RSAエージェントID

AIはスピードと実行力を重視して設計されています。それがAIの持つ可能性であると同時に、最大のリスクでもあります。なぜなら、スピードと実行力が重視される状況では、安全性が二の次になってしまうからです。制約がなければ、エージェントは送金を行うことができます。監督がなければ、エージェントは国家安全保障システムにアクセスすることができます。管理がなければ、エージェントは患者の医療記録にアクセスすることができます。.

組織によっては、セキュリティとスピードのトレードオフを許容できる場合もある。しかし、金融システムを支える機関、政府、そして重要インフラは、それを許容することはできない。.

RSAエージェントID これは、規制の厳しい組織向けのエージェント型アイデンティティ・セキュリティ・プラットフォームです。このソリューションは、パブリッククラウド、プライベートクラウド、オンプレミス、エアギャップ環境にわたるエージェントを検出、保護、管理し、自社の境界内に展開するAI/MCPゲートウェイでポリシーを適用します。 認証済みで責任の所在が明確な人間の承認なしには実行できないアクションを、お客様ご自身で定義できます。また、RSA Agent IDは、エージェントによるすべてのアクション、セッション、および呼び出しについて、監視と規制対応のための証拠を保持します。.

RSAがサービスを提供する高信頼性組織にとって、AIのセキュリティ対策を怠ることは単なる不便な問題にとどまりません。それは壊滅的な事態を招くものです。エージェントがもたらすリスクは、あまりにも重大すぎるからです。.

「エージェント時代」が到来しました。組織は、生産性を維持し、同業他社に遅れをとらず、需要に応えるためにエージェントを導入しています。しかし、多くの組織が次の3つの重要な問いに答えられていません：

1. あなたの環境では、どのようなエージェントが稼働していますか？
2. それぞれの責任は誰が負うのでしょうか？
3. 誰か彼らを止められる人はいるだろうか？

こうした失敗は、新たなリスク、より大きな金銭的損失、そして重大な事業中断を引き起こしています。エージェントを適切に管理できない組織は、すでに重大な財務的および業務上のリスクに直面しています。 「シャドウAI」——従業員が監督なしに使用する未承認のAIツール——に関連するセキュリティ侵害は、2025年から2026年にかけて2倍以上に増加し、20%から43%へと上昇した。シャドウAIの発見は今後ますます困難になるだろう。ガートナーの調査によると、 69% 多くの組織が、従業員が禁止されているAIを使用しているのではないかと疑っているか、あるいはその証拠を把握している。. 全米サイバーセキュリティ同盟 調査によると、43%人の従業員が「雇用主の知らぬ間に、機密性の高い業務情報をAIツールと共有したことを認めた」とのことだ。組織がAIエージェントをより多く導入するにつれ、この問題は拡大していくだろう。. ガートナー 2028年までに、一般的なグローバル500企業では15万個のエージェントが稼働するようになると予測されており、これは2025年の15個未満から大幅に増加する見込みです。シャドーAIは組織に多大なコストを強いる可能性があります。シャドーAIに関連するインシデントによるコストは $539万, 、つまり平均的なデータ侵害（$4.99百万）よりも$400,000多い。 シャドーAIに関連するインシデントのほぼ半数（49%）ではデータの紛失や漏洩が発生し、42%では業務の混乱が生じた。シャドーAIに関連するインシデントのうち21%において、組織は規制当局からの罰金を支払った。.

こうした罰金は、今後ますます懸念材料となる可能性がある。米国の連邦機関は、2024年だけで59件のAI規制を公布しており、これは前年の2倍以上に相当する。さらに 1,900 現在、世界中でAIに関する政策の枠組み、規制、基準、およびガバナンス機関が活発に活動しています。現在の傾向が続けば、多くの組織はこうした世界的な要件を満たせなくなるでしょう。ただ、 6% 政府機関のうち、自機関のAIシステムに自信があると回答した。. IDC 2030年までに、G1000に属する組織のうち最大20%が、AIエージェントのガバナンスの不備に起因する注目度の高い業務中断を理由に、訴訟や罰金、CIOの解任に直面すると予測されている。. ガートナー 調査の結果、適切なAIエージェントのガバナンスが整備されていると考えている組織は、わずか13%にとどまることが判明した。.

エージェントは、業務に重大な支障をきたす可能性もあります。ある企業のAIコーディングツールは、 Replit 報道によると、稼働中の本番用データベースを破壊した後、その行為を隠蔽するために記録を改ざんしたとのことだ。ある攻撃者が、データを消去するコードを AmazonのAI アシスタントに対し、AWSリソースを削除するよう指示した。別のAmazonのインシデントでは、エンジニアレベルの認証情報を付与された社内担当者が、 約13時間の停電 本番環境を削除して再構築した際、.

