編集 NTT東日本編集部

「利用システムが増えてIDの管理が大変」「テレワークでも安全なセキュリティを確保したい」とお悩みの企業は多いのではないでしょうか。

便利なアプリケーションやクラウドサービスが開発され、それに伴って社内で利用するシステムも増加傾向にあります。利用サービスが増える中、異なるシステムごとにIDやパスワードを管理していると、認証の手間や忘れた際の再発行の工数が増えて社員生産性が悪化します。また、システムの数だけ漏えいリスクも発生するため、セキュリティ面の対策も欠かせません。

そこで今回の記事では、さまざまなシステムで利用するIDやパスワードを一元管理できるIDaaSについて解説します。IDaaSを活用することで、社員の生産性を上げ、セキュリティリスクを大幅に減らせます。IDやパスワードの管理にお悩みの企業担当者は、ぜひ参考にしてください。

1.IDaaSとは？従来サービスとの違いも解説

この章では、利用システムの増加や働き方の変化に対応して、ID・パスワードを安全に管理し便利に利用できるIDaaSについて解説します。また、従来より利用されているサービスとの違いも比較しております、別サービスを利用されている企業の方もぜひお読みください。

IDaaSとは

IDaaSは「Identity as a Service」の略称で、社内で利用するシステムやアプリケーション・SaaSに対して、全社員のログイン情報を一元管理するサービスです。ID・パスワードの管理に加えて、シングルサインオンやアクセス制御などを機能として備えます。
さまざまなサービスが開発され、1社で利用するシステムは年々増加している中、増大する管理の手間やセキュリティリスクに対し、解決策になりうるIDaaSは急速に広がりを見せています。

従来サービスとの違い

IDやパスワード管理は、IDaaSが普及する前から「パスワードマネージャー」や「ActiveDirectory」などのサービスが使われていました。しかし、パスワードマネージャーのターゲットは個人であり、企業が導入するのに不可欠な複数人利用に向いていない点が課題でした。

一方でActiveDirectoryは、企業向けのサービスで広く利用されています。ただし、クラウドサービスに未対応な点がデメリットです。機能追加を行うことで、クラウドサービスログインも可能になりますが、セキュリティリスクやルールの複雑化に伴う工数増加も発生します。そこで従来サービスの課題点を改善し、便利かつ安全に使えるシステムがIDaaSです。

2.IDaaSが求められる3つの背景

ID・パスワードの管理工数の解消やセキュリティリスクへの対策として、IDaaSが求められ始めました。働き方が変わる中で、今までなかった企業課題が日々発生しているため、理解を深めた上で対策案を考えてみましょう。

利用クラウドサービスの増加

数十年前まで、企業で利用するシステムは社内ネットワークのみで利用しており、種類も限定的でした。そのため、IDやパスワードの管理の手間もかからず、セキュリティも担保しやすいため、問題は発生しづらい状態でした。

しかし、近年は安価に利用可能なアプリケーションやクラウドサービスの増加により、複数のサービスを併用して利用する企業が増えています。そのため、従来のシステムに加え、新たに利用するサービスもID・パスワード管理を行うことが必要になりました。

また、システム開発は日々行われており、利用システムの変更や追加なども日常的に発生します。1つずつログイン情報を管理する大変さを解消するために、IDaaS利用が求められています。

働き方改革によるセキュリティ管理の変化

リモートワークの普及やスマートフォン・タブレット利用など、社内ネットワーク外からシステムを利用する機会が年々増加しています。従来は、社内ネットワークを強化することでセキュリティリスクに備えていましたが、社外利用が増えることで、対策をさらに強化することが必要になりました。

また、雇用形態の多様化や人材流動性の高まりにより、ID発番・削除の管理業務も増加したことで、手間の軽減だけでなく、情報漏えいにも注意する必要があります。

セキュリティ管理の変化により、IDaaSを必要とする場面が増えているのです。

組織間認証基盤の統合

グループ会社やグローバル展開、M&Aなど、組織が増加する中で同一システムを利用することは、ガバナンスが向上し、組織間の連携強化が期待されます。一方で、認証基盤を統合させる作業は時間も手間もかかる作業です。

IDaaSであれば、異なる組織間の連携も迅速に行うことができるため、企業の急拡大にも対応可能です。

3.IDaaSが持つ5つの機能

この章では、IDやパスワードの一元管理を行うことで生産性向上や情報セキュリティ対策の強化を行う「IDaaSが持つ5つの主機能」について解説します。IDaaSを導入することで実現できる内容も合わせて説明するため、自社での利用イメージを持ちながら読んでください。

認証（シングルサインオン）

IDaaSのメイン機能は認証です。ユーザー認証やシングルサインオン認証に加え、多要素認証などさまざまな方法に対応しています。多要素認証は、ID・パスワード認証に加えて、特定デバイスによる承認を行うデバイス認証や、指紋・虹彩などを用いる生体認証を組み合わせた方法で、高いセキュリティを持ちます。

