Identity セキュリティ：セキュリティリーダーのためのガイド

によると、Netwrix 2026 Data and Identity Security Reportで2,317人のITおよびセキュリティ専門家を対象に行われた調査では、75％の機密データの漏えいは、侵害されたIDまたは誤った権限設定から始まっています。

有効に見えるアクセスは、プロビジョニング後も長期間リスクを伴う可能性があり、アイデンティティセキュリティは純粋な技術的問題ではなく、サイバー回復力とビジネスガバナンスの課題となります。

従業員数が100～5,000人の組織では、取締役や外部監査人から「誰が何にアクセスできるか」や「組織が安全かどうか」といった質問に答えるには、手動での照合が必要になることが多いです。基となるデータはActive Directory (AD)、Microsoft Entra ID、複数のSaaS管理コンソール、スプレッドシートに存在し、これらの記録はしばしば不一致を起こします。

体系的なプログラムは、断片化されたデータをセキュリティチーム、取締役会、監査人が利用できる測定可能な姿勢に変えます。継続的なガバナンスは、より迅速な対応、防御可能なアクセス決定、および進捗の明確な証拠を支援します。

アイデンティティセキュリティとは何ですか？

Identity securityとは、組織内のすべてのIdentityを侵害や誤用から継続的に保護する取り組みです。付与されたアクセスがリスクを生む箇所を特定し、そのアクセスの使用状況を監視し、異常なIdentity活動を遮断します。対象は従業員や契約者だけでなく、サービスアカウント、アプリケーションIdentity、AIエージェントも含みます。

Identity and access management（IAM）は、適切な人や機械が適切な時に正当な理由で適切な資産にアクセスできるようにする関連分野です。IAMはプロビジョニングを担当し、誰が何を得るかを決定し設定します。

アイデンティティセキュリティはその決定に従い、攻撃前に予防を適用し、攻撃が進行中の場合は検出と対応を行います。IAMが構造を構築し、アイデンティティセキュリティがそれを守ります。

なぜIdentity Securityが今や取締役会レベルのリスクなのか

取締役会は、組織のサイバー・レジリエンスの姿勢の一環として、アイデンティティの露出を管理するために具体的かつ測定可能な証拠を必要としています。最近、3つの要因がリスクを高めています。

昨年、ほぼ半数の組織がクラウドアカウントの侵害を受けました

Netwrix 2026 Data and Identity Security Reportによると、AIがidentityの範囲を大幅に拡大した組織では過去12か月間の侵害率が43％であったのに対し、ほとんど変化のなかった組織では11％でした。追加された各identityは攻撃者が利用できる別の資格情報です。有効なクラウドテナントの資格情報により、攻撃者はメールを読み、データを取得し、ネットワーク境界向けに構築された制御をトリガーせずにSaaSサービス間を移動できます。

IDと権限が攻撃者がデータにたどる経路を管理します

機密データの露出がどこで発生するかは、攻撃者が最初にどのように侵入するかとは別の問題です。Verizon's 2026 Data Breach Investigations Report（DBIR）によると、脆弱性の悪用（31％）が初期アクセスの主要な経路として資格情報の悪用（13％）を上回りました。資格情報の悪用は依然として侵害の39％の段階で見られました。

一度内部に入ると、エクスプロイトや盗まれたパスワードを通じて、データへのアクセスはアイデンティティと権限を介して行われます。 ファイアウォールの制御は ネットワークトラフィックを管理し、アイデンティティと権限はデータアクセスを管理します。

保険会社はすでにこのリスクを更新料に反映しています

保険加入組織の中で、Netwrix 2025 Cybersecurity Trends Report は、IAMの需要が2023年の38％から2025年には48％に増加したことを発見しました。更新サイクルには現在、アイデンティティ固有の質問が含まれており、保険料はその回答を反映しています。

Identity Management セキュリティが答えるべき質問

実行可能なプログラムは、取締役会や監査人が評価できる4つの実用的な質問に答えます。

1. 現在、誰が実際のアクセス権を持っていますか？
2. そのアクセスは通常通り使用されていますか？
3. アクセスの決定は後で正当化できますか？
4. アクセスは期限通りに削除されますか？

サポート分野には、Privileged Access Management（PAM）、アイデンティティガバナンスと管理（IGA）、Identity Threat Detection & Response（ITDR）、およびアイデンティティセキュリティポスチャーマネジメント（ISPM）があります。