エージェントは「やってくる」のではなく、すでに「ここにある」のです。エージェントを特定・保護・管理できない組織は、多額の損害をもたらすデータ漏洩、コンプライアンス違反による罰金、業務の混乱といったリスクにさらされることになります。.

RSA Agent IDは、政府機関、金融サービス、および高信頼性が求められる組織向けに、エージェント型AIのセキュリティを確保します。3つの独立したモジュール、あるいは相互に連携した1つのシステムとして利用可能なRSA Agent IDは、IDライフサイクル全体を通じてAIエージェントのセキュリティを確保します：

• RSAエージェントIDの検出 既知および未知のエージェントやMCPサーバーを検出して登録し、それらに、名前付きの所有者、リスクレベル、ライフサイクル状態といった「第一級の識別情報」を付与します。これらはすべて、お客様のIDプロバイダーと関連付けられています。.
• RSA エージェント ID セキュア 事業を展開するあらゆる場所で、エージェントの動作を制御します。Secureは、AI/MCPゲートウェイ、RSAがホストする環境、またはお客様の環境のいずれにおいても、各呼び出しごとにポリシーを適用します。高リスクなアクションについては、指定された人間のオペレーターが承認を行い、エージェントが運用停止となった際には、Secureがアクセス権を取り消します。.
• RSAエージェントIDの管理 エージェントの認定と審査を、人材管理と同様の方法で行います。具体的には、継続的な認定、リスクベースのアクセス権限の見直し、およびエージェントのライフサイクル管理の自動化を実施します。.

高信頼性組織のためのアイデンティティ基準

RSAは、損失が最も大きくなりうる組織のために構築されています。40年以上にわたり、当社の顧客は、電力網、決済、医療機器、防衛など、世界を動かすシステムを運用してきました。.

こうした組織は失敗を許されません。そのエージェントも同様です。RSA Agent IDは、こうした現実を踏まえて設計されています。このソリューションは、当社のアイデンティティおよびアクセス管理、ならびにアイデンティティガバナンスおよび管理機能と同じ厳格な基準と規範を、今日のリスクに対しても適用します。.

RSA Agent IDは、AIの失敗が許されない、高い信頼性が求められる組織向けに特別に設計されています：

• 主権的統制: プライベートクラウド、オンプレミス、またはエアギャップ環境に展開したRSA Agent ID AI/MCPゲートウェイにおいて、ポリシーの適用、承認のゲート制御、および証拠の生成が行われます。今後のリリースでは、ローカル管理、ポリシー、人的承認、鍵、および証拠を備えた、完全な主権を持つコントロールプレーンの導入が計画されています。.
• 高リスクな動作に対する高信頼性制御: RSA Agent ID AI/MCP ゲートウェイを経由するすべてのエージェントツール呼び出しについて、実行前に確認を行います。このソリューションにより、電信送金や機密情報へのアクセスといった高リスクな操作が、認証済みで責任の所在が明確な人間のオペレーターによって確認されることが保証されます。.
• 規制に関するエビデンスを10の業界フレームワークに照合する: すべてのエージェントを人間の担当者に割り当て、10の主要なコンプライアンス・フレームワークに連鎖する継続的な証拠を紐付ける。.
• 幅広い統合機能のサポート: 「RSA Agent IDは現在、RSA ID Plus、Microsoft Entra ID、Okta、AWS IAM、CrowdStrike、Microsoft Defenderなどと連携しており、今後さらに他のエージェントプラットフォームとの連携も予定されています。」’

RSAエージェントIDのメリット

• 実行場所を問わず、すべてのエージェントを確認できます。.
• 指定した高リスクなアクションをリアルタイムで停止し、実行前に認証済みの人による承認を必須とします。.
• 複数の発見シグナルを、責任の所在が明確な担当者が管理する、検索可能な単一の登録簿に統合する。.
• 所有者に帰属する、すべてのエージェント、アクセス決定、およびゲートウェイを介したアクションについて、改ざん防止機能を備えた監査証跡を生成する。.
• スタンドアロンとして、あるいは1つの連携スイートとして展開できます。Discoverはコネクタ側に展開され、既存のエージェントインフラストラクチャに変更を加える必要はありません。.
• 各エージェントのライフサイクル全体を通じて、最小権限のアクセス原則を徹底し、高リスクなアクションの承認には、認証済みの担当者の承認を必須とします。.

