アイデンティティ（ID）のライフサイクル管理「IGA」と特権アクセスの適正化
確認時の注意：事例の報道内容や影響範囲は更新される可能性があります。公開時点の一次情報、公式発表、脆弱性情報を確認し、環境の所有者の承認とバックアップを準備してから対策を適用してください。
【背景と概要】
組織内でクラウドサービス（SaaS/IaaS）の利用が増大した結果、従業員一人ひとりが保持するアカウントや権限の数は膨大になりました。人事異動やプロジェクトの完了、退職に伴う権限変更の処理が追いつかず、不必要なアクセス権限（過剰な特権や離職者の残存アカウント）が放置されることが大きなセキュリティリスクとなっています。
これらのアカウントのライフサイクルを自動化し、ガバナンスを効かせる仕組みが「IGA（Identity Governance and Administration）」です。
【権限管理の不備が引き起こす構造的リスク】
手動管理による限界が、内部不正や不正アクセスの引き金となります。
- 「権限のクリープ（Privilege Creep）」現象
部署移動や昇進を繰り返す中で、過去の部署で使っていた古いアクセス権限が削除されず追加され続けることで、最終的に一人のユーザーが不自然に巨大なアクセス権限を保持してしまう現象です。攻撃者にこのアカウントが奪われると、被害が全社へ拡大します。
- 退職者アカウントの削除漏れ
IdPや個別SaaS（GitHub、Salesforce等）でのアカウント削除が漏れ、退職後も元従業員が自宅からアクセス可能な状態が続く事例です。競合他社への情報持ち出しなどに悪用されます。
- 監査・コンプライアンス要件への不適合
「誰がどのシステムにどのような理由でアクセス権を持っているか」を定期的に確認・証明できず、J-SOXやSOC2などのセキュリティ監査で指摘を受ける事例です。
【IGAが提供するソリューション】
アイデンティティのライフサイクル自動化と、定期的な承認ワークフローを提供します。
- プロビジョニングの自動化：
人事データベース（SmartHRやWorkday等）と連動し、入社・異動・退職のイベントに合わせて、IdPや各SaaSへのアカウント作成・権限変更・削除（Provisioning / Deprovisioning）を自動で実行します。
- アクセス認証（Access Certification）：
定期的にシステム管理者や部署責任者に対して「このユーザーに現在の権限が本当に必要か」を再確認・承認させるワークフローを自動配信します。
【導入に向けた実務ポイント】
人事プロセスとの完全な自動連携とロール（Role）の標準化が推奨されます。
- 人事システムを「唯一の正しい情報源（Source of Truth）」とする
IT部門が手動でアカウント作成・削除を行う運用を廃止し、人事データが更新された瞬間にAPI経由で即座にアクセス権が更新・無効化される仕組みを整備します。
- 最小権限ベースの役割（RBAC）設計
部署や職種ごとに必要最低限の権限パッケージ（Role）を定義し、個別の特例措置を極力排除する運用へシフトします。