IGA（IDガバナンスとID管理）とは？ IDMやIAMについても解説

IGAは、ID管理とIDガバナンスを包括した概念です。 

ID管理は、ユーザーのIDの情報を管理し、それぞれのIDがどのシステムにアクセスできるかを明確にする役割を担います。
例えば以下のような役割です。

• ID登録、削除
• IDパスワード管理
• アクセス管理
• 認証
• プロビジョニング

IGAは、IDとID自体に紐づけられる権限を統合的に管理し、人事異動のような流動的な動きがあった場合でも、適切なID管理が継続して行えるように統制を行えるように考えられています。
従来のID管理の機能に加えて、主に以下のような役割を果たします。

• IDライフサイクル管理
• 役割・グループごとのアクセス権管理
• 監査機能
• 分析・レポート機能

IGAは、単にID情報を管理するだけでなく、各IDが利用できるサービスやアクセス可能な情報範囲を適切なタイミングで反映できるようにする必要があります。

昨今では、リモートワークの普及や多くのクラウドサービスの利用によりID管理が複雑化しています。そのため、IDガバナンスとID管理を統合したIGAの必要性が増しています。

ここで記載するIGAソリューションは、IDを管理するだけではなく、IDのライフサイクルに応じ、適切なタイミングで更新できる機能を備えたツールを指します。

IGAの機能については Gartner が定義していますが、企業ごとに捉え方が若干異なるようなので上記の役割を果たすことを目的とした機能を挙げます。

IDライフサイクル管理

IDの登録、変更、削除にいたるまでのライフサイクルを確認、管理する

ワークフロー機能

ID情報に関する依頼（登録、削除、変更など）を申請から承認まで行う

アクセス要求に対する自動対応機能

ID情報に紐づき、アクセス要求の承認や権限の付与を自動で行う

権限管理

ユーザー、組織、グループごとに権限の詳細を管理する

プロビジョニング

ユーザー、組織、グループの需要に応じたリソースの割り当てを自動で行う

監査機能

登録されたIDが、いつ、どのシステムを利用したか　また、IGAシステムにおいてどのような作業が行われたかを記録する

分析・レポート機能

監査機能や、IDの利用状況などのレポートを出力する

IGAを導入する代表的なメリットを3つ挙げます。

• コンプライアンス要件を遵守できる
• IDとアクセス権限の効率的な管理ができる
• 孤立したアカウントを作らせない

それぞれの詳細をみていきましょう。

コンプライアンス要件を遵守できる

企業のルールに沿ったワークフローによる申請・承認を得てから各IDの作成やアクセス権限が与えられるため、役割による権限がないのにアクセス権を要求するなどといった違反リスクを最小限に抑えられます。

また、IDライフサイクル管理によって、各ユーザーのアクセス権限が最適化・可視化され、誰がどの情報にアクセス可能かを常に把握できるため、適切な内部統制が行われていることの証明にもなり得るでしょう。

コンプライアンス要件を遵守することは、規制遵守が求められる企業にとって重要であり、リスクの低減と信頼性向上に貢献します。

IDとアクセス権限の効率的な管理ができる 

ID管理の自動化・最適化によって、社員の異動や退職など、組織での役職や職務が変更された際に必要となるアクセス要件の更新が適時反映されます。そのため、不要なアクセス権限の削除や新たな権限付与の作業負荷が軽減します。 

さらに、複数のシステム利用においてもIGAソリューションを活用することで、手動によるアクセス権限の変更や管理が不要となり、業務の効率化が可能です。

また、適切なID管理がリモートアクセスの安全性を高め、不正アクセスのリスク軽減や情報漏えい対策にもつながります。セキュリティの向上は安心して作業できる環境を提供し、結果的に生産性の向上にもつながるでしょう。

孤立したアカウントを作らせない 

IDライフサイクル管理と定期的な監査を行うことで、孤立したアカウントが作られない環境ができるため、セキュリティリスクが低減されます。権限だけ付与されて実際には使用されないまま放置されるアカウントが残されることはありません。

