アイデンティティ・セキュリティ体制管理（ISPM）の定義

アイデンティティ・セキュリティ・ポスチャー・マネジメント（ISPM）は、組織がますます複雑化する環境においてリスクを管理し、ポリシーを徹底し、コンプライアンスを強化することを可能にする、新たな戦略的サイバーセキュリティ分野として台頭しています。ISPMは、ハイブリッド環境全体にわたるアイデンティティ関連のリスクについて、可視性、コンテキスト、および継続的な監視を提供します。.

他社がISPMの定義をようやく始めようとしている一方で、RSAはすでにそれを実践しています。. RSAガバナンスとライフサイクル 組織がIDリスクを管理するために必要なIGA機能を提供しています。最近、このソリューションには新たな機能が追加されました。 高度なダッシュボード ISPMの原則に基づいて構築されており、組織がアイデンティティ関連のリスクの露出範囲を縮小し、コンプライアンスおよび監査対応体制を強化し、クラウド利用権限に関するリスクを軽減するなど、さまざまな支援を行います。.

本レポートでは、ISPMの中核となる原則を定義し、その実現に必要な基盤となる能力の概要を示するとともに、組織が長期的なゼロトラストの成熟度向上を支えるISPM戦略を採用する準備が整っているかどうかを評価する一助となるものです。.

IDのセキュリティ対策を怠ると、組織は多岐にわたる脅威にさらされることになります。アクセス設定の不備、過剰に割り当てられたアカウント、脆弱な認証、シャドーITなどは、攻撃者が悪用するID関連のリスクのほんの一例にすぎません。 効果的なIDセキュリティがなければ、組織はデータ漏洩、内部関係者による不正利用、規制違反、監査の停滞、ランサムウェア攻撃、さらには評判の失墜といった重大なリスクに直面することになります。アクセスの悪用や検知されない横方向の移動は、しばしば数ヶ月間も気づかれずに続き、重要なシステムや機密データを危険にさらすことになります。 今日の脅威環境において、IDを標的とした攻撃は増加しているだけでなく、企業における情報漏洩の主な原因となっています： 80% これらの侵害のうち、盗まれた認証情報の使用が関与していたものがあった。.

ISPMは、こうした高まりつつあるリスクに対抗するために策定されました。ISPM戦略を効果的に実施することで、組織はリアルタイムの可視性と実用的な知見を得ることができ、ID関連のリスクを大規模に低減できます。その結果、セキュリティ体制の強化、レジリエンスの向上、そしてコンプライアンス要件の遵守に対する確信が高まります。.

アイデンティティの状況は、従来の管理手法では効果的に管理できないほど広大で、断片的で、複雑になっている。組織がより多くのクラウドサービスを採用し、サードパーティユーザを取り込み、ビジネスプロセスを自動化するにつれて、アイデンティティの数は増加し、リスクも増大している。ISPM は、このような増加から生じる運用とセキュリティの盲点に対処する。以下がその例です：

• アイデンティティのスプロール それは、人、デバイス、サービス、およびマシンのアカウントが急速に増加していることです。IDの数が増えると、重複したアカウント、放置されたアカウント、シャドウアカウントが生じ、攻撃者がこれらを悪用する可能性があります。半数以上（57%）の組織が、IDの乱立への対応を重要な課題と位置付けており、これは現在のセキュリティ環境におけるその重要性を浮き彫りにしている。.
• 誤った設定と一貫性のないポリシー アクセス制御の実施を困難にし、権限の悪用リスクを高めます。ハイブリッド環境の普及（報告によると 70% （組織の数）により、異なるシステムにわたるIDポリシーの適用はさらに複雑化しています。.
• 管理されていないエンタイトルメント ユーザーが、もはや自身の職務内容に見合わなくなったアクセス権を保持し続けてしまう可能性があります。アクセス権が定期的に見直されなかったり、最小権限の原則に基づいていない場合、管理されていないアクセス権限により、過剰な権限や有害な権限の組み合わせが見過ごされてしまう可能性が高まります。こうした不備は、セキュリティインシデントの直接的な要因となり得ます。.
• 特権アカウントや高リスクアカウントの可視性が制限される 悪意のある活動や内部者による脅威の検知を遅らせています。20%を超える組織が、ID関連の情報漏洩による損失は $1,000万. 。合計で44%が、これらの情報漏洩は一般的なデータ漏洩よりもコストがかかると回答した。.
• シャドウIT これは、事業部門や従業員が、IT部門の管理範囲外で許可されていないアプリケーションやシステムを導入した場合に発生します。こうした未承認の技術には、適切なセキュリティ管理が行われていないことが多く、データの漏洩、設定ミス、コンプライアンス違反のリスクを高めます。.

