企業を取り巻くIT環境や働き方などの変化を背景として、以前よりも強固なセキュリティが求められています。対策の1つとして注目されているのがIGAです。このソリューションは、セキュリティ向上とコンプライアンスの双方に対して重要な役割を持ちます。
本記事では、デジタルワークプレイスにおけるIGAの重要性及び導入メリットを解説します。
IT用語のIGA（Identity Governance and Administration）とは?
IGAとは、Identity Governance and Administrationの略であり、ID管理とIDガバナンスをセットにした概念、もしくはソリューションです。
ID管理とは、従業員（ユーザー）が社内システムなどへログインする時に用いるID／パスワードといったアカウント情報を、企業側で集中管理することです。一人の従業員が多数の社内システムにアカウントを保有することが一般化している現代において、ID管理は欠かすことが出来ないものであり、既に多くの企業が導入しています。
IDガバナンスとは、従業員が社内システムを利用するのに必要なアクセス権限を、アカウントごとに過不足なく付与するなどの制御を行うことです。また、そうした制御を行うための、アカウント情報やアクセス権限などの可視化も含まれます。IDガバナンスの必要性は広く認識されつつありますが、取り組みが追いついていない企業も多いのが実情です。
IGAの目的は、単にIDを管理するのみならず、アクセス権限の最適化によって不正アクセスなどへの対策を強化し、情報漏洩やサイバー攻撃などのリスクを低減させることにあります。
IGAとIAMの違い
IGAと似たソリューションに、Identity and Access Management（以下：IAM）があります。IAMは「ID及びアクセス管理」と訳され、意味的にはIGAと大差ありません。ただ、IAMのほうが広い概念であり、IGAはIAMのサブカテゴリとして位置づけられます。
IAMにはID管理に加え、認証の強化とアクセス制御が含まれます。従業員が社内システムを利用する際に行うユーザー認証に多要素認証を採用してセキュリティを強化したり、シングルサインオンによって利便性を向上したりします。また、あらかじめ個々のアカウントに付与されているアクセス権限に従って、利用者が参照出来る情報や実行出来る操作を制限します。
一方IGAはIDガバナンスに特に注力したソリューションであり、アクセス権限の柔軟な付与と厳格な管理さらには可視化を強力に実現します。概念としてはIAMにもアクセス権限の管理は含まれていますが、旧来のIAMソリューションでは近年のIDガバナンス要件に対応するには力不足な場面が多くあるというのが実情です。
IGAとIAMは機能的に重複する部分も多くありますが、それぞれ得意な分野は異なるため、うまく組み合わせて使うことが重要です。
セキュリティでIGAが求められる理由
IGAが求められるようになった理由には、企業を取り巻くIT環境の複雑化が深く関係しています。
かつてはID管理体制が十分に整備されておらず、従業員の入社時に付与されたIDやアクセス権限は、異動や退職が発生しても適切に処理されないケースが多くありました。このため社内システムに、退職した従業員のアカウントが残ったままになっていたり、異動前のアクセス権限がそのまま使えてしまったり、といったセキュリティの問題が頻発していました。企業はこれらの問題の発生を防止するためIAMによるID管理とアクセス管理を進めてきました。
昨今、企業における様々なデジタルツールやクラウドサービスなどの導入によって、一人の従業員が保有するアカウントは急速に増加しています。さらにシステムやアプリケーションごとにアクセス権限の種類や考え方は異なっているため、それぞれに適したアクセス権限付与のルールが必要となり、アカウントやアクセス権限を企業が一括管理することのさらなる困難化を招いています。
これらに加えて、サテライトオフィスやリモートワークなどで働き方が多様化し、IT環境はさらに複雑化しています。この状況でID管理を怠り、アクセス権限を必要以上に付与してしまうと、それ自体がセキュリティの脆弱性となり、機密情報の漏洩を引き起こす要因となりかねません。
