DX（デジタルトランスフォーメーション）の進展により、企業のIT環境はオンプレミスからクラウドへと主軸を移しています。Microsoft 365、 Google Workspace 、Amazon Web Servicesといったプラットフォームの導入が加速する中、サイバーセキュリティの概念が変わりつつあります。かつての「社内と社外を分けるネットワークの境界線」ではなく、「アイデンティティ（ID）」が、新たなセキュリティの境界線となりました。しかし、多くの企業が多要素認証（MFA）を導入して「入り口」を固める一方で、認証を通過した後の「権限（認可）」の妥当性や、プログラム同士の連携を行う「人以外に付与されたID（NHI：Non-Human Identity）」の管理については形骸化しているケースが多いのではないでしょうか。本稿では、アイデンティティ管理における「空白地帯」を埋める新たな概念「ISPM（Identity Security Posture Management）」について、動的に増加するNHIのリスク管理を中心に、その技術的背景と実務上の必要性を解説します。

アイデンティティ管理は、現代のサイバーセキュリティにおいて防衛の要です。しかし、クラウド利用の加速や自動化の進展に伴い、従来の管理手法にはいくつかの「構造的な限界」が顕在化しています。

多くの企業は、ID・パスワードにくわえて多要素認証（MFA）やシングルサインオン（SSO）を導入し、「認証」の強度は飛躍的に向上しました。しかし、一度システムに入った後の「認可」、すなわち「どのリソースに、どの程度の権限でアクセスできるか」の制御は、依然として各アプリケーション（SaaS・IaaS）個別の設定に委ねられています。この「認証」と「認可」の乖離が、以下のリスクを招いています。

職務変更やプロジェクト移動の際、新しい権限は追加されるものの、以前の権限が削除されない「権限の累積」は、多くの組織が抱える慢性的な課題です。これは人間だけでなく、かつて自動化のために作成されたまま忘れ去られたNHIにも当てはまります。また、退職者や契約終了後の外部ベンダーによる「休眠アカウント」は、攻撃者にとっての「永続的なバックドア」となります。これらは有効な認証情報を保持しているため、従来の境界防御では検知が極めて困難です。

現代のアイデンティティセキュリティにおいて、急速に拡大している脅威が、前の章でも触れた、人以外に付与されるアイデンティティであるNHIです。本章では、NHIについて詳しく解説します。

NHIには、AIエージェント、サービスアカウント、APIキー、OAuthトークン、証明書などが含まれます。これらはアプリケーション同士の連携や自動化プロセスのために作成されますが、アプリケーションを導入するたびに、その裏側でAPIキーなど複数のNHIが発行されるため、その数は一般的に人間用IDの数十倍にも及ぶと考えられています。
NHIが抱える固有のリスクは以下のとおりです。

また、昨今の生成AIの台頭により、リスクは新たなフェーズに入りました。NHIの一つ、AIエージェントは自律的に複数のSaaSをまたいでタスクを遂行するため、その過程で動的に新しいNHIを作成したり、既存のAPIを通じて権限を拡張したりします。

運用面でもNHIの管理には課題があります。NHIはCI・CDパイプラインや自動化スクリプトによって日々生成され、破棄されます。この「動的な増減」をExcelなどの手動管理で追うことは不可能です。

ISPM（アイデンティティセキュリティポスチャ管理）は、爆発的に増え続けるNHIや、ブラックボックス化した認可設定など、従来の手法では把握しきれなくなった「アイデンティティ管理の空白地帯」を排除し、セキュリティ設定の不備を継続的に是正するための新しい考え方です。

ISPM（アイデンティティセキュリティポスチャ管理）は、既存のアイデンティティ管理ツールと競合するものではなく、補完関係にあります。アイデンティティ管理のライフサイクルにおいて、それぞれが担う役割と、ISPM（アイデンティティセキュリティポスチャ管理）が解決する領域を整理します。

ISPM（アイデンティティセキュリティポスチャ管理）は、以下の3つの観点でアイデンティティの安全性を継続的にスキャンし、組織の防御力を高めます。

ISPM（アイデンティティセキュリティポスチャ管理）は、これらの観点で「認証・認可・連携」の3層を横断的に監視することで、管理者の目が届きにくいアイデンティティ管理の空白地帯を埋めます。これにより、変化の激しいクラウド環境においても、セキュリティ品質を一定に保ち続ける「自動化されたガードレール」としての役割を果たします。

なぜ、入り口を守るIdP（統合認証基盤）の管理だけでは不十分なのでしょうか。その最大の理由は、Microsoft 365やSalesforceといった現代の主要SaaSにおいて、「誰が何を実行できるか」を決めるルール（認可モデル）が、極めて高度に多重化しているからです。
例えば、あるユーザーの権限は、単一の設定ではなく以下のような複数の要素が複雑に組み合わさって決定されます。

これらはパズルのように何層にも重なり合っており、「最終的にそのユーザーがどのデータに触れる状態なのか」という実態は、IdPの管理画面から見渡せる範囲を大きく超えています。
各アプリケーションの内部深くにあるこれらの「要素」を把握するには、表面的な連携だけでは不可能です。ISPM（アイデンティティセキュリティポスチャ管理）は、各アプリケーションのAPIと直接対話することで、複雑に組み合わさった権限の要素を把握、隠れた過剰権限を洗い出します。

