ガートナーはIAMプロフェッショナルに対し、サイバーセキュリティは彼ら次第だと警告

オーストラリアのアイデンティティアクセス管理の専門家は、マシンアイデンティティを含む重大なリスクの管理が不十分なために多くの組織が危険にさらされていることから、組織のサイバーセキュリティ体制の基盤としてアイデンティティを確立するよう求められています。

ガートナー社の副社長アナリストであるフェリックス・ゲートゲンス氏は、シドニーで開催されたガートナー社のセキュリティ＆リスク管理サミットで、IAM実践者は組織内のアイデンティティファブリックアプローチを中心とした成熟したIAMプログラムへの投資を推進すべきだと主張した。

ゲトゲンス氏は、IAM（アイデンティティ・アクセス・マネジメント）の衛生管理を改善することで、組織はレジリエンス（回復力）を高めることができると述べた。ゲトゲンス氏は、テクノロジーベンダーがデータをサイロ化させ、適切なデータを入手せずにAIを活用することを許すべきではないと警告した。様々なステークホルダーと連携するために、製品管理アプローチを採用することが一つの提案だった。

IAMは成熟したサイバーセキュリティ体制の中核を担う

ゲイトゲンス氏は、IAMリーダーはここ数年、アイデンティティ管理を取り巻く状況の根本的な変化に直面していると述べた。これは主に、サイバーセキュリティを守るために「完全に分散化された世界において、中央集権的な管理体制を構築することが求められるようになった」という現実によるものだ。

ゲトゲンス氏は、従業員がどこからでも働くようになったことで境界における従来のセキュリティ制御の価値が低下し、資産、データ、アプリケーションはさまざまなタイプのアクセス制御で保護されるようになったと述べた。その多くはクラウドベンダーなどのサードパーティによって実装されている。

プレミアム: クラウドセキュリティポリシーの作成を検討してください。

「取締役会はCISOに3つの主要な質問をします。『私たちは安全ですか？』『コンプライアンスは遵守されていますか？』『AIについてはどうですか？』です」とゲイトゲンス氏は述べた。「IAMはこれらすべての中核を成しています。その役割はますます重要になっています。なぜでしょうか？それは、IAMが新しい世界におけるセキュリティの中心だからです。」

機械アイデンティティの台頭

人間のアイデンティティに加えて、機械アイデンティティの増加が「大きな問題」になっているとゲトゲンス氏は述べた。現在、組織内には人間の10倍から45倍もの機械アイデンティティが存在し、その多くは高度な権限を与えられているため、管理されていない巨大なサイバーリスクとなっている。

組織は成熟したIAMプログラムでアイデンティティを最優先にすべき

アイデンティティをサイバーセキュリティの中心に据えることが重要だとゲートゲンス氏は述べた。

「多くの企業はツールは持っているものの、実際には機能的で優れたIAMプログラムを持っていません。今こそチャンスです」とゲートゲンス氏は述べた。「IAMはサイバーセキュリティの制御基盤であり、基盤です。ここに注力すべきです。」

IAM プログラムは、アイデンティティ管理を「一貫性があり、コンテキストに即し、継続的」にする必要があり、IT 部門外での関係構築に意欲的な IAM リーダーによって実現される必要があります。

一貫性のある

ゲトゲンス氏によると、世界的な規制は、データベース、非構造化ファイル、移動中、保存中など、個人データがどこにあっても保護されるように設計されています。ゲトゲンス氏は、これは組織が多数のツールを保有しているとしても、適用されるアクセスポリシーに一貫性が必要であることを意味すると述べています。

文脈的

ポリシーは動的かつコンテキストを認識する必要があります。

「誰かがフォルダーにアクセスできるからといって、1分間に30件もの文書をダウンロードしてよいというわけではありません。これは人間にとっては普通のことではなく、アカウントがボットに乗っ取られていることを示している可能性があります」とゲイトゲンス氏は述べた。

連続

将来的には、セッション全体を通して継続的に適応型の信頼が適用されるようになるでしょう。ゲイトゲンス氏は、シングルサインオフの実現が近づいていると述べました。これは、ユーザーイベントに基づいてシステム間の複数のセッションを終了できる機能であり、ユーザーにとって当たり前のものになるだろうと述べました。

リーダーシップ

IAMプログラムを導入するには、IAMリーダーはIT部門以外の関係者との関係を強化する必要があります。ゲートゲンス氏は、IAMリーダーに対し、ビジネス価値やリスクといった観点からIAMを測定し、伝えることができるよう、財務や法務を含むビジネス用語を学ぶよう強く求めました。

参照: トップレベルの IAM ソリューションは、サイバーセキュリティの取り組みを強化するのに役立ちます。

プロダクトマネジメントのアプローチを導入すれば、成功はより容易になる可能性があります。ゲイトゲンス氏は、IAMプログラムにおいてプロダクトマネジメントのアプローチが採用される傾向があり、「高度なクロスファンクショナル」スタイルを通じてビジネス価値とデリバリーの加速につながっていると述べています。

IAMツールではなくアイデンティティファブリックに重点を置く

将来的には、IAM を管理するための、より統一された、アーキテクチャ的に健全な方法が必要だと Gaehtgens 氏は述べた。

「ほとんどの組織は、何年も投資して取り組んできたにもかかわらず、人間とマシン向けの基本的なIAM機能の提供に苦労しています」とゲートゲンス氏は語った。

アイデンティティファブリックアーキテクチャアプローチを採用

ゲイトゲンス氏は、「アイデンティティファブリック」アプローチは、IAMプロフェッショナルが既存のビジネスチャンスを活用し、ベンダーロックインの束縛から解放されるのに役立つ可能性があると述べた。同氏は、ガートナーが顧客をアイデンティティファブリックモデルへと導くために用いる10の原則からなるフレームワークを提示した（図A）。