多要素認証（MFA）の重要性をご存知だろうか。国際的な要求事項、毎年のキャンペーン、サイバーセキュリティ担当者からのMFA使用の呼びかけの間で、技術に携わる人がMFAを使用する可能性はないと思う。 違う MFAがいかに重要であるかを理解している。
我々はそう思う。しかし、我々のセクターはMFAの重要性を明確にし、それを実施することには長けているが、同様に重要な他のサイバーセキュリティの要素については、そこそこしか取り組んでいない。誰もが玄関のドアにデッドボルトを取り付けることばかりに気を取られていて、誰が鍵を持っているのか、どうやって鍵を手に入れたのか、何を解除するのかを忘れてしまっている。
安全性を維持するにはMFAが必要です。しかし、Identity Governance and Administration（IGA）も必要である。
だからこそ、私はガートナーの® レポート「IAM Leaders' Guide to Identity Governance and Administration (IGA)」は、そのような重要な資産である。このレポートでは、IGAが提供しなければならない中核的な機能、IGAを導入する際に組織が直面する可能性のある課題、IGAプログラムの評価方法などについて詳しく説明している。
重要なのは、この報告書が、具体的な解決策を文書化したものではなく、IGAの重要性と役割を論じた、ベンダーにとらわれないアドバイスにすぎないということだ。
ガートナー社によると® 報告書『IAM Leaders' Guide to Identity Governance and Administration』では、「IGAの規律は、適切な人が適切なタイミングで適切なリソースに適切な理由でアクセスできることを保証するために存在する」と述べている。
ガートナーは、「IGA は、ID プロセスの成熟度の向上、コンプライアンスの促進、および不正アクセ スのリスクの低減につながり、ID ライフサイクル管理プロセスにより可視的で効率的な制御を提供する」 と述べている。また、「IGA は、通常、パスワード管理、プロファイル管理のためのセルフサービス機能、SOD などのポリシー違反の監査と是正のためのケース管理など、いくつかの補助的な機能も提供する。
要するに、IGAは組織のセキュリティを高め、リスクを減らし、生産性を向上させるのに役立つが、それはIGAを正しく利用した場合に限られる。
IGAを正しく行うことは、言うは易く行うは難しである。IGAが難しい理由のひとつは、IGAが以下のことを可視化しなければならないからだ。 全て ユーザー（人間ユーザー、マシンアカウント、サービスアカウント、デバイスを含む）。
これは、カバーする範囲が非常に広いということです。データの範囲が非常に大きくなる可能性があるからこそ、報告書は分析の重要性を強調しているのだと思います。報告書はまた、IDアナリティクスが「過去5年間で、IGAにおいて、人間の意思決定をサポートするレポートを提供するために、より多くの支持を集めてきた。
IGAソリューションにアナリティクスを統合することで、セキュリティチームにそのコンテキストを提供することができます。アナリティクスでは、個々のアカウントの権限を組織内の類似ユーザーと比較することができます。さらに、IGAソリューションは、より多くの情報により、リアルタイムのアラートと推奨事項を提供し、IT資産の増大にもかかわらず、より優れたセキュリティと継続的なコンプライアンスを促進することができます。RSAがより多くのアナリティクスとビジュアライゼーションをIGAソリューションに組み込んだのはそのためです。 最新のIGAソリューション.
IGAが重要であることをもっと証明したい？CISAの ゼロ・トラスト成熟度モデル, 同書は、政府機関は「過剰なアクセスを認めることなく、適切な目的のために適切な時に適切なリソースへのユーザーおよび事業体のアクセスを確保し、実施すべきである」と指摘している。
このモデルはまた、「すべてのシステムにわたるすべてのユーザとエンティティのための全社的な ID ポリシーを実装し、完全に自動化する」とき、その機関は最適な ID ガバナンス能力を達成したことになるとしている。
###
Gartner, IAM Leaders' Guide to Identity Governance and Administration, Brian Guthrie, David Collinson, Rebecca Archambault, 更新日：2023年8月16日｜初出：2021年4月5日
GARTNERは、米国およびその他の国におけるガートナー社および／またはその関連会社の登録商標およびサービスマークであり、許可を得て使用しています。無断複写・転載を禁じます。