ここでは、企業が直面する具体的な課題と、ISPM（アイデンティティセキュリティポスチャ管理）による解決のアプローチを紹介します。

多くの企業で採用されている「春・秋の定期異動」や「大規模な組織改編」は、アイデンティティ管理における最大の脆弱性となります。

アイデンティティの棚卸しは最も工数がかかる作業の一つです。しかし、従来の手法には致命的な欠陥があります。

アイデンティティ保護の重要性が増す中、ISPM（アイデンティティセキュリティポスチャ管理）は単独のツールとしてではなく、広範なセキュリティフレームワーク（特にNIST CSF 2.0やサイバーセキュリティ・メッシュ・アーキテクチャ）の中で中心的な役割を果たします。

2024年に公開されたNIST CSF 2.0では、新たに「ガバナンス（GV）」機能が独立しました。ISPM（アイデンティティセキュリティポスチャ管理）はこの新基準に適合するための、技術的な裏付けとしても有効です。

クラウドセキュリティの世界には似た名称のソリューションが多く存在しますが、ISPM（アイデンティティセキュリティポスチャ管理）が焦点を当てるのは「インフラ」でも「アプリケーションの設定」でもなく、「アイデンティティ（誰が何を行使できるか）」という実権そのものです。
各ソリューションの役割を比較することで、ISPM（アイデンティティセキュリティポスチャ管理）が「予防」において果たす独自の重要性が明確になります。

上の表のように、ISPM（アイデンティティセキュリティポスチャ管理）を活用し、アイデンティティに関連した脆弱な状態を解消しておくことで、インシデントへの備えを強化。万が一IDが侵害された際の被害範囲を限定することができます。

アイデンティティ管理におけるリスクは、目に見えないところで静かに蓄積されていきます。自社の現在のポスチャ（セキュリティの構え）が、現代の巧妙な攻撃やAIによる変化に対応できているか、以下の5つの項目でセルフチェックを行ってみてください。

NHIのインベントリ把握状況
自社が各アプリケーションで発行しているAPIキーやサービスアカウントの正確な総数を、1時間以内にリストアップできるか？

特権IDの常時保有率
24時間365日、強力な権限（Global Adminなど）を持ち続けているユーザーは誰か。その中で、過去1カ月間にその権限を実際に行使しなかったユーザーは何名いるか？

シャドーOAuth連携の可視化
従業員が「利便性のために」個別に承認したサードパーティアプリケーション（特に生成AI関連）のうち、メールやカレンダーへのフルアクセス権限を持つものがいくつあるか把握しているか？

退職・異動処理の「ラストマイル」管理
IdP（SSO）連携されていないSaaSのローカルアカウントや、共有アカウントに含まれる個別のNHIが、退職時に確実に無効化される仕組みがあるか？

MFA例外アカウントの監視
レガシーシステムや自動化スクリプトのために「MFAを意図的に無効化」しているアカウントのリストと、その利用場所をリアルタイムで監視できているか？

ISPM（アイデンティティセキュリティポスチャ管理）の実装において最も避けるべきは、現状を把握しないまま一律に権限を制限し、現場の業務を停滞させてしまうことです。成功の鍵は、優先順位にもとづいた「フェーズ分け」を行い、「可視化→特定→是正」のサイクルを段階的に回していくことにあります。

まず、各アプリケーションのテナントとISPM（アイデンティティセキュリティポスチャ管理）をAPI連携させ、現状を把握します。

Step 1で可視化された膨大なアラートの中から、「どのリスクが組織にとって致命的か」を特定し、順次対処します。

【最優先：侵入口の特定】外部に露出したシークレットの特定・無効化
GitHubなどの公開領域に誤って流出したAPIキーや、有効期限のないサービスアカウントを特定します。これらは「今この瞬間」も悪用されるリスクがあるため、即座に失効・再発行を行います。

【重要：特権の特定】MFA未設定の特権アカウントの保護
管理者権限を持ちながら、多要素認証（MFA）が設定されていない、あるいはバイパス可能な状態にあるアカウントを特定します。攻撃の最大の標的となるため、直ちにMFAを強制適用するか、不要な特権を剥奪します。

【波及リスクの特定】過剰なスコープを持つOAuth認可の整理
導入したAIツールや外部SaaSのうち、「実際には使われていないが、全データへのアクセス権を保持している」連携を特定します。将来的なデータ流出防止のため、認可範囲を必要最小限に縮小するか、連携を解除します。

ISPM（アイデンティティセキュリティポスチャ管理）のポリシーを定義し、違反が検知された際に「自動的に権限を剥奪」または「ユーザーに再確認の通知を飛ばす」ワークフローを有効化します。これにより、アイデンティティ管理は「担当者の努力」から「システムの自律的なガードレール」へと昇華します。

これまでのアイデンティティ管理は、「正しい人に、正しいIDと権限を付与する」という、いわば静的な「帳簿管理」でした。しかし、クラウドの利用が日常的となり、AIエージェントが自律的に動作し、人間を遥かに凌ぐ数のNHIが生成される現代において、その手法は限界を迎えています。
ISPM（アイデンティティセキュリティポスチャ管理）の導入は、単なるツールの追加ではありません。それは、「見えない権限」という最大の脆弱性を可視化し、攻撃者が悪用できる隙を先回りして埋めていく、動的な防御への転換を意味します。
「どのIDがどのような権限を持っているか」を常に最適化し続ける仕組みは、セキュリティレベルを向上させるだけでなく、過重な棚卸し業務から情報システム部門を解放し、DXを加速させるための安全な土台となります。
アイデンティティという新たな境界線を、無防備な「空白地帯」にするか、それとも強固な「防衛線」にするか。AI時代における企業のレジリエンス（回復力）は、このポスチャ管理をいかに自動化・仕組み化できるかにかかっています。