RSAエージェントIDの活用事例

RSA Agent IDは、3つの独立したモジュール、あるいは相互に連携した1つのシステムとして利用可能であり、IDライフサイクル全体にわたってAIエージェントのセキュリティを確保します：

• AIリスクがガバナンス上の問題となる前に、企業全体にわたる可視性を確保しましょう。.
• シャドウAIを排除し、規制に関するエビデンスを10の業界フレームワークに照合する。.
• エージェントおよび非人間アイデンティティに対する継続的な権限の適用。.
• 完全かつ責任の所在が明確な監査証跡に基づき、高リスクなエージェントの行動に対して、通話ごと、パラメータごとのポリシーを規定する。.

RSAエージェントIDの金融分野における活用事例

• 主要なAIコンプライアンスフレームワークへの対応：NIST AI RMF 1.0、ISO/IEC 42001、財務省FS AI RMF、NYDFS Part 500、およびDORAに対応した、設定可能なコントロールタグ付けおよびエビデンスマッピング機能。.
• 多国籍機関が、エージェント、エージェントがアクセスするデータ、およびエージェントが行うアクションを国ごとに区分できるようにする、データ主権に関する管理措置を提供する。.
• 電信送金、支払い、および口座へのアクセスについて、人間による承認プロセスを実現します。.

RSAエージェントIDの政府機関における活用事例

• OMB覚書M-25-21およびM-25-22、ならびに年次AI活用事例目録の提出要件（2027年予定）など、主要な政府のAIコンプライアンス枠組みへの対応。.
• パブリッククラウド、プライベートクラウド、オンプレミスの政府ネットワーク全体にわたるすべてのエージェントを、エアギャップ化が予定されているネットワークも含めて検出します。.
• 機密情報または個人識別情報（PII）に関わるあらゆる措置について、人間による承認を行う。.

目に見えないものは守れません。たった1人の不正なエージェントがいるだけで、金融サービス業界、政府機関、および高度なセキュリティが求められる組織は、制御を失ってしまうのです。.

RSA Agent ID Discover は、環境内で稼働しているエージェントおよび MCP サーバー（正規のものもシャドウのものも）を継続的に検出し、それらを登録して、担当者を割り当てます。.

メリットをご覧ください：

• 影の中で活動するエージェントなどいないs. 複数の検出シグナルを相関させることで、公認AIおよび非公認AIを特定する。.
• 人間の所有。人間の説明責任. すべてのエージェントを、責任を持つ担当者と管理されたライフサイクルに紐づける。.
• 重要な洞察. 継続的な分析により、エージェントの進展状況を詳細に把握し、リスクを浮き彫りにします。.

リスクの高い行動には、確実性の高い人的承認が必要である。.

AI/MCPゲートウェイ、RSAがホストする環境、またはお客様の環境のいずれにおいても、各コールごとにポリシーを適用します。RSA Agent ID Secure を使用して、高リスクなアクションに対しては、信頼性の高いアウトオブバンド承認を必須とします。.

確実な給付 

• エージェントのあらゆるアクションを制御する. RSA Agent ID AI/MCPゲートウェイを経由するすべてのアクションおよび呼び出しについて、リアルタイムで認証、承認、および審査を行います。.
• 通話ごとの利用権限の適用. 各呼び出しをポリシーに基づいて承認し、処理が完了した瞬間にエージェントのセッションを無効化する。.
• きめ細やかで安全な人的制御. 人間はリスクの高い行動を承認し、誰が、いつ、なぜ、どのような行動をとったかを明らかにする。.

金融サービス業界、政府機関、および規制対象業界は、監査人に対して証拠を提示するため、自社の環境内にあるすべてのエージェントを把握しておく必要があります。.

RSA Agent ID Govern を活用して、権限を最小限に抑え、アクセス権を認証し、エージェントの証拠データを 10 の業界フレームワークにマッピングします。.

Governのメリット

• エージェントが存在する間、1秒ごとにガバナンスが行われる. エージェントの作成から削除に至るまでのライフサイクルを管理します。.
• 年次評価ではなく、継続的な認定. すべてのエージェントのアクセス権を継続的に再認証し、権限が本来あるべき期間を超えて存続することがないようにする。.
• リスクベースのアクセス審査. 監査人、あるいは攻撃者に先んじて、アクセスに関するリスクを発見し、解決しましょう。.

すべてのエージェントを把握し、すべてのアクションを管理する。. お問い合わせ RSAエージェントIDの詳細については、こちらをご覧ください。.