今、すべてのシステムで誰が何にアクセスできるか？

チームは通常、この質問に対してシステムごとに回答します。ADチームはグループメンバーシップを取得し、Microsoft 365管理者は役割の割り当てをエクスポートし、各SaaS所有者はコンソールを持っています。欠けているのは、AD、Microsoft Entra ID、SaaS、クラウド全体の単一の最新の状況であり、ネストされたグループメンバーシップが個人が実際に持つアクセス権に解決されています。回答には通常、会議後の追加調整が必要です。

そのアクセスは正しく使用されていますか？

人が予想される時間外にアカウントを使用する場合、そのアカウントに適切な権限があっても、行動は別途検証が必要です。資格情報の盗難、横方向の移動、および権限昇格は、権限の観点から許可された活動のように見えることがあります。アカウントは許可されたことを行いますが、正当な管理者の行動とは異なる順序とペースで行うためです。この質問に答えるには時間をかけた行動分析が必要であり、それがITDRの役割です。

事後にアクセスが適切だった理由を示せますか？

チームが後で有効なアクセス決定を再構築できない場合、組織は監査人が期待する証拠を欠いています。組織は、誰がアクセスを要求し、誰が承認し、最後に誰がレビューしたかの記録が必要です。その記録は元の決定を現在の権限に結びつけます。

アクセスは適切なタイミングで削除されますか？

文書化されたポリシーとディレクトリの状態はすぐに乖離することがあります。 Standing privileged accessはその理由を超えて存続し、プロジェクト後もアクティブな契約者アカウントや、所有者が長く離れたサービスアカウントは、それぞれ今日では誰も再認可しない権限を残します。

Netwrix 2026 Data and Identity Security Reportによると、76％の組織が不要になった際に即座に常設アクセスを取り消せず、リーダーはより強力なライフサイクル管理でこの問題に対処できます。

アイデンティティセキュリティの主要コンポーネント

Identity セキュリティは、プロビジョニング、privilege、ガバナンス、検出、およびそれらすべてが依存するディレクトリの間で作業を分割し、各分野がアクセスライフサイクルに入る順序に従います。

IAM：アクセスを付与し管理する傘

IAMは、誰が何にアクセスできるかを決定し、そのアクセスを提供するシステムとプロセスをカバーしており、ディレクトリ、single sign-on、MFA、アクセスリクエストを含みます。セキュリティコントロールは、IAMが付与する権限を基に、発行された権限をレビューして侵害、誤用、または蓄積されたリスクの兆候を検出します。

Privileged Access Management：最も大きな被害を与える特権サブセット

Privileged Access Managementは、ドメイン管理者、クラウドグローバル管理者など、環境自体を変更できるアカウントを管理し、サービスアカウントの権限を含みます。PAMツールは、システムやアプリケーションの管理や構成に使用されるアカウント、資格情報、およびコマンドに対して、より強力な技術的制御を適用します。

組織は、この限定的で重要度の高いアクセスに対して別のツールとセッション記録を使用しています。保険会社や監査人が標準ユーザーアクセスよりも厳しく監視するためです。Netwrix Cybersecurity Trends Report 2025によると、IT専門家の42％が選択肢があれば、すべてのセキュリティ施策の中でPAMの改善を優先すると答えています。

IGA：アクセスをチェックするガバナンス層は依然として意味があります

Identityガバナンスおよび管理は、定期的なレビュー層を提供します。IAMプロビジョニングが今日役割が必要な人のために将来を見据えるのに対し、IGAは過去を振り返り、18か月前に付与されたアクセスがまだ適切かどうか、チームがすでに取り消すべきだったものは何かを確認します。IGAの主要な機能にはidentity lifecycle management、アクセス認証、およびアクセス要求処理が含まれます。監査目的で、IGAは誰かがアクセスをレビューしたことを示す認証記録を作成します。

ITDR：アクセス許可後の侵害監視

Identity threat detection and response はリアルタイムレイヤーを提供します。 Gartner は2022年にこのカテゴリを導入しました. 資格情報の盗難、横移動、権限昇格を発生時に検出します。IGAとPAMはチームがアクセスを正しく設定しているかを管理し、ITDRはアクセス後の不正使用を特定します。

Directory セキュリティ：すべてのIdentityが依存するシステムの保護

Active Directory と Entra ID は他の分野の基盤を形成します。侵害されたり誤設定されたディレクトリは、ディレクトリ管理がすべてのアイデンティティの真実の源を変更するため、すべてを同時に損ないます。

Five Eyesのガイダンス Active Directoryの侵害の検出と緩和は、2024年9月に初めて公開され、その後改訂されましたが、Active Directoryの制御を得ることは悪意のある攻撃者に管理するすべてのシステムとユーザーへの特権アクセスを与えると警告しています。

