Hybrid Security Trends Reportによると、41% の組織が人員不足を最重要の IT 課題として挙げています。

大規模環境で identity management を実装する方法

以下の各ステージは、論理的な構築の順序を反映しています。各ステージが、次のステージが依存する土台を強固にしていきます。途中を飛ばして進めるチームは、ギャップが見えてきた後に、以前の作業を見直すことになりがちです。

ID の「真実の情報源（source of truth）」を確立する

HR システムは、ID 作成における権威ある記録のソースとして機能し、単一の正規化された（canonical）ID 属性レコードが Active Directory、Microsoft Entra ID、そしてビジネス アプリケーション全体で相関付けされます。The Microsoft Entra architecture guidance はこれを基礎となる前提条件としています。つまり、下流（downstream）の自動化は、それが読み取る情報源の信頼性にのみ左右されます。

重要なシステム、ロール、アクセス権を対応付ける

人（human）アカウント、サービス アカウント、マシン アカウントを含むアイデンティティの種類を完全に把握することで、ガバナンスの対象範囲が定まります。属性ベースのアクセス構造により、HR システム上で役割（role）や部門（department）のデータが変更されたときに、グループ メンバーシップを自動的に更新できます。権限付与ロジックが個々のアプリケーション内に閉じている場合、それを中央でガバナンスすることはできないため、外部へ（外側へ）移行すべきです。

中核となるシステムのライフサイクル管理を自動化する

JML オートメーションは、最も即時的なセキュリティ効果をもたらします。入社者は採用時に役割と部門に基づいてプロビジョニングされたアクセスパッケージを受け取り、異動者は旧アクセスが削除される前に新しい役割に連動した権限調整がトリガーされ、退職者は接続されているすべてのシステムで同時にデプロビジョニングを開始します。

ガバナンス、アクセスレビュー、承認ワークフローを導入する

ユーザーの権限が継続的に見てもなお適切であることを継続的に確認する定期的なアクセス認証こそが、IAM プログラムと IAM 展開（deployment）を分けるポイントです。自動化された認証と職務の分離（segregation of duties）による統制は、不適切なアクセスが検知されないまま蓄積されるリスクを低減します。承認ワークフローは、事後の復元（after-the-fact reconstruction）に頼るのではなく、すべてのアクセス判断について監査可能な記録を作成します。

特権アクセスと Identity Threat Detection にも統制を拡張する

特権アカウントの発見 統制が適用される前に、昇格されたアクセス（elevated access）の全体範囲を明確にします。just-in-time access、セッション監視、vault entry での MFA 強制などの PAM 統制により、これらのアカウントが標的にされた際の露出（exposure）の期間を短縮できます。

ITDR の行動分析は、これらのベースラインの制御が安定してから初めて有効になります。Netwrix の ITDR capabilities は、ハイブリッド Active Directory 環境全体で、事前の誤設定検出とリアルタイム対応を提供し、従来の IAM および PAM ツールが開けたままにしてしまう可視性のギャップに対処します。

中堅企業向けの Identity management ベストプラクティス

基本は複雑ではありませんが、一貫して実行する必要があります。これら5つの実践は、必要な労力に対して最も高いリターンが得られます。

• 唯一の権威ある真実の情報源: HR システムは、ID 作成と属性管理のための単一の権威ある情報源です。この層でのデータ品質は、すべての下流の自動化およびガバナンス ワークフローの信頼性を左右します。
• 最小権限を最初から: オンボーディング時に役割要件に合わせてスコープ付けしたアクセス パッケージと、役割データが変わると自動的に更新される動的グループを組み合わせることで、時間の経過とともに増幅されていく権限の蓄積を防げます。権限は、レビューを開始したときだけでなく、状況（コンテキスト）が変化するたびに締め付けるべきです。
• 退職者ワークフローの自動化： オフボーディングを HR システムの解雇（終了）イベントに直接紐づけることで、最も高い即時のセキュリティ効果を得られます。孤立アカウントは記録された攻撃ベクトルであり、それらを排除するのに成熟した IGA プログラムを実装する必要はありません。
• 継続的なアクセスレビュー： 定常的な運用サイクルに組み込まれた認証キャンペーンは、事前監査のためのデータ収集作業というよりも、継続的な状態（ポスチャー）の記録を生み出します。狙いは、アクセスレビューの結果が常に起きているため「特に目立たない」状態にすることです。
• 部門横断のオーナーシップ： Identity management は、採用、ロールの移行、退職、コンプライアンス、そして脅威対応まで幅広く含みます。セキュリティ、IT、HR が責任範囲を明確に定義したうえで共同で担うことで、ライフサイクル上の出来事が組織の境界で滞留するのを防げます。

Netwrix が大規模環境での Identity management の導入とセキュリティ強化をどのように支援するか

多くの identity management プログラムが失敗するのは、基盤となる層が完全につながっていないためです。つまり、正確なアイデンティティ記録、自動化されたライフサイクルのワークフロー、そしてガバナンスされたアクセスです。これらのギャップが静かに積み重なると、ガバナンス、脅威検知、コンプライアンス報告はすべて信頼できないデータの上に構築されてしまいます。

Microsoft を中心としたハイブリッド環境を運用している組織のために、Netwrix Identity Manager は、コードレスの JML 自動化、ネイティブの Active Directory と Entra ID の対応範囲、そして日常的な承認業務から IT を取り除くアクセス認証キャンペーンにより、ライフサイクルのガバナンス層をカバーします。

しかし、ライフサイクルのガバナンスだけでは、攻撃者が最も狙う昇格されたアクセス権限を持つアカウントには対処できません。Netwrix Privilege Secure は、その基盤を「常駐特権ゼロ」と「ジャストインタイムでのアクセス権限昇格」によって拡張し、特権アカウントが悪用されるのを待つ間にセッション間で永続化しないようにします。

Netwrix 1Secure ハイブリッド環境全体で「誰が何にアクセスできるか」を継続的に可視化し、さらに GDPR、HIPAA、SOX、PCI DSS 向けの事前に用意されたコンプライアンス報告を提供します。これにより、監査準備がバタバタした作業ではなく“必要なときにすぐ実行できる”取り組みになります。

ダウンロード：2025 Hybrid Security Trends Report ハイブリッド環境全体で組織が現在どのようにIdentity Managementに取り組んでいるかをご覧ください。

2025 Hybrid Security Trends Report では、ハイブリッド環境全体において組織が現在のアイデンティティ管理にどのように取り組んでいるかを紹介します。レポートをダウンロード