Mhicole A. Moral、特集・コンテンツライター

組織がデジタルオペレーションを加速させる中、アイデンティティはエンタープライズサイバーセキュリティにおける最重要課題の一つとして浮上しています。企業はアイデンティティおよびアクセス管理（IAM）を活用し、誰が重要な情報にアクセスできるか、いつアクセスが承認されるか、そしてそれがどのように継続的に監視されるかを管理するようになっています。クラウドの幅広い普及とソフトウェア・アズ・ア・サービス（SaaS）アプリケーションの増加がこの変化を加速し、セキュリティチームが管理すべきユーザーアカウントとアクセス経路の数は劇的に増加しました。

BusinessWorldサイバーセキュリティサミットの第3回パネルディスカッション——タイトルは「Identity and Access Management in the Enterprise（企業におけるアイデンティティとアクセス管理）」——において、テクノロジー幹部たちは、より強力なアイデンティティおよびアクセスシステムが現代の組織にとって不可欠である理由を検討しました。

パスワードと多要素認証を超えて

Tonikのチーフ・インフォメーション・セキュリティ・オフィサー（CISO）であるCatherine Anne Paleracio氏は、アイデンティティを取り巻く環境がデジタルサービスの拡大とともに進化してきたと指摘しました。組織がかつては従来の認証手法に依存していたのに対し、現在の脅威環境では、セキュリティチームはユーザー名、パスワード、多要素認証の枠をはるかに超えて考える必要があると述べました。

「攻撃の約30%は資格情報を狙ったものです」とPaleracio氏は述べました。「これは、私たちが今置かれている状況に合わせて組織が行動する必要性を示しており、IAMに対するこれまでのアプローチとは異なる戦略を考えるきっかけになります。」

Maya Philippines, Inc.の情報セキュリティディレクターであるJan Martin Encina氏は、アイデンティティおよびアクセス管理がセキュリティおよび監査の専門家にとって長年の中核的な課題であったと強調しました。アクセスの制御が企業リソースを保護する基盤だからです。

アクセス管理は日常的な業務に見えるかもしれませんが、Encina氏は、サイバーリスクの低減をはるかに超えるメリットを得るために、組織は堅牢なプラクティスを構築すべきだと強調しました。

「組織がIAMを適切に機能させることができれば、それは組織にとって非常に重要な価値の推進力になります」と彼は指摘しました。「プロセスをはるかに効率化でき、従業員を真の意味でエンゲージすることができます。」

このビジネスへの影響は、攻撃者がより技術的に高度なエクスプロイトを試みる前に、アイデンティティを頻繁に標的にする理由を説明しています。

「アクセスは攻撃者にとって最初の選択肢のようなものです。なぜなら、それは基本的すぎて誰もが持っているからです」とEncina氏は述べました。「脅威アクターが複雑で高度なエクスプロイトを試みる前に、まずアクセスを獲得しようとします。管理者、資金移動できる財務担当者、権限を昇格できる人物からパスワードを入手できれば、そこに技術的な要素は何もありません。すべてソーシャルエンジニアリングです。」

リモートエンドポイントの課題

PwC PhilippinesのRisk Services — Cybersecurity and PrivacyエグゼクティブディレクターであるMark Anthony P. Almodovar氏は、組織が企業オフィス内にセキュリティを集中させるモデルから、数千のリモートエンドポイントを保護するモデルへと移行せざるを得なくなったと指摘しました。

例えばCOVID-19のパンデミック中、多くの企業が業務を継続するために従業員にデスクトップコンピュータを持ち帰らせ、セキュリティチームが防御すべき環境の数が劇的に増大しました。

「エンドポイントは実際には個人に結びついています」とAlmodovar氏は説明しました。「だから保護するのも非常に難しいのです。私たちは依然として信頼の基盤に依存しています。」

組織は一般に、企業アカウントにログインしている人物が権限を持つ従業員であると想定していますが、毎日数千人のユーザーについてその前提を検証することは依然として困難な課題であると同氏は指摘しました。

人間：最も弱いリンク

エンタープライズセキュリティの進歩は、攻撃者の行動も変化させました。組織がより優れたテクノロジーとより広いセキュリティ意識によって技術的な防御を強化するにつれて、脅威アクターは人間と資格情報の標的化へと方針を転換しました。

「チェーンの中で最も弱い部分は、時にプロセスでもテクノロジーでもなく、人間なのです」とEncina氏は説明しました。「どれほど高度なセキュリティシステムを持っていても、管理者が自分のパスワードを教えてしまえば、数百万ドルのセキュリティ投資など忘れてください。」

Almodovar氏も同様の見解を示し、アクセス制御は情報セキュリティにおいて最も基本的な統制であり続けると述べました。攻撃者にとって、テクノロジーを突破するよりも個人を操作する方が容易だからです。

「ほとんどの場合、最も脆弱なのは依然として人間です」と彼は述べました。「少なくとも、テクノロジーは人々にある程度より高度な認証の使用を強制するという良い役割を果たしています。」

Paleracio氏は、フィッシングキャンペーンが最もシンプルでありながら最も効果的な攻撃ベクトルの一つであり続けていると付け加えました。すでに価値のあるアクセス権を持つ個人を狙うからです。攻撃者は、管理者、ベンダー、重要な情報へのアクセスを持つ従業員に集中する傾向があると同氏は述べました。信頼されたアカウントを侵害すれば、複雑な技術的エクスプロイトなしにシステムへの直接的な侵入経路が開かれるからです。

