サイバーセキュリティに関する主な質問（アイデンティティ・ガバナンスが重要な理由）

サイバーセキュリティにおいて、アイデンティティは非常に重要である。そして、アイデンティティに関しては、2つの重要な質問に対する答えを絶対に、絶対に知っていなければならない：

• ユーザーは本当に自分たちの言う通りの人間なのだろうか？
• システムのユーザーは誰で、何にアクセスできるのか？

セキュリティ企業は何十年もの間、この2つの疑問に対する答えを得るために努力してきた。これらの疑問に大規模に答えることは容易ではないかもしれないが、全員が同じサイト（あるいは少なくとも同じファイアウォールの向こう側）で作業している場合は簡単だった。しかし今日では、ユーザーはほとんどどこからでも仕事ができる。自宅、オフィス、車、喫茶店、空港などで仕事をするかもしれない。クラウド、複数のクラウド、あるいはオフィスやデータセンターにあるアプリケーションやリソースにアクセスする必要があるかもしれない。

複数のネットワークやアクセス・エコシステムにまたがるユーザーを保護、管理、統制しようとすると、複雑になることがあります。しかし、ユーザーが物理的にどこにいて、何にアクセスしようとしているかにかかわらず、答えが必要です。

IDおよびアクセス管理（IAM）の目標は、最初の質問に答えることである。組織はIAMソリューションを使用して、ユーザーを認証し、リソースの使用を許可することによって、システムへのアクセスを許可または拒否する。ほとんどの人は、IAMのパブリック・サイドに精通している。職場のコンピュータにログオンする場合、自分が本当に本人であることを証明するために、何らかの形式の多要素認証（MFA）を使用することがある。

IAMが重要なのは言うまでもない。しかし、ユーザーがネットワークにアクセスした後に何が起こるかを知ることも重要だ。このユーザーは何にアクセスできるのか」という2番目の質問に対する答えを得ることが、セキュリティ・チームがアクセス権を得たユーザーを追跡する方法である。SaaS（Software-as-a-Service）アプリケーション、マルチクラウド・インフラストラクチャ、IoT（Internet of Things）デバイス、様々なサードパーティとの関係が急速に拡大しているため、何がアクセス可能で何がアクセス禁止かを判断するのは難しい。

複雑なネットワーク環境では、ID 管理者が各ユーザがアクセスできるリソースの全体像を把握す ることは困難である。このような可視性の欠如は、ID リスクを特定し、優先順位を付け、社内外のセキュリ ティおよびプライバシー要件へのコンプライアンスを確保することも難しくする。

アイデンティティ・ガバナンス＆アドミニストレーション（IGA）ソリューションは、セキュリティチームとITチームがユーザーのアイデンティティとアクセス権限を可視化できるように設計されています。クラウドとオンプレミスの両方の環境で確認できるため、リスクの高いアクセス状況に対処し、規制コンプライアンスを確保することが可能になります。

IGAプラットフォームは、4つの重要な分野で構成されている：

• アイデンティティ・ガバナンス は、誰が何にアクセスできるかを判断するのに役立ちます。リスクの高いユーザー、ロール、アプリケーションを管理できます。
• アイデンティティのライフサイクル ユーザがどのようにアクセス権を取得し、いつ参加し、ロール内で移動したときにアクセス権がどのように変化し、退社したときにアクセス権がどのように終了するかを判断できるようにするためだ。優れたライフサイクル管理ソリューションでは、リクエスト、承認、プロビジョニング、履行を自動化できるはずです。ライフサイクル・ソリューションはまた、ポリシーを実施し、未承認の変更を検出することもできる。
• データアクセスガバナンス により、非構造化データを可視化できるため、誰がアクセスしたかを特定できます。問題のあるアクセスを迅速に検出し、問題を修正することができます。
• ビジネス・ロール管理 役割とそのポリシーの確立、役割認証の自動化

IDの悪用や漏洩は深刻な脅威である。しかし、誰がどこで何にアクセスできるかを一元的に把握することで、問題やリスクがはるかに深刻な事態に発展する前に発見することが可能になる。 IG&Lソリューションは、組織がサーベンス・オクスリー法（SOX法）、医療保険の相互運用性と説明責任に関する法律（HIPAA法）、一般データ保護規則（GDPR）などのセキュリティおよびプライバシー規制や要件に準拠するのに役立ちます。

IGAソリューションはまた、アクセス認証、アクセス要求、パスワード管理、プロビジョニングなどの労働集約的なプロセスを削減することで、コストを削減することができます。これらはすべて、ITチームの運用コストに大きな影響を与えます。

IGAツールを使用することで、従業員に過剰なアクセス権が付与されないようにすることができます。業務に必要な最小限の権限のみを与えることで、侵害された従業員アカウントは環境内を横方向に移動したり、アクセスを容易に拡大したりすることができなくなります。最小限の特権はゼロ・トラスト・セキュリティ・モデルの信条の1つであるため、過剰な権限を削除することは、ゼロ・トラストへの道を一歩前進させることになる。

