アイデンティティはセキュリティの境界である。誰がアクセス権を取得し、どのようにアクセス権を取得し、内部で何ができるかを管理する。もしあなたの組織がこのレンズを通してセキュリティにアプローチしていなければ、組織を不必要なリスクにさらしていることになる。
アイデンティティ・セキュリティ姿勢管理（ISPM）の定義
アイデンティティ・セキュリティ・ポスチャ・マネジメント（ISPM）は、組織が複雑化する環境全体でリスクを管理し、ポリシーを実施し、コンプライアンスを強化することを可能にする新しい戦略的サイバーセキュリティ分野として台頭しつつある。ISPM は、ハイブリッド環境全体にわたる ID 関連のリスクの可視化、コンテキスト、および継続的な監視を提供します。
機能や製品以上のもの、 ISPM は戦略である。ID関連のリスクを継続的に可視化し、ポリシーの実施を自動化し、セキュリティ・チームに誰がなぜアクセスすべきかについて、よりスマートで迅速な意思決定を行う権限を与える。
アイデンティティはもはやセキュリティの話題の一部ではない。それは は 会話
現実は単純で、今日の侵害の大部分はID主導型である。2025年Verizon Data Breach Investigations Reportによると、クレデンシャルの濫用が不正侵入における最も一般的なベクトルであり、昨年報告されたすべての侵入のうち22%に見られた。同様に、クレデンシャルを窃取しようとするフィッシング攻撃は、16%の侵害で見られました。
そして、これらは最も頻繁に報告されている脅威ベクトルに過ぎない。特権の昇格、ポリシーの設定ミス、 孤立したアカウントはすべて、組織を危険にさらす可能性のある ID 関連のリスクである。しかし、多くの組織はいまだに、そのリスクを管理するために、サイロ化したツールや反応的なプロセスに頼っている。
攻撃者は、ガバナンス、アクセス、認証の間の隙を突きます。ISPMは、アイデンティティ・インテリジェンス、ポリシー・コントロール、リスク分析を継続的な姿勢管理アプローチに統合することで、これらのギャップを解消します。
ISPMを使えば、セキュリティチームは次のことができる：
- 漏洩に至る前に、隠れたIDリスクを排除する
- アクセスポリシーの実施と監査準備の自動化
- 異常な動作や設定ミスを早期に検出
- 継続的なアクセス検証により、ゼロ・トラスト・アライメントを強化する。
ISPMはIGAの自然な進化である
ISPM は、アイデンティティ・ガバナンスの進化における次のステップである。従来のアイデンティティ・ガバナンスと管理（IGA）は、ユーザー権限の一元的な可視化、アクセス・ポリシーの実施、認証とレポートによるコンプライアンスの確保といった基盤を提供する。
アクセス管理および認証と組み合わせることで、ISPM はこれらのガバナンス機能を継続的かつプロアクティブなモデルに拡張する。さらに、ID アクティビティのリアルタイムの監視、リスク・ポスチャの自動スコアリング、および環境全体にわたるインテリジェントな実施機能が追加される。その結果、ガバナンス、アクセス、認証のクローズドループが実現し、組織はアイデンティティを管理するだけでなく、積極的にリスクを低減し、セキュリティ態勢を強化することができる。
ISPM は、サイバー犯罪者が悪用する最も一般的な ID 関連の攻撃ベクトルに対処します。ISPMは、アカウント、権限、アクセスポリシー全体のリスクをプロアクティブに特定することで、攻撃者に利用される前にギャップを埋めることができます。
資格の乱用
攻撃者は、弱い認証情報、盗まれた認証情報、再利用された認証情報を利用します。ISPM はより強力な認証を実施し、漏洩したパスワードによる被害を軽減します。
特権の昇格
過剰な、あるいは監視されていない特権は、攻撃者に高レベルのアクセスへの道を与える。ISPM はリスクのある特権を特定し、最小特権原則を実施する。
ポリシーの設定ミス
誤ったポリシーや過度に寛容なポリシーは、悪用可能なギャップを生み出す。ISPMは設定のドリフトを検出し、一貫したアクセスポリシーを適用します。
シャドーIT／シャドーアクセス
未承認のアプリケーションや隠しアカウントは、ガバナンスをバイパスします。ISPMはこれらを可視化し、セキュリティ管理に従っていることを確認します。
孤児口座
非アクティブまたは放棄されたアカウントは、攻撃者にとって開かれたドアのままです。ISPMは、悪用される前に無効化されたアカウントを検出し、排除します。
過剰な権利
ロールの変更に伴い、ユーザーは不要になったアクセス権を保持し続けることがよくあります。ISPMは、権限をレビューし、不要なアクセスにフラグを立て、権限をライトサイジングします。
第三者によるアクセス
ベンダーや請負業者は、昇格した権限で接続することがよくあります。ISPMは外部アカウントを監視し、その必要性を検証し、不要になったらアクセスを削除します。