こうした問題への対処としてIGAを導入し、IDを適切に管理した上で権限を付与することで、従業員によるシステムやデータへの不適切なアクセスを防止します。これにより、セキュリティリスクを最小限に抑えることが可能です。
さらに、IGAの導入はコンプライアンスとも関連します。企業はGDPR（個人情報保護規則）やJ-SOX法（内部統制報告制度）、HIPAA（医療保険の相互運用性と説明責任に関する法律）といった法令によって、個人情報等の管理・保護を義務づけられています。IGAはこうした個人情報等へのアクセス権限も管理し、コンプライアンスの向上につなげることが可能です。
IGAができること
IGAの導入により、企業はセキュリティの強化を実現できます。ここでは、できることの具体例を3つご紹介します。
パスワード管理
従業員のパスワードがシステムやアプリケーションごとに別々に管理されていると、パスワードを覚えきれなくなり、平易なパスワードの利用や付箋にパスワードをメモするといった好ましくない事態が発生しがちです。IGAは多数のシステムのパスワードを集中管理できます。IGAにてパスワードを変更するとそれが全てのシステムに反映されるため、従業員は十分に複雑な一つのパスワードを使って全てのシステムにログイン出来るようになります。またIGAでパスワードを変更する時点でパスワードポリシーが適用されるため、一部のシステムで平易なパスワードが使われると言った事態を抑制できます。
アクセス権限の管理
IGAは、従業員へのアクセス権限の付与を細かく制御できます。組織や属性に基づいて自動的に付与することも、申請と承認のワークフローによって付与することもできます。アクセス権限付与のルールを適切に設定することで、従業員の異動や退職に伴うアクセス権限の変更や剥奪も自動的に実行されます。また、誰が・どのシステムで・どんなアクセス権限を付与されているかを可視化し、それらを分析し、レポートを出力することもできます。
プロビジョニング
オンプレミス・クラウドベースのどちらに対しても、IGAはユーザーもしくはアプリケーションレベルにおいて、ユーザーアカウントとアクセス権限のプロビジョニング及びプロビジョニング解除が可能です。必要なタイミングでプロビジョニングができることで、管理者の作業の合理化につながります。
デジタルワークプレイスにIGAを導入するメリット
IGAの導入により、デジタルワークプレイスに対する様々なメリットが得られます。その中でも特に大きな効果が期待できるものについて、詳しく解説します。
ID管理コストの削減
IGAは、従来手作業で行っていたアクセス権の付与やID・パスワード管理の自動化を通して、IT部門にかかる管理コストの削減に寄与します。
また、多くのIGAソリューションには、アカウント情報の追加や削除、ユーザーごとのアクセス権限やアクセス履歴などをファイル等に出力するレポーティング機能が備わっています。これによりレポート作成が速やかに行えて、社内リソースの見直しといった業務改善にも役立てられます。
セキュリティ向上
IGAでは、一元管理によって定期的にIDの見直し・棚卸しができ、不要な権限の削除や過剰な権限の整理ができます。これは不適切なIDやアクセス権限による不正アクセスの抑制につながります。
権限の組み合わせによってはセキュリティリスクが高くなる場合もありますが、IDの棚卸しで迅速な発見及び未然のリスク排除が可能です。
アクセス権限付与の効率化
アクセス権限を整理したことで、業務上で権限を必要とするユーザーに対してスピーディかつ効率的に権限を付与できるようになります。従業員のリモートワークにあたっても、IGAによって迅速にアクセス権限を付与できれば、生産性とパフォーマンスの向上が見込めます。
コンプライアンスの向上
IGAを導入すると、アクセス権の可視化が実現でき、適切な内部統制が為されていることが立証されます。これらは先述の通り、J-SOX法やデータ保護規則基準、GDPRなどの法令への対応としても重要です。
アクセス権の付与に一貫性を持たせ、適切に管理することで、コンプライアンス向上が期待されます。
まとめ
IGAの導入により、IDの管理とアクセス権限の最適化を進めることで、企業にとってセキュリティリスクを低減できるというメリットが得られます。加えて、コンプライアンスの向上や、生産性とパフォーマンスの改善も期待できます。ID管理の効率化やセキュリティ強化を検討している担当者の方は、ぜひ導入をご検討ください。