Identity セキュリティが Zero Trust に適合する場所

サイバーセキュリティ・インフラセキュリティ庁（CISA）は、継続的な検証の中心にアイデンティティを置いています。 CISAのZero Trust Maturity Modelは、アイデンティティを5つの柱の最初に位置づけ、フィッシング耐性のあるMFAを使用してアクセス全体でアイデンティティを継続的に検証する最適な段階を設けています。

継続的な検証、least privilege、およびライブセッション中の信頼の再評価はすべてアイデンティティセキュリティの作業です。CISAのモデルに沿ったZero Trust戦略は、それを実行するアイデンティティコントロールの強さに依存します。

組織の現状を評価する方法

3つの演習は、チームがすでに持っているツールを使って防御可能な基準を作成します。時間制限付きの可視性テスト、特権アクセス承認のレビュー、独立したディレクトリスキャンは、それぞれチームがリーダーシップや監査人に渡せる特定の成果物を生み出します。

1日間の効果的なアクセス可視性テストを実行する

チームに対して、「現在、すべてのシステムで誰が何にアクセスできるか」を1営業日以内に回答するよう依頼してください。使用したコンソールの数、所要時間、チームがカバーできなかったシステムを記録します。完了とは、ユーザーごとの有効なアクセスの単一の調整済みリスト、またはそれが不可能な場合は作成を妨げた障害の記録されたリストを指します。両方の結果は後で取締役会の説明に含まれます。

誰も承認した覚えのない常時特権アクセスを見直してください

サービスアカウントやネストされたグループを通じて管理者権限を継承するアカウントを含む、権限昇格されたすべてのアカウントの完全なリストを取得します。各アカウントについて、誰が承認したか、承認がいつ行われたか、なぜアクセスが有効なままかを特定します。

完了したものは、各エントリに承認記録が添付されたスプレッドシートと、取り消すアカウントのショートリストのように見えます。 Cybersecurity Maturity Model Certification (CMMC) レベル2の評価者はまさにこのアーティファクトセットを要求し、名前付き個人に紐づくアクティブなシステムアカウントのリストと対応するアクセス承認記録を含むため、この演習は監査準備も兼ねています。

標準チェックリストに基づいて独立したディレクトリスキャンを実行する

ディレクトリをMITRE ATT&CKにマッピングされた評価やAD侵害技術に基づくFive Eyes guidanceなどの外部スキャンで評価し、独立したベースラインを作成します。結果は、一般ユーザーが管理者に昇格できる設定ミスや、攻撃者が対話型ログインなしで狙えるアカウントを含む、ランク付けされた設定ミスのリストのようなものです。

取締役会および監査の言語へのアイデンティティセキュリティの翻訳

資金調達は、アイデンティティの調査結果を露出、対応時間、および取締役会が行動できる防御可能な証拠に変換することに依存しています。全米企業取締役協会（NACD）のDirector's Handbook on Cyber-Risk Oversight第5版（2026年）は、その翻訳責任を経営陣に割り当てています。

取締役会の会話で効果的な指標

脆弱性の数は努力を測定しますが、取締役会は露出を確認する必要があります。時間ベースのidentity指標はその視点を提供し、技術的な活動を非技術的な取締役が評価できるリスクのタイムラインに変換します。NACDはこれらを、少なくとも四半期ごとおよび重大なインシデント直後に報告すべき指標として挙げています：

• 平均検出時間（MTTD）： 侵害されたIDが見過ごされている時間、攻撃者が検出されずに横方向に移動したり権限を昇格させたりできる期間です。
• 平均対応時間（MTTR）： 不要または侵害されたアクセスが検知されてから取り消すまでの時間であり、組織が脆弱性をどれだけ速く閉じるかの直接的な指標です。
• 高コストインシデントの割合： Netwrix Cybersecurity Trends Report 2025によると、20万ドル以上の攻撃被害を報告する組織の割合は、2024年の7％から2025年には13％にほぼ倍増しました。この傾向はMTTDとMTTRに対してビジネスコストの基準を提供します。

監査人が期待する証拠

正確なアクセス決定とその決定の証拠は別個の監査要件です。System and Organization Control 2 (SOC 2) の基準 CC6.2 は、アクセスが許可されなくなった場合にユーザーのシステム資格情報を削除することを要求し、AICPA's Trust Services Criteria はSOC 2監査人がテストする基準を設定しています。

レビューは通常、2種類の証拠を追跡します：

• プロビジョニングおよび終了記録： 承認されたチケットに遡れるアクセス付与およびアクセス削除イベントのサンプルで、遅延削除は例外として記録されています。
• アクセスレビューのドキュメント： レビュアーの名前、レビュー日、対象システム、マネージャーの承認を、初回付与だけでなくすべての定期レビューで記録します。