アイデンティティの状況は、従来の管理手法では効果的に管理できないほど広大で、断片的で、複雑になっている。組織がより多くのクラウドサービスを採用し、サードパーティユーザを取り込み、ビジネスプロセスを自動化するにつれて、アイデンティティの数は増加し、リスクも増大している。ISPM は、このような増加から生じる運用とセキュリティの盲点に対処する。以下がその例です：
- アイデンティティのスプロール は、人間、デバイス、サービス、およびマシンのアカウントの加速的な増加である。アイデンティティの増加は、攻撃者が悪用できる重複アカウント、孤立アカウント、シャドーアカウントにつながります。半数以上（57%）の組織が、アイデンティティのスプロールを管理することを主要な焦点と考えています、2 現在の安全保障情勢におけるその重要性を強調している。
- 誤った設定と一貫性のないポリシー, ハイブリッド環境の普及（70%の組織が報告）により、アクセス制御の実施が難しくなり、特権が悪用される可能性が高まっている。ハイブリッド環境の普及（70%の組織が報告1)は、異なるシステム間での ID ポリシーの実施をさらに複雑にしている。
- 管理されていないエンタイトルメント, これは、ユーザがその責任をもはや反映しないアクセス権を保持することを可能にする。アクセスが定期的に見直されたり、最小権限の原則に基づくものでない場合、管理されていない権限は、過剰または有害な組み合わせが気づかれない可能性を増大させる。このようなギャップは、セキュリティ・インシデントの直接的な原因となる可能性がある。
- 特権アカウントや高リスクアカウントの可視性が制限される, このため、悪意のある活動や内部脅威の検知が遅くなっている。20%以上の組織が、ID関連の侵害により$1億円以上の損害を被ったと推定している。合計で44%が、これらの侵害は一般的なデータ侵害よりも高額であると回答した。1
- シャドーIT、 事業部門や従業員が、IT 部門の権限の及ばないアプリケーションやシステムを採用すること。このような未承認のテクノロジーは、適切なセキュリティ監視を欠くことが多く、データ漏洩、設定ミス、コンプライアンス違反のリスクが高まります。
これらの問題は単に不便なだけではない。実際に露呈することになる。誰が何にアクセスできるのか、そしてそのアクセスが適切かどうかを明確に理解しなければ、組織は監査時の遅れに直面し、コンプライアンス要件を満たすのに苦労し、ゼロ・トラスト目標に届かない。過剰にプロビジョニングされたアカウント、有害なアクセスの組み合わせ、インシデント対応の遅れは、侵害、罰則、社会的信頼の喪失につながる可能性がある。
ISPMは、セキュリティ・チームがこれらの増大する課題に対処し、攻撃対象領域を縮小するために必要な可視性とコンテキストを提供します。ISPMは、ID管理をリアクティブなクリーンアップからプロアクティブなリスク削減へとシフトさせ、クラウド、ハイブリッド、オンプレミスの各環境におけるIDリスクを管理下に置く。
SPM は単一のツールやダッシュボードではない。統合された ID セキュリティ・テクノロジの基盤の上に構築された戦略的アプローチである。これらの機能が連携して、継続的に ID 姿勢を評価し、ポリシーを実施し、是正を導く必要がある。ISPM の実装を目指す組織は、以下を確実にする必要がある：
クラウド、ハイブリッド、オンプレミス向けの
ポリシー実施、アクセス認証、役割管理、ライフサイクル管理などの中核機能。
アイデンティティの発見と可視化
クラウド、オンプレミス、ハイブリッド環境にわたるユーザー、エンタイトルメント、アカウントをインベントリ化するツール。
モニタリングと分析
行動を追跡し、異常を検出し、ID 関連のリスクに優先順位を付ける高度な分析。
アクセス管理と強力な認証
コンテキストを考慮したアクセスポリシー、多要素認証、パスワードレスや生体認証ログインなどの最新の認証方法。
特権アクセス監視
特権アカウントや高リスクのアカウントを発見、監視、管理する機能。
SaaSとシャドーITの保護
SaaSアプリの利用状況を可視化し、不正アクセスや管理されていないアクセスを制御する仕組み。
IDツール間の統合
継続的な可視化とポリシーの実施を保証するために、これらの機能を接続する統一アーキテクチャまたはオープンな統合フレームワーク。
実際の方法ISPMがすぐに価値をもたらすシナリオの例：
第三者リスクの管理
ベンダーや請負業者のアクセスを監視・管理し、第三者への暴露を最小限に抑える。
特権アクセスとアカウント管理
リスクの高い特権活動を特定し、自動制御を実施する。
アプリケーションへのアクセスを管理する
継続的な監視により、アプリケーションアクセスが役割とポリシーに沿ったものであることを確認する。
ISPMは、ゼロ・トラストの基本原則を、アイデンティティ、アクセス、認証にわたる継続的な自動制御に変えることによって、ゼロ・トラストを運用する。
継続的な検証
ISPMは、リアルタイムでアイデンティティを検証し、エンタイトルメントと認証イベントを監視して、セッションを通じてユーザーが信頼できる状態にあることを確認する。
