ゼロトラスト 2024.10.08

目指せ！理想のID管理#3 従来のID管理とどう違う？IDガバナンスの重要性

IDaaS
IGA

3行でわかる本記事のサマリ

IDガバナンスとはIDを適切に管理し、コンプライアンスを維持するための仕組み
ID管理の目的は「運用効率を向上させる」こと、IDガバナンスの目的は「適切なID管理の状態を維持する」こと
IGAソリューションは、ID管理とIDガバナンスの両側面を持ち合わせており、組み合わせることでよりセキュアなID管理を実現できる

1. はじめに

本シリーズ「目指せ！理想のID管理」では、企業のID管理を見直す必要のあるお客様を支援するべく
ID管理に必要な観点を段階的に記事にしていきます。

前回はユーザにアクセス権限を与える際に気を付けるべきポイントを説明しました。
　前回の記事を読む>>目指せ！理想のID管理#2 ユーザ認可の落とし穴、権限付与の２つのポイント

様々なリスクを考慮したアクセス権限の付与により、IDを適切な状態に保つことが
理想的なID管理を行うために重要な観点であると、お分かりいただけたかと思います。

しかし、「IDを適切な状態に保つこと」と「ID管理」は似ているようで、実は細かい違いがあります。
本記事では、IDを適切な状態に保つことを目標とする"IDガバナンス"と、ID管理の違いについて説明します。

2.なぜIDガバナンスが重要なのか？

IDガバナンスとは、組織内でユーザのアカウントやアクセス権限を適切に管理し、コンプライアンスを維持するための仕組みです。
どのユーザがどのシステムにアクセスできるのかを一元的に制御し、不正アクセスや情報漏洩を防止することを目的としています。

この「一元的な制御」や「コンプライアンスの維持」を怠ってしまうと、不要なアカウント・アクセス権限を与えてしまい
外部からの攻撃や悪意ある内部からも不正アクセスが発生し、企業の機密情報が流出するなどの問題に発展する恐れがあります。

また、多くの業界では個人情報保護やサイバーセキュリティに関する法律や規制に従うことが義務付けられており、
こうしたIDガバナンスの不備により、罰金や訴訟などの法的なリスクに直面する可能性もあります。

これらのリスクに対処すべくIDガバナンスの強化が近年徐々に注目されていますが、IDガバナンスを向上させるためには、
「誰が」「何に対して」「どのようなアカウント・アクセス権限を」「いつ」「どのような理由」で付与するか（所持しているか）を厳格に制御する必要があります。

画像1.PNG
では、従来のID管理の仕組みでは何が足りないのでしょうか。冒頭で記載した、「適切に管理」するために、IDガバナンスとID管理はどのように異なるのでしょうか。

3. ID管理とIDガバナンスの着眼点の違いとは？

ID管理では、IDの源泉である人事システムなどのデータベースからユーザ情報を受け取り
如何に効率よく下流のシステム/サービスにアカウントを作成して、アクセス権限を付与するかが主な目的となります。

また、源泉のIDデータをそのまま下流のシステム/サービスで利用できることは少ないので
データを加工して源泉のデータを利用できる形に修正することも、ID管理の範囲です。
入退社・異動・休職など、様々なユーザステータスの変更に追従して権限を付け替えることも、ID管理に含まれます。

ID管理の目的を言い換えれば、運用フローの自動化に伴う「運用効率を向上させること」です。
一方で、IDガバナンスは「適切なID管理の状態を維持すること」が主な目的となります。

例えば、一度付与したアクセス権限をそのまま放置するのではなく、「一定日時が経過した今もその権限が必要なのか」を継続的に検証し、
不要になったタイミングではく奪することで、IDの正常性を保つことができます。

また、ユーザの人事属性・実際の職務に応じて不要な権限が付与されていないかを検証し、
職務が適切に分掌される仕組みづくりを作ることも大切です。

これらは一例に過ぎませんが、「運用効率を向上させること」と「適切なID管理の状態を維持すること」は着眼点が異なるのです。

画像2.PNG

4. IDガバナンスを内包するIGAソリューションと、その具体的な機能について

具体的にIDガバナンスの4つの着眼点でどのような機能が必要なのか、
ID管理とIDガバナンスの両側面の機能をもつIGAソリューションを軸に説明します。

アクセス権限の継続的な検証

ユーザにシステム/サービスのアカウントを作成して、アクセス権限を付与するという観点はID管理の機能です。
例えば、下図のように、ユーザへアクセス権限を付与する例を考えてみます。