取引量の劇的な変化、アイデンティティのソーシャル・ブローカー化、オンデマンド・アクセス、そしてユーザーの種類の拡大に伴い、次のステップは、セキュリティが第3の質問に答えることである：

誰が べきである 何にアクセスできる？

これをガバナンスの文脈に置き換えてみると、次のようになる。 べきである アクセスがあれば、IGAを事後対応型から事前対応型に移行できる可能性があるため、セキュリティ・チームは、フォレンジック活動とは対照的に、予防活動に集中できる。

サイバーセキュリティ業界では、人工知能（AI）と機械学習（ML）の活用が進んでおり、この技術はアイデンティティ・ガバナンスにも応用できる。例えば、現在、IGA はアナリティクスとコンテキスト情報を使用して、さまざまなアクセス・クラスと権限、リソースの使用範囲、重要度またはリスク・レベルを決定している。 リスクの重みと内部基準を使用してアクセスを分類することで、レビュアーは組織に最も大きな影響を与えるアクセスに集中できる。

IGAはこれらの分野でAIやMLから恩恵を受けることができる：

• 以前に取り消されたアクセスに関するコンテキストをレビュアーに提供すること。 言い換えれば、あるユーザーは何かにアクセスできたが、最後のレビューで、そのユーザーはアクセスすべきでないという理由で取り上げられ、その後再びアクセスできるようになったということだ。それはシャドーITの活動だろうか？それは、ユーザーがタスクを達成するために散発的または定期的に必要とするものでしょうか？
• リスク採点。 AIとMLは、読み取り、書き込み、更新、移動、削除、追加など、特定の権限とそれに対して実行できるアクションの計算を支援するために使用できる。AIは、所定の管理範囲を超えてアクセスが許可された場合に、プロアクティブに行動したり通知したりするために使用できる。あるいは、ロールとグループの内容を調査し、役職、機能、ユーザーの現在のリスク／重要度スコア、またはロールの乱立を抑えるための既存のロールへの組み込みに基づいて、特定の人々へのアクセスをプロアクティブに提案することもできる。
• アプリケーションのオンボーディング。 AIとMLは、アプリケーションの起動やサービスイン前に、コントロールに組み込まれなければならない特定の属性、表記、所有者情報についての情報を提供するために使用することができる。ユーザー、データリスク、使用制限、規制に関連するサービスの理解は、適切なポリシー、ルール、制御目標を自動的に適用するために使用できる。
• オンデマンド・プロビジョニング。 AIとMLは、エンタイトルメントの利用傾向、サービスコントロールのポートフォリオ、利用可能なサービスやエンタイトルメントのカタログ、ユーザーの行動、ユーザーの機能・タイトル・以前のエンタイトルメントの利用履歴をフォローし、そのユーザーがより効率的になるために必要なアクセスをプロビジョニングするために使用される。ユーザが次に何を必要とするかを学習するにつれて、不適切な資格を削除し、情報の組み合わせによりリクエストと変更セットプロセスをバイパスすることができます。
• リスク回避。 AIとMLは、セキュリティ情報とイベント管理（SIEM）システムやセッション・マネージャーによって記録されたアクティビティから学習することができる。そして、アクティビティに基づいて、他の変数と比較することで、ユーザー・セッションを停止したり、ユーザーのアクセス・ポイント（アカウント）を一時停止することもできる。

これらすべての分野でAIとMLを活用すれば、最終的に自律的な継続的コンプライアンス・モデルを実現できるか、少なくともそれに近づくことができる。

RSAには、IAMとIGAの両方に対する数十年の経験と成熟したソリューションがあります。認証機能、統合機能、オフライン認証オプションの幅広いポートフォリオにより、必要なときに必要な場所で必要なセキュリティを提供します。RSAのIAMソリューションは、行動分析、ビジネス・コンテキスト、脅威インテリジェンスを活用して、ユーザーの包括的な全体像を把握し、アクセスに関連するリアルタイムのリスク・スコアリングを作成します。

RSA Identity Governance & Lifecycleは、組織に対して継続的なアクセス保証を提供し、ユーザーがシステム、データ、アプリケーションに適切なレベルでアクセスできるようにします。クラウドとオンプレミスの混在環境におけるアイデンティティの島全体に可視性を提供します。この自動化されたアイデンティティ ガバナンスおよびコンプライアンス プラットフォームは、簡素化されたアクセス ガバナンスと合理化されたユーザー ライフサイクル管理を提供し、ビジネス フレンドリーなユーザー インタフェースを備えています。他のソリューションとは異なり、RSAプラットフォームは、コンプライアンス違反や不適切なアクセスを検出し、組織内のアイデンティティ・リスクを定量化するために、アクセスの最低レベルで可視性を提供します。また、洗練されたリスク分析により、アクセス是正の優先順位を決定し、アイデンティティ・リスクを低減するためのアクションを実行します。

RSAは、アイデンティティ ガバナンスと高度なアナリティクスを組み合わせることで、セキュリティ チームがさまざまなアクセス問題がもたらす相対的なリスクを理解し、優先順位を付けて対処できるようにします。

RSA IDソリューションの詳細については、以下をご覧ください。 RSA.com/products