シングルサインオンは、特定のIDとパスワードを用いて一度ログインすれば、事前に登録された複数のアプリケーションやWeb・クラウドサービスが認証なしで利用できるサービスです。

認証方法には、以下の方法が存在します。

• フォームベース認証：ID・パスワードを記憶、他サービスのログイン時に代理入力
• SAML認証：標準規格による認証情報を用いることでシステムごとのログインが不要
• Basic認証：HTTPヘッダにログイン情報を入力・送信

一度のログインだけで数多くのサービスが利用できるため、入力の手間を軽減できてID・パスワードを忘れてしまうリスクが減らせます。

ID管理

IDaaSは、ユーザーID情報や対応サービスの管理も行います。社員に情報管理を委ねる場合、各々で異なる保管方法を選択します。ITリテラシーの差により、セキュリティの甘いサービスを利用したり、紙に書き残しておいたりと情報漏えいにつながるリスクが発生しかねません。IDaaSなら各アプリケーションやクラウドサービスの認証情報を管理することで、リスクの軽減が可能です。

さらに、社員からID管理担当を行う部署へのパスワードの問い合わせやリセット依頼の手間も減らせます。また、IDプロビジョニングと呼ばれる機能も兼ね備えています。いずれかのアプリケーションでIDの追加・削除が行われた際、大元であるIDaaS側でも自動で追加・削除されます。

ID連携

IDaaSはIDフェデレーションと呼ばれる機能を用いて各種サービスと連携し、一度のログインだけでさまざまなアプリケーションを認証不要で利用できるようにします。そのため、1つのID・パスワードを覚えておくだけで良いため、管理の手間や漏えいリスクの対策が可能です。

ID認可

ID認可とは、利用するユーザーに対して行う権限付与を指します。社員の入社・退社時にIDaaSでIDの追加・削除が行えます。また、各ユーザーごとに権限を変えてコントロールできる点がメリットです。

例えば、部長であるAさんにはクラウドサービスの編集作業が可能だが、メンバーであるBさんは閲覧のみ、そして別部署であるCさんはアクセス不可など、部署やプロジェクトごとに権限をコントロールできます。案件や立場ごとに分けられることで、社内での情報漏えいやミスによってデータを書き換えてしまうことを避けられます。

監査

IDaaSにアクセスした履歴や、連携しているサービスへのログイン履歴と編集作業のログの取得機能も備えています。常にログを残すことでセキュリティレベルを引き上げるだけでなく、不正アクセスやサーバー攻撃の発生時にすぐに原因追求ができ、対応すべき内容の把握が可能です。

4.IDaaS利用で得られる4つのメリット

IDaaSのメリットは現場社員と管理部門の生産性向上とコスト軽減、そして管理を一元化することによる漏えいリスクの対策ができる点です。新しいサービスを導入する際は、手間や費用がかかりますが、同時にこの章で紹介する4つのメリットを得られます。

現場社員の業務効率アップ

複数のクラウドサービスやアプリケーションを利用する際に、毎回ID・パスワードを入力していると非常に手間がかかります。IDaaSであれば、一度認証するだけで連携サービスならログインなしで利用できるため、何度も入力する手間が省けます。

また、ログイン情報をいくつも覚える必要がないため、管理工数の軽減も可能です。定期的に必要となるパスワード変更も一元で実施できるため、より業務に集中できます。

管理部門の負担軽減

システムを管理する部署では、社員からID・パスワード忘れや変更に関する連絡が毎日のように発生しています。IDaaSを用いれば、社員が認証情報を忘れるリスクが抑えられ、再発行もシステムで実施できるため、問い合わせに返答する対応工数を軽減できます。

また、ユーザーの追加・編集・削除が簡単にできるため、社員の入社・退社・異動などによる管理作業もIDaaS上だけで完結可能です。

セキュリティ強化の実現

IDaaSでは以下のような多彩なログイン方法があり、企業に合わせたセキュリティ強度の高い認証方法を選択可能です。

• ワンタイムパスワード
• 多要素認証
• デバイス認証
• IPアドレス制限

認証方法だけでなく、ログイン情報を何回間違えたらロックするなどのセキュリティポリシーも自社の運用に合わせて一元管理できます。自社の業務に合わせた認証方法を選択できることで、情報漏えいリスクを大幅に下げられます。

コスト軽減

社内の部署のみでセキュリティ強化を図る場合、システム構築・運用などに多大なコストがかかります。また、専門知識を持った人材を確保するための人件費や外部に委託する外注費用も合わせて発生します。