これらの問題は単に不便なだけではない。実際に露呈することになる。誰が何にアクセスできるのか、そしてそのアクセスが適切かどうかを明確に理解しなければ、組織は監査時の遅れに直面し、コンプライアンス要件を満たすのに苦労し、ゼロ・トラスト目標に届かない。過剰にプロビジョニングされたアカウント、有害なアクセスの組み合わせ、インシデント対応の遅れは、侵害、罰則、社会的信頼の喪失につながる可能性がある。

ISPMは、セキュリティ・チームがこれらの増大する課題に対処し、攻撃対象領域を縮小するために必要な可視性とコンテキストを提供します。ISPMは、ID管理をリアクティブなクリーンアップからプロアクティブなリスク削減へとシフトさせ、クラウド、ハイブリッド、オンプレミスの各環境におけるIDリスクを管理下に置く。

ISPMは、事後対応ではなく、先手を打つことを目的として設計されています。これにより、組織は小さなリスクが重大なセキュリティインシデントに発展する前に、それを特定し、対処することができます。コンプライアンス違反、情報漏洩、あるいは監査不適合によってID管理の脆弱性が露呈するのを待つのではなく、ISPMは継続的なセキュリティ態勢管理を実現し、時間の経過とともにリスクを低減させます。この先見的な戦略こそが、ISPMを従来のIDセキュリティアプローチと一線を画すものです。 以下の柱は、成熟したISPMアプローチから組織が期待すべき中核的な成果を表しており、それぞれについて、RSA Governance & Lifecycleのアドバンスト・ダッシュボードのスクリーンショットを用いて、これらの成果が実際にどのように達成されるかを示しています：

1. アイデンティティ・リスクの攻撃対象領域の縮小

ISPMは、IDの乱立や権限が過剰に付与されたユーザーによって引き起こされる、拡大し続けるID関連のリスク要因を低減します。すべてのシステムにわたるユーザーアクセス状況を継続的に可視化することで、ISPMは認証情報の漏洩、横方向の移動、および過剰な権限の行使を抑制するのに役立ちます。.

2. コンプライアンス体制の強化および監査対応体制の整備

ISPMは、アクセス審査を自動化し、ポリシー違反を検知するとともに、GDPR、DORA、HIPAA、PCI-DSSなど、さまざまな規制への準拠状況をリアルタイムで証明します。これにより、監査サイクルのコストと労力を削減できます。.

3. クラウド利用権限に関するリスクの軽減

組織がクラウドへ移行する中、ISPMは、動的なマルチクラウド環境におけるアクセス権限の管理に伴う複雑さに対処します。これにより、過剰なプロビジョニングを防ぎ、クラウドリソースへの最小権限アクセスを確保します。.

4. 身元情報に基づく脅威の検知

ISPMは、アイデンティティ分析と行動監視を活用することで、権限の昇格や認証情報の不正使用といった異常な行動の検知を支援します。.

5. 特権アクセスの管理

ISPMは、特権アカウントの使用状況を可視化し、リスクの高いアカウントを特定してポリシーの適用を自動化することで、最小権限の原則の徹底を支援します。.

6. 識別情報の設定ミスの修正

ISPMは、多要素認証（MFA）の適用が不十分であるケースからアクセス権限の過剰付与に至るまで、設定ミスを特定し、セキュリティ上の脆弱性を解消するための是正措置を案内します。.