段階的なプロセスとしてのゼロトラスト

アイデンティティがエンタープライズセキュリティの焦点となる中、パネリストはゼロトラストの導入がガバナンスとビジネスの足並みといった面でもテクノロジーと同様に依存する段階的なプロセスであることで意見が一致しました。米国国立標準技術研究所（NIST）のSpecial Publication 800-207で体系化されたこの概念は、ネットワークの位置に基づく暗黙の信頼から、すべてのアクセス要求の継続的な検証へとセキュリティを移行させるものです。

Paleracio氏はゼロトラストを健全なセキュリティ概念と評しつつも、日々のオペレーションに落とし込むには持続的な投資と綿密な計画が必要だと警告しました。組織の導入能力も大きく異なります。規模が複雑さに直接影響するからです。例えば、小規模な企業はより迅速にゼロトラストの統制を導入できる可能性がありますが、数千人の従業員を抱える組織ははるかに大規模なユーザー、システム、アクセス関係のネットワークを管理しなければなりません。

「課題は基本的に、本当に必要なものを定義し、ビジネスニーズに基づいてそれを限定することです」とPaleracio氏は付け加えました。「最終的には、サイバーセキュリティを確立することは全員の役割であり、全員の責任になります。セキュリティ統制を構築しながら、私たちがイネーブラー（推進者）になることを確実にする必要があります。」

Encina氏も同様に、すべてのステークホルダーの積極的な参加なしにゼロトラストは成功しないと強調しました。

「セキュリティは全員の責任です。すべてのステークホルダーが実際に実践して初めてゼロトラストは導入できるからです」と彼は指摘しました。

従業員がセキュリティ統制を迂回した場合、その統制は無効になると同氏は警告しました。過度に制限的なポリシーは、ユーザーを個人用デバイス、承認されていない人工知能アプリケーション、または許可されていないテクノロジーの使用へと追いやる可能性があり、組織が監視や制御のできない新たなリスクを生み出します。

Encina氏は、システムが構築された後に統制を課すのではなく、セキュア・バイ・デザインのアプローチを通じてセキュリティを開発の最も初期の段階に組み込むことを提唱しました。組織は、新たなテクノロジーを選択または導入する前に、アイデンティティおよびアクセス管理の要件を定義すべきだと主張しました。エンタープライズアイデンティティプラットフォームと統合できないシステムは、導入後のセキュリティ例外として受け入れられるのではなく、当初からビジネス要件を満たしていないものとして扱われるべきです。

経営層の支援とガバナンス

Almodovar氏によれば、経営層の支援も同様に重要です。真の組織のコミットメントなしにはポリシーは成功しないからです。同氏は、長年セキュリティインシデントを経験していないことを理由に、より強力な統制の必要性に疑問を呈する上層部の抵抗に直面しながらも、認証ポリシーの強化を図ろうとした組織との議論を回想しました。そのような抵抗感は、組織が実際に損失を被るまでセキュリティ投資を遅らせる frequently あると同氏は指摘しました。

「アクセス制御は情報セキュリティにおいて最も基本的で最も根基となる統制です」とAlmodovar氏は述べました。「ほとんどの場合、実際に被害に遭い、侵害され、金銭を失い、アカウントを乗っ取られて初めて、実装を始めるのです。」

パネリストは繰り返し、リーダーシップと組織文化が成功するセキュリティプログラムの決定的な要因であることに言及しました。すべての従業員がシステム、アプリケーション、情報に対して何らかのアクセス権を持っているため、各個人が組織の全体的なセキュリティ態勢に貢献しています。

「組織のすべての人がアクセスを持っています。組織のすべての人がシステムにおいて果たすべき役割があります」とEncina氏は述べました。

効果的なアイデンティティおよびアクセス管理には経営層のスポンサーシップが必要だと同氏は強調しました。セキュリティプログラムはテクノロジー、ビジネスオペレーション、従業員の行動に同時に影響を与えるからです。経営層からの目に見える支援がなければ、組織は部門間で一貫したアイデンティティガバナンスの確立に頻繁に苦慮します。

同氏はまた、コンプライアンス要件をセキュリティの唯一の尺度として扱うことにも警告を発しました。

「適切なポリシーとガバナンスの枠組みなしにテクノロジーを実装させることは極めて危険です」と彼は説明しました。「しかし、ガバナンスばかりでテクノロジーに対して何もしないのも非効率です。」

Almodovar氏は、組織を保護することは究極的には人を保護することに帰着すると強調しました。多くのサイバー犯罪者がサイバーセキュリティ意識の限られた個人を悪用するため、リーダーはパスワードやワンタイムPINをはるかに超える、より強力な統制のためのプログラムを立ち上げるべきです。とはいえ、テクノロジー単独では不十分なセキュリティ習慣を補うことはできません。

「テクノロジーを実装する前に、ガバナンスとマネジメントの部分が依然として最初の要件です」とAlmodovar氏は述べました。「私たちが保護しようとしているものを理解していなければ、どうやって保護できるでしょうか。」

組織はまず、資産、承認プロセス、所有権の責任、意思決定構造を明確に把握してからアイデンティティ管理を自動化する必要があると同氏は強調しました。

パネリストは全員一致で、組織は規制コンプライアンスだけが適切な保護を提供すると想定するのではなく、まず自らのリスク、想定される攻撃者、従業員全体のセキュリティ意識のレベルを把握しなければならないということで合意しました。