IGAに基づく情報セキュリティ対策について考える

自社の情報セキュリティ対策を考えるうえで、IGA（Identity Governance and Administration）はぜひ押さえておきたいキーワードのひとつです。

IGAとは、ID管理における新しい概念で、これからの情報セキュリティ対策における重要な考え方として、今、多くシステム管理者から注目されています。

今回はIGAがなぜ注目されているのか、分かりやすく解説したいと思います。

まずIGAの重要性について解説する前に、現在、企業が抱えているID管理の課題について少し触れておきます。

昨今、特別なインフラの必要もなく、早く簡単に導入できることから、“クラウドサービス”が多くの企業で利用されるようになりました。そのクラウドサービスを利用する際には、利用者を識別するために”ID”を使ってログイン認証を行うのが一般的ですが、このIDによってシステム管理者やユーザー側に思わぬ負担が伸し掛かってきています。

 
例えばシステム管理者の場合だと以下のような具合です。

• • • 社員の増加に伴い管理するIDが増えている
    • クラウドサービスの利用増に伴い管理するIDが増えている
    • IDの属性情報が複雑化している
    • 入社、退職のたびにIDの登録・削除が大量に発生する
    • 人事異動や組織改編のたびにID情報の変更が大量に発生する

 
またユーザー側の負担としては、以下のようなものがあります。

• • • サービスやシステムごとに異なるID、パスワードが必要
    • 利用したいシステムごとにIDの申請方法が違う
    • ID＆パスワードが多すぎて使い分けが大変

システムの適正利用やセキュリティを確保するため、利用者を特定するIDとパスワードは必要不可欠なものですが、社員数や属性情報、利用するシステムが増えるにつれて、ID管理はどんどん複雑かつ面倒なものになっていきます。

この課題を解決してくれるのが、IGAやSSO（シングルサインオン）といったソリューションになります。

ID管理の課題を解決するIGAについて解説する前に、IGAとIAMの関係性について少し触れておきます。

IAM（Identity and Access Management）とは、社内システムのIDおよびアクセス権限を統合的に管理、運用する仕組みの総称で、IGAは概念上、AM（AM：Access Management）とともに、IAMのサブカテゴリとなります。

AMは、ざっくり説明すると「いつ誰がどんなサービスにアクセスしたか」を扱う概念であり、監視下にあるユーザーだけをポリシーに沿って特定のサービスにアクセスできるようにすることで、データ漏洩や不正アクセスを防ぎ、組織全体のセキュリティレベルを高めることを目的としています。

一方のIGAはデジタルアイデンティティを適切に保護・管理してIDガバナンスを効かせるという考え方で、「職種や役割に応じてどのアプリケーションの使用権限を与えるか」や「その権限を持たせることが本当に正しいのか」といった部分を扱う概念です。

このように概念上IGAは、IAMの内包的な位置づけになりますが、IGAはIAMよりも新しい概念であり、近年重要視されているIT統制やコンプライアンスといった指標を意識した要素、具体的にはIDライフサイクルの統制やロール管理、ログ記録、ログ分析、レポーティング、棚卸といったガバナンス機能を取り込んだ概念なので、複雑化したIDやアクセス権限をより効率的に管理できる仕組みなのです。

企業の情報セキュリティ対策を考える上でIGAが注目される理由のひとつは、先に説明した通り、IGAが従来のID管理を広範囲に、より高度に進化させた新しい概念だからなのですが、では従来のID管理が抱えていた課題をIGAはどのように解決してくれるのでしょうか。

一例をあげると、IGAソリューションを導入した場合、すべてのIDをシステム管理者の監視下におくことができるため、オンプレミス・クラウドを問わずあらゆるサービスと連携して、権限レベルでのプロビジョニングが自動で行えるようになります。

また人事異動や退職時におけるアカウントの制御やコンプライアンスに沿った権限の付与なども自動で行えるため、人の手を使ってユーザーを個々に確認する必要がありませんし、システムごとに異なるIDとパスワードが必要だった認証も、SSO（シングルサインオン）の仕組みを活用すれば、一度のユーザー認証だけで複数のシステムを利用できるようになります。

このようにIGAは業務の効率化に加え、従来のID管理よりも統制部分が強化された考え方なので、ITの利用形態やサービスが多様化し、企業のコンプライアンスが重視される今の時代にマッチしたセキュリティ概念として注目されているのです。

ここまで説明した通り、これからの情報セキュリティ対策は、IGAの概念に沿って適切にアクセス権を付与・追跡し、IDカバナンスや管理を最適化することが重要となりますが、それを実現するためには、IGA要件を満たす商用サービスを利用することが一番の近道です。

当社が開発・提供しているSaaS型サービス”SesiossLink（セシオスリンク）”は、IGAの要件を満たす機能が多数実装されています。その中でも特に重要となるロール管理の機能について少しだけご紹介しておきます。

ロール管理とは、利用者の役職や役割ごとに利用できる権限やリソースを割り当てられる機能です。

一般的な企業では、役職が高い社員のみが利用できるリソースと、一般社員でも利用できるリソースの両方が存在することは珍しくありませんが、そのような場合にロール管理機能を使えば、「役職」や「役割」に対して権限が設定できるので、システム管理者は、ユーザーに対して一人ずつ権限を設定することなく、必要なリソースを必要な利用者に対して効率よく提供することができます。

IGAの概念に沿ってIDを管理すると「どのユーザーがどのリソースにアクセスできるのか、できないのか」かが可視化されるので、セキュリティリスクが軽減されると同時に業務も効率化できるため、IGAは企業の情報セキュリティ対策の新たなスタンダードとして認知され始めています。

そんなIGAを実現するSesiossLink（セシオスリンク）は、シングルサインオン と統合ID管理 をセットにしたSaaS型サービスです。またゼロトラストモデルに対応したサービスでもあり、多くの企業が抱えるリモートワークの課題もオールインワンで解決します。

クラウド時代のIdentity Governance ソリューション”SesiossLink（セシオスリンク）”にご興味のある方は、ぜひお気軽にお問い合わせください。

またStandardプラン1か⽉無料トライアルも実施中です。こちらもぜひご利用ください。