攻撃者はIDの種類を区別しない ― だから、すべてのIDを守るという発想
明確なセキュリティ対策の方針やロードマップが存在しない企業や、担当はしているが全体整理できないでいるという状況の方もあるだろうと思います。そんな方のまず最初の一歩となればと思います。
はじめに
サイバーセキュリティの世界には、長らく「攻撃側が絶対的に有利」という常識があります。攻撃者は数ある標的から好きな相手を選び、何度失敗しても一度成功すればいい。一方の防御側は、いつどこから来るか分からない攻撃に対して、常に100%守り続けなければならない。この非対称性こそが「攻撃者優位」の根拠でした。
けれど、この有利・不利は主に侵入の局面の話です。視点を変えると、防御側にも本質的な強みがあります。守るべき環境を管理・制御しているのは自分たちだ、という強みです。Mandiantの創設者ケビン・マンディアの言葉を借りれば「どんな攻撃者よりも、自社のシステムやインフラを把握しているのはあなた自身のはず。これは極めて大きな優位性だ」。この考え方は「Defender's Advantage(防御側の優位性)」と呼ばれます。
では、その優位性を最も効率よく発揮できる場所はどこか。私は、それがID管理(=入口)だと考えています。そしてもう一歩踏み込んで言えば、大事なのは「最強のID管理」を追うことではなく、人間か非人間かを問わず、すべてのIDを対等に守るという原則に立ったうえで、自組織に合致したID管理を設計することだと思っています。この記事では、その理由を一般論として整理してみます。
攻撃の主戦場は、すでに「入口=ID」に移っている
まず、実態を数字で確認します。近年のレポートが一様に指し示しているのは、攻撃の入口が「システムを破る」から「正規のIDでログインする」へ移ったという事実です。
Microsoftは2025年のレポートで、この状況を「攻撃者は侵入しているのではなく、サインインしている」と表現しました。同社によれば、ID攻撃の97%以上がパスワードを狙ったもので、IDベースの攻撃は2025年上半期だけで32%増加しています。別のセキュリティ企業の年次調査でも、ランサムウェアの侵入経路はフィッシングが約45%で最多、これに窃取された認証情報が続き、いわゆる「脆弱性の悪用」は1割程度にとどまりました。国内でも、警察庁のデータではランサムウェア被害の侵入経路の大半がVPN経由とされていますが、その本質の多くは「VPNの認証情報が盗まれ、突破された」というID問題です。
要するに、攻撃者はわざわざ壁をよじ登らず、鍵を拾って正面玄関から入ってくる。だとすれば、防御側が最初に本気で固めるべきは、その玄関=IDです。
なぜIDが「防御側優位」を活かせる要なのか
ID管理が要になる理由は、単に狙われているからだけではありません。防御側にとって投資対効果が突出しているからです。
多くのレポートが、フィッシング耐性のある多要素認証(MFA)を導入すればIDベース攻撃の99%以上を防げると報告しています。ネットワーク全体の再設計やレガシーシステムの刷新は年単位・巨額の投資になりますが、認証の強化は相対的にずっと少ないコストで、攻撃者の侵入の難易度を桁違いに引き上げられます。つまりIDは、防御側が持つ「制御力」という優位性を、最も安く・最も速く現実の防御力に変えられるレバーなのです。
DX時代の主要な設計思想であるゼロトラスト(「決して信頼せず、常に検証する」)も、その背骨はIDです。ネットワークは分割でき、端末は堅牢化できる。けれどIDが破られれば、それらすべてが意味を失う。だからこそ「入口=IDの要」という発想は、単なる一対策ではなく、防御戦略全体の起点になり得ます。
IDに、人間も非人間もない
ここで私の考えの核心を書いておきます。私が「ID管理が要だ」と言うとき、その「ID」は人間のアカウントだけを指していません。人間か非人間かを問わず、システムにアクセスするすべての主体=すべてのIDを、等しく最も強化すべき対象と捉えるべきだ、というのが私の立場です。
なぜなら、攻撃者はIDの種類を区別しないからです。彼らにとって価値ある権限に到達できる「鍵」であれば、それが従業員のログインであろうと、APIキーであろうと、サービスアカウントであろうと、まったく同じ標的です。むしろ非人間のIDの方が、多要素認証をかけにくく、棚卸しもされず、使われなくなっても消されずに残り、監視の目も届きにくい。攻撃者から見れば、人間より非人間のIDの方が"狙い目"であることすら少なくありません。
