なぜ今、IGA（Identity Governance and Administration）が求められるのか ―― 見えなくなった「権限」を統制するという考え方

はじめに

クラウドサービスやSaaSの普及により、企業が利用するシステムやサービスは大きく広がりました。業務の利便性が高まる一方で、IDやアクセス権限の管理は複雑さを増しています。

こうした問いに、すぐに答えられるでしょうか。

IDの発行や認証、アクセス制御が適切に行われていたとしても、組織や利用サービスが増えるにつれて、個々の権限の状況や妥当性を継続的に把握することは難しくなります。

そこで注目されているのが、IGA（Identity Governance and Administration）です。

本記事では、IGAとは何か、そしてなぜ今、企業のID・権限管理にIGAの考え方が求められているのかを解説します。

1．企業のID管理で起きている「権限が見えない」問題

企業では、クラウドサービスやSaaSの活用が進み、従業員一人が複数のシステムやサービスを利用することが一般的になっています。

さらに、入社・退職だけでなく、異動や兼務、プロジェクトへの参画・離任などに伴って、必要なアクセス権限も日々変化します。

その結果、例えば次のような状況が起こりやすくなります。

• 異動や組織変更後も、以前の業務で使用していた権限が残っている
• 退職者のアカウントは無効化されているものの、各システムにどのような権限が付与されていたのか把握できていない
• 誰がどの業務システムにアクセスできるのか、組織として一覧で説明できない
• 監査やJ-SOX対応のたびに、Excelなどを使って手作業で権限の棚卸を行っている

こうした問題は、個々の運用ミスだけが原因とは限りません。

2．IGAとは何か

IGA（Identity Governance and Administration）とは、IDおよびアクセス権限を「統制・可視化・証明」するための仕組みです。

IGAでは、単にユーザーのIDを管理するだけではなく、例えば次のような観点から権限を管理します。

• 誰が、どのシステムにアクセスできるのか
• どのような権限を持っているのか
• その権限は、どのような業務上の理由で付与されたのか
• 現在も、その権限を持つことが妥当なのか

IAMとは何が違うのか

ID管理の領域では、「IAM（Identity and Access Management）」という言葉も広く使われています。

IAMは、ユーザーを正しく認証し、適切なシステムやサービスへのアクセスを制御することを主な目的としています。

一方、IGAでは、付与されている権限そのものに着目し、「その権限が現在も適切なのか」を組織として継続的に確認・統制することを重視します。

IAMとIGAは、どちらか一方を選ぶものではなく、互いに補完する関係にあります。

IAM・PAM・IGAそれぞれの役割や関係性については、次回の記事で詳しく解説します。

3．なぜ今、IGAが求められているのか

IAMなどの仕組みによって、IDの発行や認証、アクセス制御の自動化が進んでも、「付与されている権限が現在も適切なのか」を継続的に確認する仕組みは別途必要です。

不要になった権限が残り続けるリスク

特に問題となるのが、業務上不要になった権限が残り続けるケースです。

例えば、部署異動によって担当業務が変わったにもかかわらず、以前の部署で使用していたシステムへのアクセス権限が残っていれば、本来必要のない情報へアクセスできる状態が続くことになります。

こうした過剰な権限や、利用されなくなった権限が蓄積すると、内部不正や情報漏洩などが発生した際のリスクを高める要因にもなります。

「なぜその権限を持っているのか」を説明できるか

また、監査やインシデント対応の場面では、次の問いに対して組織として説明できることも重要です。

権限の妥当性を判断するには、システムを管理するIT部門だけでなく、実際の業務や役割を理解している業務部門の関与も欠かせません。

IDや権限をIT部門だけの管理課題として捉えるのではなく、組織全体のガバナンスの対象として管理していくことが求められています。

4．IGAによって権限管理はどう変わるのか

IGAでは、権限情報を可視化するとともに、その権限が現在も必要かどうかを定期的にレビューし、承認や変更の履歴を管理します。

代表的な機能として、次のようなものがあります。

• 権限の可視化
• 定期的なアクセスレビュー
• 業務部門を含めた承認ワークフロー
• ロールベースアクセス制御（RBAC）設計の支援や権限の標準化
• 監査対応に必要となる証跡管理・レポート

これにより、従来の権限管理から、例えば次のような変化が期待できます。

5．IGAの本質は「ツール導入」ではなく「ガバナンス」

IGAというと、新たなセキュリティ製品やツールを導入することをイメージするかもしれません。

しかし、IGAはツールを導入するだけで成立するものではありません。

といったルールや業務プロセスを整理したうえで、それらを継続的に運用できる仕組みを構築することが重要です。

クラウドやSaaSの利用が拡大し、企業が管理するIDやアクセス権限が増え続けるなか、重要になるのは、単にアクセスを「制御する」ことだけではありません。

IGAは、そのためのガバナンスを支える考え方・仕組みといえます。

まとめ

企業におけるID・権限管理は、クラウドやSaaSの普及によって、これまで以上に複雑になっています。

そのなかで求められているのが、単にIDを発行しアクセスを制御するだけではなく、「誰が、なぜ、その権限を持っているのか」「現在もその権限は妥当なのか」を継続的に確認し、説明できる状態を維持することです。

IGAは、こうした権限管理を組織的・継続的に行うための仕組みです。

そして、その実現にはIT部門だけではなく、権限の妥当性を判断する業務部門や、ガバナンス・監査を担う部門も含めた取り組みが重要になります。