7. シャドウアクセスの排除

ISPMは、正式なID管理システムの枠外で動作する、不正なユーザー、未知のユーザー、アカウント、またはアプリケーションを検知し、制御します。.

8. 業務効率の向上

ISPMは、日常的なアイデンティティ・リスクの検知とポリシーの適用を自動化することで、セキュリティチームが戦略的な取り組みに注力できるようにします。.

ISPMは、単一のツールやダッシュボードではありません。これは、統合されたIDセキュリティ技術を基盤として構築された戦略的アプローチです。これらの機能は連携して、IDのセキュリティ状態を継続的に評価し、ポリシーを適用し、是正措置を導く必要があります。ISPMの導入を検討している組織は、以下の要件を満たしていることを確認する必要があります：

• IDガバナンスおよび管理：ポリシーの適用、アクセス認証、ロール管理、ライフサイクル管理などの中核的な機能。.
• アイデンティティの発見と可視化：クラウド、オンプレミス、ハイブリッド環境にわたるユーザー、権限、アカウントを把握するためのツール。.
• モニタリングと分析： 行動を追跡し、異常を検出し、ID 関連のリスクに優先順位を付ける高度な分析。
• アクセス管理と強固な認証：コンテキストに応じたアクセスポリシー、MFA、およびパスワードレスログインや生体認証ログインなどの最新の認証方法。.
• 特権アクセスの監視：特権アカウントおよび高リスクアカウントを検出、監視、管理する機能。.
• SaaSおよびシャドーITの保護：SaaSアプリの利用状況を可視化し、不正または管理対象外のアクセスを制御する仕組み。.
• ID管理ツール間の連携： これらの機能を連携させ、継続的な可視性とポリシーの適用を確保するための、統合アーキテクチャまたはオープンな統合フレームワーク。.

効果的なISPMプログラムを実現するには、組織は個々の機能のチェックリストだけでは不十分です。むしろ、個別のサイバーセキュリティコンポーネントを統合し、一貫性のあるソリューションとしてまとめるプラットフォームが必要です。統合アイデンティティプラットフォーム（UIP）は、ガバナンス、アクセス、認証を単一のアーキテクチャの下に統合することで、アイデンティティエコシステム全体において、可視性の向上、制御の強化、そしてより的確な意思決定を可能にします。.

RSAは、ガバナンス、アクセス、認証を完全に統合したUIP（ユニファイド・アイデンティティ・プラットフォーム）を提供する数少ない企業の1つです。RSA Governance & Lifecycleは、ガバナンスと可視性を実現します。. RSA ID Plus アクセス制御と認証機能を提供します。RSAの分析エンジンは、プラットフォーム全体にわたる知見を結びつけます。これらのコアコンポーネントを、真に統合されたアーキテクチャの一部として提供しているベンダーは、他にはほとんど、あるいは全く存在しません。.

ゼロトラストとISPMの理解

ゼロトラストとは、ネットワーク内部であっても、デフォルトではいかなるユーザーやシステムも信頼すべきではないという前提に基づくセキュリティフレームワークです。これには、継続的な本人確認、厳格なアクセス制御、および最小権限の徹底が求められます。ゼロトラストの実現を目指すのであれば、ISPMはそのための手段となります。 ISPMは、アイデンティティ関連の制御を継続的に評価・改善するために必要な可視性、分析、および適用機能を提供することで、ゼロトラストを運用化します。.

今後の道筋 

ISPMは、アイデンティティセキュリティの未来です。脅威が進化し続け、規制の圧力が高まる中、組織にはアイデンティティリスクを管理するための新たなアプローチが求められています。本レポートは、ISPMとその主要な柱、およびその導入に必要な要件を理解するための基礎情報を提供します。 RSA Unified Identity Platformを活用することで、組織はアイデンティティ環境のセキュリティ確保において主導的な役割を果たし、持続可能でゼロトラストに準拠した未来を築くことができます。.