【ITニュース解説】クラウドとAIが生む複雑性、その弱点はアイデンティティー　Tenable調査

現代のIT環境は、クラウドコンピューティングや人工知能（AI）といった先進技術の急速な普及により、かつてないほどの複雑さを増している。この複雑性は、企業のシステムやデータのセキュリティにおいて新たな課題を生み出しており、特に「アイデンティティー」がその弱点として浮上していることが、最近の調査で明らかになった。

クラウドとは、これまで自社のサーバーやデータセンターで管理していたシステムやデータを、インターネットを通じて提供されるサービスとして利用する形態を指す。これにより、企業は高価なインフラを自前で持つ必要がなくなり、必要な時に必要なだけコンピューティングリソースを利用できるため、ビジネスのスピードアップやコスト削減に大きく貢献している。また、AIは、大量のデータからパターンを学習し、予測や意思決定を自動化する技術であり、これもまた様々な業務プロセスに導入され、企業の競争力向上に不可欠な存在となりつつある。

しかし、クラウドやAIの導入が進む一方で、それらがもたらすシステム環境の複雑化という問題が顕在化している。多くの企業が複数のクラウドサービスを併用したり、既存の社内システム（オンプレミス）とクラウドを連携させたりしている。さらに、AIを利用するサービスやアプリケーションも多岐にわたり、これらが互いに連携し合うことで、システム全体の構造は非常に複雑になる。これにより、どこにどのようなシステムがあり、どのようなデータが保管され、誰がアクセスできるのかといった全体像を把握することが極めて困難になってしまうのだ。

この複雑性の中心に位置し、新たな弱点となっているのが「アイデンティティー」である。アイデンティティーとは、単にユーザー名やパスワードといった認証情報だけでなく、人、デバイス、アプリケーション、あるいはサービス自体が「何者であるか」を証明するためのあらゆる情報や属性を指す。現代のシステム環境では、数多くの従業員、外部パートナー、サーバー、仮想マシン、コンテナ、API（アプリケーション・プログラミング・インターフェース）など、多様な主体がシステムにアクセスするため、それぞれに膨大な数のアイデンティティーが存在する。

これらのアイデンティティーは、それぞれのクラウドサービスや社内システムごとに個別に管理されることが多く、その結果、企業全体で誰がどのリソースに対して、どのようなアクセス権限を持っているのかを正確に把握することが難しくなる。例えば、ある従業員が部署を異動したり退職したりしても、彼が過去に持っていた様々なシステムへのアクセス権限が完全に削除されずに残ってしまうケースがある。また、特定のアプリケーションが他のサービスにアクセスするためのアイデンティティー（サービスプリンシパルなど）が、必要以上の権限を持ったまま放置されることもある。このような状況は、不正アクセスやデータ漏洩の温床となり、サイバー攻撃者にとっては格好の標的となる。正規のアイデンティティーが悪用されることで、企業は自社のシステムが内部から攻撃されるリスクに常に晒されることになるのだ。

この問題の根底にあるのが「サイロ化したツール環境」である。サイロ化とは、組織内で部門や機能が独立し、互いに連携が不足している状態を指す。ITセキュリティの文脈では、それぞれのセキュリティツールや管理システムが個別に導入され、互いに情報を共有したり連携したりしていない状態を意味する。例えば、クラウド環境のセキュリティを管理するツール、オンプレミス環境のセキュリティを管理するツール、アイデンティティー管理に特化したツール、ネットワークの監視ツールなどがそれぞれ独立して稼働している場合、それぞれのツールが検出した情報が統合されず、企業全体のセキュリティ状況を俯瞰することができない。

このようなサイロ化した環境では、あるアイデンティティーに紐づく脆弱性やリスクが複数のシステムにまたがって存在しても、特定のツールだけでは全体像を把握できないため、リスクを見落とす可能性が高まる。結果として、システム全体のどこに危険が潜んでいるのか、どのような対策を優先すべきなのかといった判断が極めて困難になる。これは、まるで異なる言語を話す人々がバラバラに情報を持っているために、全体として何をすべきか決定できない状態に似ている。セキュリティ担当者は、点と点としてしか見えない情報を手作業でつなぎ合わせようと奮闘するが、その労力は膨大であり、常に情報漏れのリスクと隣り合わせになる。

Tenable社の調査が指摘するように、クラウドとAIがもたらす複雑性の中で、アイデンティティーの管理こそがセキュリティの要となっている。サイロ化したツール環境を解消し、企業内のあらゆるアイデンティティーとそれに関連するアクセス権限、脆弱性情報を統合的に管理・監視できるような仕組みを構築することが、今後のセキュリティ対策において不可欠な課題となる。システム全体の可視性を高め、潜在的なリスクを早期に発見し、迅速に対処できる体制を確立することが、増大するサイバー脅威から企業を守るための鍵となる。この課題は、現在のシステムエンジニアにとって喫緊の課題であり、将来システムエンジニアを目指す人々にとっても、この複雑な環境を理解し、適切なセキュリティ対策を講じる能力が強く求められることを示唆している。