最小特権の実施
ISPMは、ユーザーが必要なアクセス権のみを保持することを保証し、ポリシーを超過したりリスクを増大させたりするアクセス権を自動的に調整または削除します。
ダイナミック・アクセス・ポリシー
ISPMは、状況やリスク態勢に基づいて適応的なポリシーを適用し、状況の変化に応じてアクセスを許可または制限する。
ゼロ・トラストとは、たとえネットワーク内部であっても、いかなるユーザーやシステムもデフォルトでは信頼されるべきではないとするセキュリティのフレームワークである。継続的な本人確認、厳格なアクセス制御、最小権限の適用が必要である。ゼロ・トラストが目標であるならば、ISPM a 方法 を実現する。ISPM は、ID 関連の管理を長期的に評価および改善するために必要な可視性、分析、および実施機能を提供することで、ゼロ・トラストを運用する。
RSA は、効果的な ISPM はアイデンティティ・ガバナンスから始まると考えています。 RSAガバナンスとライフサイクル は、アイデンティティを完全に可視化し、ライフサイクル管理を実施し、ポリシー管理を維持し、アイデンティティの状況を把握するために組織が必要とするアイデンティティ・ガバナンスおよび管理（IGA）機能を提供します。
しかし、ガバナンスは単独では機能しない。IDを完全に保護するためには、特にハイブリッド環境やクラウド環境において、ユーザーがどのようにシステムにアクセスし、どのようにユーザーを認証するかを理解する必要がある。そのために RSA ID Plus クラウド、ハイブリッド、オンプレミスの各環境において、最新の認証とアクセス管理を提供し、姿勢管理の決定に直接結びつけます。
RSA Governance & LifecycleとID Plusは、ISPMを大規模に提供する専用フレームワークであるRSA Unified Identity Platform（UIP）の基盤を形成します。
規模に応じたISPMの提供
RSAは市場が定義するのを待っているわけではない。 ISPM.我々はそれを定義している。そして、私たちはすでにそれを実現しています。 共に、 RSAガバナンスとライフサイクル また、 ID Plus は、ISPM を大規模に提供する専用フレームワークである RSA Unified Identity Platform（UIP）の基盤を形成しています。
RSA Governance & LifecycleとID Plusが連携することで、企業はIDをエンドツーエンドで可視化し、管理できるようになります。Governance & Lifecycleは、プロビジョニング、エンタイトルメント、役割の変更、継続的なコンプライアンスなど、IDライフサイクル全体を管理し、アクセスが適切でビジネスポリシーに沿ったものであることを保証します。ID Plusは、強力な認証、コンテキストを考慮したコントロール、最新のパスワードレスオプションにより、セキュアなアクセスをリアルタイムに実行します。
ISPMフレームワークの入手
RSAの報告書 アイデンティティ・セキュリティ態勢管理の定義 は、ID ファースト・セキュリティのための大胆で実行可能なフレームワークを概説している。このレポートでは、アイデンティティ・リスク表面の低減、特権アクセスの制御、シャドー・アクセスの検出など、ISPMの8つの中核的な柱について詳述している。
アイデンティティ・セキュリティ体制管理（ISPM）とは何か？
Identity Security Posture Management（ISPM）は、環境全体のID関連リスクを継続的に評価し、改善する新しいサイバーセキュリティ・アプローチである。可視性、ガバナンス、制御のギャップを特定し、ゼロトラストに近づく組織を支援します。
なぜISPMがゼロ・トラスト・セキュリティにとって重要なのか？
ゼロ・トラストでは、すべてのレイヤーで厳格な本人確認が必要です。ISPM は、ID 関連の管理を長期的に評価および改善するために必要な可視性、分析、および実施機能を提供することで、企業がゼロトラストに向けて前進できるよう支援します。
ISPMはIGAやPAMに取って代わるのか？
ISPMはこれらの解決策に取って代わるものではなく、それらを増幅させるものである。ガバナンスは、誰がアクセス権を持つべきかを定義する。PAMは特権アクセスを管理する。ISPMはこれらすべてを結びつけ、システム間の態勢ギャップを特定し、アイデンティティ環境が安全でコンプライアンスに準拠しているという確信を組織に与える。
ISPMはコンプライアンスと監査準備にどのように役立ちますか？
ISPMは、アカウント、権限、ポリシーを社内基準および規制要件に照らして継続的に監視します。一元化されたレポートとダッシュボードを提供することで、コンプライアンスの実証を容易にし、手作業による監査の労力を削減し、統制が機能していることを証明します。このプロアクティブなアプローチにより、企業はレビュー前に慌てることなく、年間を通じて監査に対応できる状態を維持することができます。.
