ITトレンドがおすすめする製品・サービス
- ■AIや自動分析の活用範囲別
- 通常と異なるアクセスや操作の検知：Okta Workforce Identity、特権アクセス管理ソリューション、NTTセキュリティ・ジャパン株式会社の特権アクセス管理
- 操作録画の確認を支援する機能：NTTセキュリティ・ジャパン株式会社の特権アクセス管理、SecureCube Access Check
- 申請内容と実際のアクセスの照合：iDoperation (アイディーオペレーション)、SecureCube Access Check、ESS AdminONE、ESS AdminControl
- ■管理できる特権の対象別
- サーバーやデータベースの管理者アカウント：iDoperation (アイディーオペレーション)、ESS AdminONE、Okta Workforce Identity、NTTセキュリティ・ジャパン株式会社の特権アクセス管理、Aegis Wall
- クラウドサービスの管理者アカウント：iDoperation (アイディーオペレーション)、ESS AdminONE
- システム間で使う認証情報の保護：特権アクセス管理ソリューション
特権ID管理でAIが活用される場面
特権ID管理でAIが活用されるのは、主に人の目だけでは確認しきれない量の記録を扱う場面です。まずは特権ID管理の基本と、監査で生じやすい負担を整理しておきましょう。
特権IDの管理と監査の基本
特権IDとは、サーバーやデータベース、ネットワーク機器などで、設定の変更やデータの削除ができる強い権限を持つアカウントです。悪用されたり誤って操作されたりすると、情報の漏えいやシステムの停止につながるおそれがあります。
そのため特権ID管理ツールでは、使う人と期間を申請と承認で限定し、パスワードを利用者に見せずに貸し出し、操作の記録や画面の録画を残す仕組みが使われます。残した記録を後から確認し、申請どおりの作業だったかを点検する監査までを一連の流れとして運用することが大切です。
人の確認だけでは追いつかない記録の量
特権IDの利用が増えると、操作ログの行数や録画の時間も増え、監査担当者がすべてを見るのは難しくなります。抜き取りで確認する運用では、確認しなかった記録に問題が含まれていても気づけない可能性があります。
AIや統計的な分析は、こうした大量の記録から「いつもと違う」ものを選び出し、人が確認すべき対象を絞り込む用途で使われています。すべての記録を自動で判定するというより、確認の優先順位をつけて監査の手間を減らす道具と考えるとよいでしょう。どこまで自動化できるかは製品によって異なります。
AIによる操作ログと録画の監査支援
AIによる監査支援には、アクセスの傾向から異常を見つける方法と、操作の内容や録画を分析する方法があります。それぞれ何を手がかりにしているのかを知っておくと、製品の資料を読む際に比べやすくなります。
アクセスの傾向から異常を見つける
代表的なのは、特権IDを使う人ごとのふだんの傾向と比べ、外れた利用を知らせる方法です。例えば、普段は平日の日中に使う担当者が深夜に接続した場合や、使ったことのない端末や接続元から入った場合が対象として挙げられます。
短時間に多くのサーバーへ接続した、普段は扱わないデータベースにアクセスしたといった動きも手がかりです。異常と判断された接続をすぐ管理者に通知する、接続を一時的に止めるといった対応ができる製品もあるため、検知後に何ができるかもあわせて確認しましょう。通知の宛先を複数人にしておくと、担当者の不在時にも対応が滞りにくくなります。
操作の内容や録画の確認を支援する
操作の内容に注目する方法では、データの一括削除や権限の変更、ログ設定の無効化など、影響の大きいコマンドや操作を見つけて知らせます。申請した作業内容と実際の操作を照らしあわせ、申請にない操作を目立たせる仕組みを持つ製品もあります。
画面の録画については、AIが動画ログの監視を支援するオプションを用意している製品もあります。長い録画をすべて見る手間を減らせる可能性があるため、監査の時間を短くする手段として検討できます。ただし、録画から読み取れる情報には限りがあるため、操作ログとあわせて確認する運用が望ましいでしょう。対応する記録の形式や接続方式は製品ごとに確認が必要です。
AIを使う特権ID管理で人が担う判断
AIによる検知は便利な一方、判定を誤ることもあります。特権IDの監査では、最終的に問題があったかどうかを人が判断し、その理由を説明できる状態にしておくことが求められます。
誤検知と見逃しへの備え