いまや多くの組織では、API・サービスアカウント・ボット・IoT機器といった非人間のIDが、人間のIDを10倍近く上回るとも言われます。DXで自動化やシステム連携が進むほど、この見えにくいIDは爆発的に増えていきます。にもかかわらず、多くの組織はいまだに人間のIDばかりを守り、非人間のIDを"インフラの一部"として無防備なまま放置している。ここに決定的な穴があります。
思い出してほしいのは「攻撃者は手薄な経路を選び、防御側は全経路を守らねばならない」という非対称性です。防御側が人間のIDだけを固めても、攻撃者は必ず手薄な非人間のIDへ回り込みます。だからこそ、防御側もまたIDに人間・非人間の区別を持ち込んではいけない。すべてのIDを対等に、最重要の管理対象として扱う――これが、防御側の優位性を本当の意味で活かす前提条件だと私は考えます。
ただし、IDは「万能の要」ではない
一方で、正直に書いておきたいことがあります。「IDさえ固めれば安心」という考えは、かえって危険だということです。
まず、MFAは突破されます。攻撃者は、フィッシングでパスワードとMFA承認をリアルタイムに中継し、認証後のセッション情報(クッキー)を盗む手口を確立しています。これを使うと「パスワードもMFAも正しく通したのに乗っ取られた」ことが起こります。だからこそ、単なるMFAではなく、フィッシングに強いMFA(パスキーなど)であることが重要になります。
次に、IDは境界そのものではありません。SANSはこの点を鋭く指摘しています。IDは「誰がリクエストしているか」を示すものであって、「どこで検証・防御を行うか」という境界とは別物だ、と。IDは境界を通過する主体にすぎません。だから、入口を突破された後に被害が横に広がるのを防ぐ仕組み(最小権限、通信の分割、認証後の継続的な検証)と、必ずセットで設計する必要があります。入口だけ堅牢で内部が無防備だと、一度破られた瞬間に全滅します。
つまり、すべてのIDを守るという原則は、認証後の防御と一体で初めて意味を持ちます。IDは防御の出発点であって、終着点ではないのです。
だから結論は、「自組織に合致したID管理」
ここまで来ると、なぜ「最強のID管理」ではなく「自組織に合ったID管理」なのかが見えてきます。
大前提として、守るべきIDに人間も非人間もない――この原則は、どの組織にも共通します。ここは揺らがせるべきではありません。ただし、その原則をどう実装するかは話が別です。現実には、すべてのIDを同時に最高強度で守ることは、予算や人員の制約から不可能です。だからこそ、原則としてはIDの種類を区別しないが、実際にどこから着手するかは自組織のリスクで決める。この二段構えが実務では欠かせません。
ID管理には唯一の正解がありません。守るべきものの性質、クラウドとオンプレの比率、ユーザー数、外部委託先の広さ、扱うデータの重要度、そして何より予算と運用体制。これらは組織ごとにまったく違います。金融機関のクラウンジュエルを守るID設計と、小規模事業者が現実的に回せるID設計は、同じであるべきではありません。ベストプラクティスをそのまま輸入しても、運用が回らなければ「導入したのに守れていない」状態になるだけです。
自組織に合致したID管理とは、次のような問いに自分たちの答えを持つことだと考えます。人間・非人間を含め、自分たちにはどんなIDがどれだけ存在するのか(まず棚卸しできているか)。その中で、突破されたとき最も被害が大きいIDはどれか。どこまでのMFAなら現実に使い続けられるか。認証を突破された前提で、被害の広がりをどこで止めるか。誰が、これらを回し続ける運用と予算を担うのか。
「攻撃者は手薄な経路を選び、防御側は全経路を守らねばならない」という非対称性の本質は、実はここに繋がります。攻撃者が突く手薄な経路がどこかは、組織ごとに違う。だから守り方も、他社の正解ではなく、自組織の弱点に合わせて設計するしかない。すべてのIDを対等に守るという原則を掲げつつ、その着手順は自分たちのリスクで決める――ID管理は「防御側優位を活かす最初の一手」であると同時に、その一手を自分たちの形に仕立てられるかどうかが、優位性を本当に手にできるかの分かれ目なのだと思います。
最後に
攻撃はもう、壁を破る戦いではなく、鍵をめぐる戦いになりました。そして攻撃者は、その鍵が人間のものか非人間のものかを問いません。だからこそ、防御側もすべてのIDを対等に、最重要の管理対象として捉える。そのうえで、フィッシング耐性・認証後の防御まで含め、自組織の実情に合わせて優先順位をつけて設計していく。
高価なツールを揃えることがゴールではありません。自分たちにはどんなIDが存在し、その中で何を最優先で守るべきで、どこまでなら無理なく守り続けられるのか。それを自分たちの言葉で定義すること。それこそが、これからのID管理の出発点なのだと思います。
