企業のID・アクセス管理を再考するセミナー：未来のセキュリティ対策とは

近年、企業のDX（デジタルトランスフォーメーション）が進む中、ID・アクセス管理の手法が大きく変わろうとしています。2026年7月1日、水曜日に行われたオンラインセミナーでは、マクニカとアルサーガパートナーズの2社が、企業に迫る新たなセキュリティの課題とその解決策を紹介しました。

このセミナーのテーマは「PAMだけで管理する時代はもう終わり？PAM×IGAで実現する特権管理の最適化」であり、現在のIT環境では特権アカウントが急増していることを背景に、旧来の手法がどのように限界を迎えているかが議論されました。特に、SaaSの多様化やAIエージェントの普及、インフラの多重化により、特権アカウントの管理が複雑化しています。

登壇者として、マクニカの山田氏とアルサーガパートナーズの石黒氏が参加し、それぞれの専門的な知見から現状の課題について説明しました。セミナーの冒頭、石黒氏は特権管理が想定していた前提が崩れたと指摘し、企業が直面する主な課題を4点挙げました。

1. 申請の洪水による承認の形骸化
膨大な申請が生じる中、担当者が内容を確認せずに承認をクリックすることが多く、それがセキュリティの脆弱性になります。

2. ラテラルムーブメントの拡大
フィッシング等で奪取された一般アカウントを経由し、最終的に管理者権限が奪われるリスクが高まっています。

3. AIによる善意の暴走
業務効率化のためのAIエージェントが想定外の操作を行う可能性があり、新しい監視の切り口が求められています。

4. 持続不可能なコストと運用負荷
全てのアカウントに対して厳格な管理を施そうとすると、ライセンス費用やインフラ負荷が増大し、現場の利便性も損なわれます。

これらの課題を克服するためには、企業が自社のリスクレベルに応じて特権管理の手法を戦略的に選択する必要があります。セミナー内では、特権管理の新たなアプローチをビルの入退館に例え、3つの選択肢が提示されました。

- PAM（特権アクセス管理）：ビルの入館時に厳格にチェックを行い、入館後も行動を監視する最も厳格な管理手法。
- JITA（Just-In-Time Access）：必要な時に一時的なアクセスを許可する手法で、入館後は監視を行わない。
- 期限付き権限付与：必要な時だけ強い権限を付与し、時間が経過すれば自動で剥奪されるライフサイクル管理。

これらの手法は、アカウント管理の対象や特性によって選ばれるもので、特定の状況にはどれが最適かを理解することが重要です。

次に、マクニカの山田氏は、特権管理の管理を効率化するためのデモンストレーションを行いました。その中で紹介されたのが、「Saviynt」という次世代の統合ID・アクセス管理プラットフォームです。このテクノロジーは、AIによるリスク判断を行い、特権作業を安全かつ効率的に実施する機能を有しています。

- AIを活用したガバナンス：リスクスコアリングを用いて、高リスクな項目に集中できるようにします。
- 自動検出機能：HRデータベースに存在しない「野良アカウント」を自動で検出し、監査精度を向上させます。

また、特権アカウントの管理においては、システムやアカウントの特性に応じた3つの接続シナリオが示されました。
1. AWSへのパスワードレス接続
2. Active DirectoryへのJITA
3. 動的なDomain Adminsの付与

これにより、管理者は高いセキュリティを保持しつつ、運用負担を実質的に軽減できるのです。最後に、石黒氏は企業が今後取るべきリスクベース統制の4ステップを提示し、段階的に改善していくアプローチの重要性を強調しました。

企業はまず、社内システムの可視化を行い、次に特権管理に関する方針を検討します。そして、必要なシステムを導入し、特権管理の運用を開始することで持続可能なセキュリティ体制を構築していけるのです。セミナーを通じて得られた知見は、特権管理に困難を感じる企業にとって、非常に有益といえるでしょう。