AIの判定では、正常な作業を異常と判断する誤検知と、問題のある操作を見逃すことの両方が起こり得ます。障害対応で深夜に作業した、新しいシステムの構築で普段と違う操作が続いた、といった場合は誤検知が増える可能性があります。
誤検知が続くと通知が軽視されやすくなるため、導入初期は検知の結果を確認しながら、例外の登録や判定の厳しさを調整していきましょう。一方、AIが知らせなかった記録にも問題が含まれる可能性はあるため、重要なシステムでは申請との照合や定期的な抜き取り確認も続けることが大切です。
判定の根拠を確認できるか
AIが異常と判断したとき、その理由が分からなければ、担当者への確認や監査の報告で説明が難しくなります。どの記録の、どの点が普段と違ったのかを、管理画面やレポートで確認できるかは製品を比べる際の重要な項目です。
また、検知の結果を誰が確認し、問題なしと判断したのか、対応が必要と判断したのかを記録できるかも見ておきましょう。確認の記録が残れば、監査の担当者が替わっても判断の経緯を引き継げます。確認作業を特定の担当者だけに任せず、複数人で分担できる体制にしておくことも大切です。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）で特権ID管理ツールの一括資料請求が可能です。浮いた時間で、じっくりと製品の比較検討を進めましょう。
AIエージェントや自動処理に渡す特権の管理
AIの活用が進むと、AIエージェントや自動処理の仕組みがシステムを操作する場面が増える可能性があります。これらに渡す認証情報も、人の特権IDと同じように管理の対象として考える必要があります。
人以外が使う認証情報の洗い出し
AIエージェント（指示を受けて操作を自動で進めるAI）や、システム間の連携、定期的に動く処理は、APIキーやサービス用のアカウントを使ってシステムに接続します。これらの中には、強い権限を持ったまま長期間変更されていないものがある可能性があります。
プログラムの設定ファイルにパスワードやキーが直接書かれていると、ファイルが漏れたときに悪用されるおそれがあります。特権ID管理ツールの中には、こうした認証情報を保管庫で管理し、プログラムが必要なときだけ取り出せるようにする機能を持つものがあります。まずは、人以外が使う認証情報を一覧にし、用途と管理者を明らかにしましょう。
権限を絞り期限と記録で管理する
AIエージェントに渡す権限は、作業に必要な範囲だけに絞ることが基本です。読み取りだけで済む作業に、変更や削除ができる権限を渡さないようにしましょう。
あわせて、キーやパスワードを定期的に変更する、使える期間を区切る、接続元を限定するといった管理を組み合わせます。AIが行った操作も人と同じように記録を残し、どの指示によって処理が動いたのかを後から確かめられるようにしておくことが大切です。影響の大きい操作は、実行前に人の承認を挟む運用も検討しましょう。
AI搭載の特権ID管理ツールを使う前の準備と運用のコツ
AIによる分析は、元になる記録や管理の情報が整っていて初めて役に立ちます。AI機能のある製品を選ぶ前に、自社の特権IDと記録の状態を確認しておきましょう。
特権IDの棚卸しと利用ルールの整理
まず、どのシステムにどの特権IDがあり、誰が使っているのかを棚卸しします。退職者や異動者のアカウント、複数人で共有しているアカウント、使われていないアカウントが残っていないかを確認しましょう。
あわせて、特権IDを使える作業の範囲、申請と承認の流れ、緊急時の扱いといった利用ルールを整理します。ルールが決まっていないと、AIが何を「普段と違う」と判断すべきかの基準も定まりません。棚卸しの結果は、AI機能を試す際の対象選びにも活用できます。棚卸しは一度で終わらせず、半年や1年など時期を決めて繰り返しましょう。
記録の集め方と保存期間の確認
AIが分析できるのは、特権ID管理ツールが記録として集めた情報だけです。対象のサーバーやクラウドサービスへの接続が、ツールを経由して記録されているかを確認しましょう。ツールを通らない接続経路が残っていると、その操作は分析の対象外になる可能性があります。
ログや録画の保存期間、保存先の容量、SIEM（ログを集めて分析する仕組み）へ転送できるかも確認したい項目です。検証環境やAI機能の試用で、自社の記録でどのような検知結果が出るかを試してから本格的に使うと、運用の負担を見極めやすくなります。
AI搭載の特権ID管理ツールを比較するポイント
特権ID管理ツールのAI機能は、分析できる記録の種類や通知の仕組みが製品ごとに異なります。次の3点で比べましょう。
AIが分析できる記録の種類