従業員の退職や異動に伴うアクセス権限の更新や削除が不十分だと、アクセス権限を保持したままの孤立アカウントが放置され、不正アクセスの入り口となる可能性が高まります。ID管理の最適化は、このようなリスクを未然に防ぎ、安全なアクセス環境を確保するために重要です。

ポイント： IDガバナンスにおいてコンプライアンスが重要な理由

IDガバナンスでコンプライアンスが重要な理由は、企業が法的な義務を果たし、信頼性を維持するためです。多くのデータ保護規制やセキュリティ基準により、企業は個人情報やアクセス権限の適切な管理を法的に求められており、不履行が確認された場合には罰則や罰金が科される可能性があります。

コンプライアンスを遵守することは、企業が社会的責任を果たしている証拠となり、顧客や取引先からの信頼を得る基盤にもなるでしょう。サイバー攻撃やデータ漏えいのリスクが高まる中、IDガバナンスを通じてアクセス管理を強化することで、企業は個人情報や重要データを守る体制を整えていることを示せます。

IGA実現のポイントとして、次の2つの観点で解説します。

• 権限付与までのフローとポリシーをまとめておく
• システム導入後の運用体制やトラブル対応時のマニュアルを作成しておく

それぞれの詳細をみていきましょう。

権限付与までのフローとポリシーをまとめておく

権限付与のフローとポリシーを事前に精査し、ルールとして明文化しておくことが重要です。権限の付与に関するフローやルールが曖昧なままだと、不要な権限が与えられるリスクが生じます。

 事前にそれぞれの権限の付与基準や条件を詳細に定め、不明瞭な部分をなくしておかなければなりません。また、権限ポリシーは、社員ごとに決定するだけでなく、役職や業務内容に基づく役割やグループごとのポリシーも設けることで、管理の一貫性と透明性を確保できます。

事前準備により、アクセス管理の統制が向上し、セキュリティとコンプライアンス遵守の両面で効果的なガバナンスが実現されます。

システム導入後の運用体制やトラブル対応時のマニュアルを作成しておく

システムを導入した後も、運用中に不具合や不適切なアクセス権限の付与など、さまざまなインシデントが発生する可能性があります。導入して終わりではなく、インシデントが起こった際に適切に対応できるよう、トラブル対応時のマニュアルをあらかじめ作成しておくことが重要です。

マニュアルには、トラブルの初期対応から根本原因の特定、必要な対策までを具体的に記載し、対応フローが明確であることで、担当者が迷うことなく速やかに処理を進められます。

また、困ったらベンダーのサポートを受けることも必要となるでしょう。ベンダーサポートを積極的に利用することで、インシデントの早期解決を図り、運用の安定性を確保できます。

ここでは、IGAと内容が似ていることからよく違いについての質問をいただくIDM、IAMについて用語の解説をしてきます。

IDM

IDM（ID管理：Identity Management）は、システムやアプリケーションを利用するためのIDを管理する仕組みのことです。各ユーザーのアカウント情報を継続的に管理し、従業員の異動や退職時にIDの作成、追加、更新、削除などを行い、適切にシステムやアプリケーションを利用できるようにする作業となります。

冒頭でも触れていますが、以下のような役割を担います。

• ID登録、削除
• IDパスワード管理
• アクセス管理
• 認証
• プロビジョニング

IAM

IAM（IDアクセス管理：Identity and Access Management）は主にユーザー認証を司り、適切な人物が適切な情報資産にアクセスできるよう一元管理する仕組みです。ユーザーが正当な人物であるかを確認するための多要素認証や、シングルサインオンなどの認証プロセスもIAMに含まれ、システムへのアクセスを制御します。

今回の記事では、IGAを中心に解説をしました。IGAは、IDガバナンスとID管理を包括した概念です。単にID情報を管理するだけでなく、各IDが利用できるサービスやアクセス可能な情報範囲を適切に管理しなければなりません。そのため、IDガバナンスとID管理を統合したIGAの必要性が増しています。

IDaaS 「Gluegent Gate」は、本記事で解説したIGAを実現するソリューションの1つになります。

IDガバナンスをどのように確立して管理していくのか、IDに関わる作業をどのように効率化できるかなどお悩みの場合には、お気軽にサイオステクノロジーにご相談ください。