クラウドサービスであるIDaaSを利用すれば利用料のみに抑えられるため、大幅なコスト軽減が実現可能です。

5.IDaaS選びの4つのポイント

IDaaSは社内システムのハブとして利用するため、安全に長く使えることが重要です。セキュリティ強度や有事の際のサポート体制はもちろんのこと、社内システムへの拡張性や費用面も見逃せません。IDaaSを選ぶ際は、この章で紹介する4つの項目を確認しながら慎重に進めてください。

システムの拡張性

IDaaSに連携できるアプリケーションやクラウドサービスの中に、自社で利用しているシステムが含まれているか確認しましょう。特にIDaaSは、海外企業が開発したサービスも多く、日本企業のシステムに対応しきれていない場合があります。

1つでも社内で利用するシステムに対応していないと、社員はそのシステムのみ別IDでログインする手間が発生します。導入後に気づいた場合、対応していないシステムとIDaaSのいずれかを変更する事態となるため、事前の確認が重要です。

運営会社の信頼性

IDaaS上で社員のID・パスワード情報を管理するため、サイバー攻撃を受けた際にセキュリティが万全でないと、情報漏えいのリスクが発生します。そのため、運営会社やシステムの安全性や信頼性の確認が欠かせません。サービス停止になった場合、再度基盤を整えないといけないため、長く使える観点でも重要です。

導入前に以下の項目を確認することで、安全性の目安を図れます。

• 外部監査を受けているか
• 第三者機関の認定はあるか
• 提供ユーザー数や企業数は多いか
• サービス提供期間は長いか
• 開示レポートはあるか、中身は問題ないか
• 障害発生回数は少ないか
• サイバー攻撃の履歴や対処方法に問題はないか

ID・パスワードが漏れることで、重要な情報漏えいにつながる可能性もあります。運営会社の信頼性は、丁寧に確認するようにしましょう。

サポート体制

IDaaSは社内システム認証の基盤です。問題発生時にサポートを受けられるまでの速度や質は、社員が円滑に業務を続ける上で重要な観点です。そこで、以下の3つのポイントを中心に確認しましょう。

• サポートを受けられる時間帯
• 連絡手段
• 対応者

サポートを受けられる時間帯が長ければ、業務時間内に解決できる可能性が上がります。また、対応曜日も合わせて確認しておくことで、シフト制の企業なども安心です。IDaaS運営会社が海外企業の場合、日本時間で確認することも忘れないようにしましょう。

連絡をする際、メールや電話・チャットなどの方法が考えられます。複数の手段を使い分けられる場合は、、緊急度や時間帯に合わせて利用しましょう。

また、運営会社の社員がサポートを担当してくれるかも重要です。サポート業務を外部に委託している場合があり、回答までに時間がかかるケースもあります。窓口が受付専用のスタッフの場合は担当者と直接やり取りできない可能性があるため、事前に対応者も確認しておきましょう。

費用プラン

IDaaSは基盤システムであり、長期的に利用していく前提で導入します。そのため、費用はできる限り抑えたいところです。また細かな条件も多く、導入を決めた後に予想外の費用がかかると、予算オーバーになる可能性があります。事前に費用とプラン内容については、しっかりとチェックしておきましょう。

• 契約期間
• 最低人数や利用費用
• 標準プランの内容
• オプション内容と費用
• サポート費用

これらの項目をあらかじめ確認しておくことで、複数のサービスを比較検討しやすくなります。

6.ネットワークと端末の情報セキュリティ対策を行うのが有効

IDaasを導入すれば社内のセキュリティ強化が実現します。しかし、すべての情報セキュリティ対策が万全になる訳ではありません。IDaas導入と合わせて、複数の対策をすることがサイバー攻撃から企業を守ることに繋がります。

IDaas以外の情報セキュリティ対策を行うなら、ネットワークと利用端末・デバイスの対策を同時に行うことが有効です。NTT東日本の「おまかせサイバーみまもりセキュリティパッケージ」を利用し、プロに見守ってもらうことで万全の体制を目指しましょう。

「おまかせサイバーみまもりセキュリティパッケージ」の詳細はこちら

7.まとめ

IDaaSを活用することで、社員の生産性向上とセキュリティリスクの減少が可能です。特に利用システムが増える中で、テレワークの普及や雇用の多様化が起きている現代においては必要不可欠なサービスと言えます。

ただし、IDaaSを導入するだけで情報セキュリティ対策が万全とは言い切れません。適切にIDやパスワードの管理を行っても、思わぬサーバー攻撃を受ける可能性は存在します。

不正通信の検知や侵入対策を行うためには、NTT東日本の「おまかせサイバーみまもりセキュリティパッケージ」がおすすめです。IDaaSの導入と合わせることで、セキュリティレベルをさらに強化し、不測の事態に備えましょう。

「おまかせサイバーみまもりセキュリティパッケージ」の詳細はこちら

関連サービス

資料ダウンロード

関連するコラム

• コラムをもっと読む