操作ログ、操作録画、アクセスの傾向のうち、どれをAIの分析対象にできるかを確認します。異常な操作を見つける機能なのか、録画の内容確認を支援する機能なのかによって、監査の負担が減る場面は変わります。
サーバーやデータベース、クラウドなど、自社が管理したい対象機器を分析できるかも比べる点です。記録の保存形式や保存期間が分析の対象になるかも、あわせて確認しておきましょう。
判定の根拠と通知の設定
AIが異常と判断した理由を、監査担当者が確認できるかを比べます。根拠が分からないと、誤検知かどうかを判断できません。
通知の条件や宛先を設定できるか、申請・承認のワークフローと連携できるかも確認しましょう。通知が多すぎても見落としにつながるため、絞り込みの設定ができると運用しやすくなります。設定を変えた場合に、変更前との違いを比べられるかも確認しておくと、見直しの際に役立ちます。
人以外の認証情報の管理と費用
AIエージェントや自動処理が使う認証情報を、人の特権IDと同じように管理対象にできるかを確認します。期限つきで貸し出せるか、操作を記録できるかも比べる点です。
AI機能が標準で使えるのか、オプションなのかによって費用の条件も変わります。管理する特権IDの数や対象機器を伝えて、見積もりを依頼しましょう。製品ごとに管理できる認証情報の種類が異なるため、自社で使っている自動処理が対象に入るかを事前に洗い出しておきましょう。
AI機能搭載の特権ID管理ツール一覧
この記事で紹介する特権ID管理ツールのうち、AI機能を確認できる製品を一覧にまとめました。AIが担う範囲や機能の違いを比較してください。
| 製品名 | 特徴 |
|---|---|
| NTTセキュリティ・ジャパン株式会社の特権アクセス管理 | UEBA連携で特権ID利用者の通常と異なる振る舞いを把握。録画の再生にも対応 |
| SecureCube Access Check | 申請情報とログを一元管理。AI動画ログ監視支援のオプションがある |
AI機能搭載の特権ID管理ツールの紹介
ここでは、AI機能を備えた特権ID管理ツールを紹介します。AIが担う範囲と、対応する業務や機能を確認し、自社の課題にあう製品を選びましょう。
NTTセキュリティ・ジャパン株式会社の特権アクセス管理
- ユーザー・特権ID管理と多要素認証、IP制限によるログイン制御
- ブラウザ/sshで特権ID利用可。端末/機器にインストール不要
- ユーザー別にコマンドの実行可否及びアクセスのURL制御が可能
NTTセキュリティ・ジャパン株式会社が提供する「NTTセキュリティ・ジャパン株式会社の特権アクセス管理」は、SMART Gatewayを用いた特権アクセス管理で、導入作業も含めて提供されます。操作ログは動画またはテキストで記録でき、倍速再生やヒートマップ表示で操作のタイミングを確認できます。ログをsyslogで転送し、マネージドUEBAと連携すれば、特権ID利用者の通常と異なる振る舞いや不審なアクセスの検知に生かせます。ブラウザやsshで特権IDを利用でき、端末や機器へのインストールは不要です。
SecureCube Access Check
- 今求められる特権ＩＤ管理を短期間かつ低コストで実現
- 延べ700社以上に導入、市場シェアNo.1※
- 純国産・自社開発製品のため保守・サポート体制も充実
NRIセキュアテクノロジーズ株式会社が提供する「SecureCube Access Check」は、エージェントレスのゲートウェイ方式の特権ID管理製品です。特権IDの申請情報とアクセスログ、操作ログをまとめて管理できます。申請と実際の操作を照合しやすく、必要なログもすぐに探せるため、監査業務の支援に使えます。TELNETやSSHの操作ログではコマンドの検知ができ、ファイル転送を含む通信から個人情報などの重要情報を検知する機能もあります。AWS上のマネージドサービスとしても提供され、オプションにはAI動画ログ監視支援も用意されています。
AI機能以外の目的で選ぶ特権ID管理ツール
ここでは、AIによる操作ログ・録画の監査支援以外の機能に着目して、特権ID管理ツールを紹介します。AI機能の有無や対応範囲は製品によって異なるため、詳細は資料で確認してください。
| 製品名 | 特徴 |
|---|---|
| Okta Workforce Identity | AIがログイン後も脅威を監視。特権アクセスの申請自動化に対応 |
| 特権アクセス管理ソリューション | 想定外の特権ID利用をリアルタイムに検知し、セッション切断にも対応 |
| ESS AdminONE | 申請内容とログイン履歴を照合し、不審なアクセスを報告 |