画像3.PNG

Aさんは正社員で技術部のため、ID管理システムにより「全社利用」と「技術部利用」の2種類のアプリで、各アクセス権限が自動的に付与されます。
「営業部利用」アプリについては自動で付与されず、必要な場合には、上司へ利用申請を提出して承認される必要があります。

しかし、一般的なID管理システムは、ユーザの権限が本当に必要なのか、
一定期間が経過した後にもそのユーザがアクセス権限を必要であり続けるのかを検証することが難しいです。

画像４.PNG

これらの課題に対して、IGAソリューションが提供するIDガバナンスでは、ユーザに付与する権限が本当に必要かどうかを見極める仕組みを作り
一度付与したアクセス権限の継続利用が必要かを定期的に検証しIDを制御することで、リスクの低減を行うことができます。

画像５.PNG

職務を考慮した厳格なルール

ユーザの部署や職位など、様々な属性情報を基にあらかじめ必要なアクセス権限を定めておき
IDが登録・変更・削除されたタイミングで権限の与奪を行うことは、ID管理の代表的な機能です。

一方で、ユーザが実際に行っている業務の内容に沿ったアクセス権限を付与できているか、
そのユーザが既に保持している他の権限と相反することはないかを考慮することは、一般的なID管理システムでは制御が難しいです。

下図は、基幹系システムにおける職務分掌違反としてよく取り上げられる例ですが
職務分掌は基幹系システムに限られず、あらゆるシステムにおいて必要な考え方となります。

IGAソリューションでは、これらの職務分掌違反が発生しないように事前に防止する機能と、既に発生している場合に即座に検知して是正する機能があります。

画像７.png
ID管理の機能と組み合わせることで、より効率的に、よりセキュアな権限の与奪を行うことができます。

システム・サービスの整合性検証

利用しているシステムやサービスで正しく権限が付与されている状態になっているか、
ID管理システムとの整合性を保つことは、IDガバナンスにおいて重要な観点です。

下図のように一般的なID管理のみを有している製品では、権限の配信は行えるものの
実際にシステム/サービス側で直接付与された権限を検知することはできません。

そのため、管理外で不正に行われた権限の付与を見逃すリスクが高まります。

画像８.png

IGAソリューションではデータの配信に加えて、データを取り込むことができます。

これにより、データの配信した内容と実際のシステム/サービスの権限の内容から差分を抽出することができるため
IGAソリューションの管理外で勝手に付与された権限をリスクとして検知することができます。

ID管理の中で作成したID体系にIDガバナンスを加えることで、正常性を担保することができるのです。

可視化と制御

一般的なID管理システムにおいても、誰がどのようなシステムにアクセスできるかを確認する方法はありますが、
リスクを分析して即時に制御する機能までは持ち合わせていません。

下図のように、ユーザが退職した場合に源泉システムやID管理システムではIDが削除されているものの
何らかの理由で下流のシステムには設定が反映されていないケースを考えます。

画像１０.png

前項「システム・サービスの整合性検証」に記載のとおり、IGAソリューションでは実データを取り込んで管理する機能があり、
加えて、放置しておくと危険なIDを分析して、検知したタイミングで即時に是正する機能も持ち合わせています。

上図に記載の、分析で使える例はごく一部です。
弊社で取り扱いのあるIGAソリューション Saviyntでは、製品の中に最初から1,500近くの分析レポートがあり、簡単に利用することができます。

実際のIDの状況を可視化するだけではなく、事前に定義したリスクが見つかった際に
すぐ検知し、自動的に是正することでより強固なID管理を実現できます。

5.まとめ

今回の記事では、IDガバナンスの重要性と、ID管理と比べた時の着眼点の違いについて記載しました。
今一度お客様のID管理・ガバナンスに課題がないかを見直すきっかけになっていただければ幸いです。

また、弊社ではIGA領域のリーディングカンパニーである、Saviynt社のソリューションを取り扱っており
本記事では記載しきれていない製品メリットや特徴もご紹介できますので、
詳しく知りたい方は、是非お問い合わせください。