口頭の保証ではこれらのテストはサポートされません。監査人は記録システムからのタイムスタンプ付きエクスポートを検証可能な証拠として扱います。

調査結果をチェックリストではなくリスクの説明に変える

チームがディレクトリの調査結果を技術的なバックログとして提示すると、取締役会はそれを日常的なメンテナンスとして簡単に扱うことがあります。同じ調査結果を運用成果に基づいて提示すると、リスクと修復目標がより明確になります。

例えば、「常駐ドメイン管理者アクセスには追跡可能な承認がない」は、「不要な常駐アクセスを削除すると、ディレクトリ全体の制御への経路が狭まり、承認が監査可能になる」に変わります。

Netwrixが実際にアイデンティティセキュリティをサポートする方法

Netwrixは、ディレクトリ評価やポスチャーの可視化から、アクティビティ記録、権限の強制、脅威検出、リアルタイムブロッキングまで、ハイブリッドMicrosoft環境のアイデンティティライフサイクル全体にわたってコントロールを構築します。各製品は、このガイドの冒頭で提示された4つの質問のいずれかに対応しています。

外部ベースラインによるディレクトリの露出スコアリング

Netwrix PingCastleは170以上のMITRE ATT&CK対応チェックを通じてADリスクを評価、スコア付け、ランキングし、上記のディレクトリスキャンが求める独立したベースラインを生成します。ディレクトリ管理はすべての他のIdentity分野の基盤となるため、優先順位付けされたPingCastleスコアは広範なMicrosoftディレクトリの問題を技術的な購入者が対応可能な測定可能な作業リストに変えます。

アイデンティティリスクの最新状況を維持する

Netwrix Identity Security Posture Management (ISPM) は、Netwrix 1Secure™ Platformを通じて提供され、AD と Microsoft Entra ID 全体の170以上のチェックで誤設定を検出し、姿勢の可視性を最新に保ち、環境に応じて変化する状況をチームに提供します。

これは「誰が今何にアクセスできるか」に答えるために必要なことです。SaaS提供モデルはセットアップ作業からインフラのプロビジョニングを取り除きます。

ハイブリッドアクティビティ記録による調査時間の短縮

Netwrix Auditorは、AD、Microsoft 365、ファイルシステム、その他のプラットフォーム全体の変更およびアクセス活動を記録します。その記録は、チームが「なぜアクセスが適切だったかを示せるか」という質問に答えるための証拠の軌跡を提供し、通常のパターンから外れた活動をより速く見つける方法も提供します。

重要なアカウントに対する最小権限の適用

Netwrix Privilege Secureは特権アカウントに対して「アクセスは時間通りに削除されるか」という問いに直接答えます。常設の管理者権限を特定のタスクのためのジャストインタイムアクセスに置き換え、タスク終了時に自動的に削除し、監査レビューのためにセッションを記録します。

Eastern Carver County Schoolsは9,300人の学生のデータを保持するシステムへの常時管理者アクセスを廃止し、ジャストインタイムアクセスに置き換え、展開を数か月ではなく数日で完了しました。

アクセスの不正使用をリアルタイムで検出

Netwrix Threat Managerは「そのアクセスはリアルタイムで正常に使用されていますか？」に答えます。ADおよびMicrosoft Entra ID環境全体で、資格情報の盗難、横移動、権限昇格、Kerberoasting、Golden Ticket攻撃、その他のアイデンティティ脅威を検出し、Active Directory Certificate Services（AD CS）のESC1〜ESC7技術にも対応しています。

Netwrix Threat Preventionは、DCSync、Kerberoasting、およびPass-the-Hash攻撃をリアルタイムでブロックすることでさらに進化します。検出とブロックを2つの製品に分割することで、特権グループ、ドメインコントローラー、Group Policy Objects（GPOs）などのTier Zero資産を保護しながら、管理を明確に保ちます。

自分のアイデンティティの状況を把握する

ハイブリッドMicrosoft環境全体での効果的なアクセス可視性、追跡可能なガバナンス証拠、現在の状況情報、適時の検出または封じ込めが、アイデンティティセキュリティへの投資を促進すべきです。

ベースラインを確立するために書面のポリシーとディレクトリの状態を比較し、その後、1日間の可視性テスト、privileged-accountレビュー、独立したスキャンを使用して、次の投資が最も効果的な場所を特定します。

デモをリクエストして、NetwrixがハイブリッドMicrosoft環境で効果的なアクセスをマッピングし、常時の特権アクセスを排除し、リアルタイムでアイデンティティ脅威を検出する方法をご覧ください。