| iDoperation (アイディーオペレーション) | 申請情報とアクセスログの突合で、申請のない不正アクセスを自動検出 |
| ESS AdminControl | 特権ID貸出の申請と、ログイン履歴の突合レポートに対応 |
| Aegis Wall | AWSやオンプレミスのサーバー・DBへのアクセス制御と操作ログ監視を支援 |
Okta Workforce Identity
- 特権アクセスへの申請自動化、特権アカウントの保管と保護
- 統合プラットフォーム上で特権ID管理やアクセス管理等一元管理
- 監査ログおよびセッション録画でより安心に
Okta Japan株式会社が提供する「Okta Workforce Identity」は、特権アクセスの管理にも使えるクラウド型のIDサービスです。クラウドとオンプレミスのサーバーに対し、必要なときに必要な権限を付与するJust-In-Timeの運用を中央で管理できます。多段承認や申請理由、承認期限を設定でき、サーバー操作の記録とセッション録画で事後確認にも対応します。AIがログイン後も継続的に脅威を監視する機能を提供しており、AIエージェントなど非人間のIDを含めて管理したい企業の候補です。
特権アクセス管理ソリューション
- 著名企業でのセキュリティインシデントの頻発により需要急拡大
- CyberArkは特権ID管理の分野でのグローバルリーダー
- 川崎重工業のリアルフィールドで培った構築/運用ノウハウ
ベニックソリューション株式会社が提供する「特権アクセス管理ソリューション」は、CyberArk製品を提供する特権アクセス管理のソリューションです。パスワードの暗号化保管や、踏み台サーバーを経由したアクセスセッションの提供、操作を動画で残すログ記録を備えています。想定外の特権ID利用をリアルタイムに検知して通知し、セッションの切断や一時停止、パスワードの強制変更を自動で行う機能もあります。ハードコードされたID・パスワードをなくし、認証情報を安全に提供する機能にも対応しています。
ESS AdminONE
- 特権ID管理のあるべきプロセスを実現！必要十分な機能を搭載
- あらゆるシステムをパスワードレスで一元的に管理可能！
- 安心してお使いください！サポート期限を設けない永久サポート
エンカレッジ・テクノロジ株式会社が提供する「ESS AdminONE」は、申請承認ベースとポリシーベースのアクセス許可を併用できる特権ID管理ツールです。特権IDによる操作は動画とテキストで記録され、対象システムのログイン履歴を定期的に収集して照合し、不審なアクセスの有無をレポートで確認できます。オンプレミスやクラウド、SaaS、ネットワーク機器など幅広いシステムを管理対象にでき、REST APIによる外部システムやRPAとの連携にも対応しています。
iDoperation (アイディーオペレーション)
- 特権ID管理に必要な機能をすべて提供します。
- 純国産・使いやすいUIで、監査対応実績100%を実現します。
- OS、DBからクラウドまで幅広い管理に対応します。
NTTテクノクロス株式会社が提供する「iDoperation (アイディーオペレーション)」は、特権IDの一時的な貸出しをワークフローで管理できる特権ID管理ツールです。貸出時にはクライアントでパスワードを隠せます。管理対象のシステムからエージェントレスでアクセスログを集め、申請情報と照合して申請のないアクセスを自動で見つけられます。OSやデータベースに加えてAWSやAzureなどクラウドサービスの特権IDにも対応します。英語のUIも用意されており、グローバルな環境の運用にも向きます。
ESS AdminControl （エンカレッジ・テクノロジ株式会社）
- 1000台以上のサーバーがある大規模な環境にも対応可能
- 業務特性による複雑な運用上の要求にも柔軟に対応
- さまざまな点検、監査のレポート・テンプレートを標準装備
Aegis Wall （NHN テコラス株式会社）
- 特権ID管理と操作ログで内部統制を支援します。
- AWSやオンプレミスなど多様な環境に対応。
- PCI DSS準拠の対策から審査・維持までを一貫サポート
まとめ
特権ID管理ツールのAI活用は、操作ログや録画の監査を助ける使い方と、AIエージェントや自動処理に渡す特権の管理という2つの面で考えると整理できます。AIは確認すべき記録を絞り込む道具として使い、誤検知や見逃しに備えて判定の根拠と人の確認を残すことが大切です。まずは特権IDの棚卸しと記録の集め方を確認しましょう。資料請求で特権ID管理ツールの分析機能や管理対象を比較し、自社に適した製品を選んでください。
