人間やマシンのIDが急増する未来--サイバーアークのCIOに聞く、アイデンティティーの保護
最近のサイバー攻撃は、攻撃者が標的へ侵入するために、認証情報などユーザーのアイデンティティーを狙う傾向が強まっていると言われる。特権IDの保護ソリューションを手掛けるイスラエルのCyberArk Softwareも同様に指摘し、今後は人間だけでなく“マシン”のアイデンティティーも爆発的に増加すると予想している。 アイデンティティーの増大と脅威の高まりに企業や組織は、どのような対策を取るべきか。同社の最高情報責任者（CIO）を務めるOmer Grossman（オマー・グロスマン）氏と日本法人 執行役社長の柿澤光郎氏に、アイデンティティーセキュリティの動向や同社の取り組みを聞いた。 アイデンティティーを悪用する標的に合わせた攻撃シナリオ Grossman氏は、イスラエル国防軍（IDF）で25年以上にわたり、サイバー防衛オペレーションセンターや軍最大規模のプライベートクラウドの開発、運用などに携わり、実質的な最高情報セキュリティ責任者（CISO）の役割を担ったという。その経験から退役後は、アイデンティティー保護が重要なセキュリティ課題になると考え、特権ID保護の同社に参加したという。 「従来のセキュリティの“境界”はファイアウォールだったが、現在はアイデンティティーにある。コロナ禍でオフィスや在宅などのハイブリッドな働き方が広がり、ワークロードもクラウドに広がるなど、組織のIT環境がクラウド化している。こうした状況では、IDや権限、アクセス先、利用するリソースが適切なものでなければならない」（Grossman氏） 上述のように、サイバー攻撃者は標的への侵入を成功させようと、あらゆる戦術を駆使する。実際に柿澤氏は、米国へ出張した際にフィッシング攻撃を経験したという。 「私のスマートフォンのアプリに経営層から緊急連絡があり、応答してみると、『日本への緊急投資を決定したので、日本法人の口座を教えてほしい』と言われた。突然のことで不審に思い、社内で確認したところ、フィッシングだと分かった。非常に驚いたが、怪しいと感じたことで事なきを得た」（柿澤氏） 柿澤氏を狙った攻撃者は、同氏の役職などを事前に把握した上で、同社の経営層になりすまし、巧妙な内容でだまして、機密情報を窃取しようとした可能性がある。 Grossman氏は、「自分の職歴や現在の仕事といった情報をソーシャルメディアなどに公開している人は多く、攻撃者もそうしたソースにアクセスして情報を収集し、巧妙な攻撃シナリオを立案し、攻撃を行っている」と指摘する。 この一件は同社にとって大きな教訓になったそうだ。事態を受けて、従業員が同社を狙う脅威の存在を認識し警戒意識を高めるべく、すぐにフィッシング攻撃訓練を全社で実施し、その効果の検証や確認、教育と啓発を徹底したという。 Grossman氏は、同社が顧客に特権IDの保護ソリューションを提供する立場から、いわば同社自身が「最初の顧客」として、特権IDを含むアイデンティティーの適切な保護を平時から実践していると説明する。 「当社のアイデンティティー戦略では、権限やアクセスを最小にするということを基本にしている。人間とマシンの両方のアイデンティティーを対象として、ジャストインタイムアクセス、適応型の多要素認証、エンドポイントの特権管理などを活用し、継続的な監視と自動化された認証情報のローテーションを組み込んでいる。また、サードパーティーベンダーのSaaSも監視、管理し、アクセスを制限して構成を調整している。監査などにも活用しており、自社の経験や顧客のフィードバックを取り入れながら、安全で堅固な製品開発に役立てている」（Grossman氏） アイデンティティーセキュリティの重要性が高まる中で、近年はセキュリティベンダー各社がこの領域を強化しつつある。Grossman氏は、「IDの仕組みや管理、認可・認証といったプラットフォームを提供している他社とは異なり、当社は四半世紀にわたりアイデンティティーの保護に特化してきた。当社が保護するアイデンティティーは、ワークフォース（従業員から経営層まで）、IT管理者、開発者、そしてマシンも対象にしている」と説明する。 柿澤氏も「日本はこれまで特権IDを含むアイデンティティーの管理や監査対応に主眼が置かれてきた。しかし最近では、海外拠点でわれわれを利用している複数の大手銀行が国内でも利用を開始する事例が出ており、アイデンティティーを保護する意識が高まっている」と話す。
