企業の情報漏洩を防ぐ！クラウド時代を生き抜く『IBM Security Verify』
投稿者：セキュリティ＆ネットワーク事業本部 セキュリティ担当 石井
はじめに
こんにちは。セキュリティ担当の石井です。
近年、クラウド技術やSaaSの急速な普及に伴い、企業の業務インフラが劇的に変化しています。「IBM Security Verify」は、最新のクラウドセキュリティにおいて求められるセキュリティ要件を満たしながら、柔軟で効率的なアクセス管理を可能にする革新的なソリューションです。本記事では、クラウド利用におけるセキュリティ課題を整理した上で、IBM Security Verifyの具体的な機能やその導入メリットについて詳しくご紹介します。
目次
1.クラウドサービスを利用する際のセキュリティリスクとその課題
ある大手企業がSaaSを利用する際、リスク要素を十分に考慮しないセキュリティ設計と運用が、情報漏洩事件を引き起こす一因となりました。同社はクラウド上で複数のサービスを運用していましたが、唯一の認証手段として従来型のID/Password認証を利用しており、多要素認証（MFA）が導入されていない状況でした。
その結果、従業員がフィッシング攻撃に遭い、認証情報が不正に取得されてしまいました。この攻撃者は、盗まれた認証情報を用いてシステムに不正アクセスし、顧客情報や取引データを流出させる深刻な被害をもたらしました。
この事例のようにクラウドサービスを利用する環境では、以下のようなセキュリティ課題が特に顕著に存在しています。
＜SaaS利用上のリスク＞
従来のオンプレミス型（社内設置型）のシステムでは、アクセス制御を統一管理しているケースが多いですが、各SaaSプロバイダーは個別にアクセス制御の仕組み（例：ログインやユーザー管理）を提供しています。このため、複数のSaaSを導入している場合、認証情報やアクセス制御が分散してしまい、統一的な管理が難しくなります。
また各SaaSにログインするための認証情報をユーザーが管理する負担が増大します。ユーザーが数十のログイン情報を覚えきれず、パスワードを書き留める、あるいは簡単なパスワードを使い回してしまうことで、攻撃者によるハッキングリスクが大きくなります。攻撃者が認証情報を使えば自由にSaaS内の重要データにアクセスできてしまいます。
さらに各サービスで別々の認証情報（ユーザー名やパスワード）を設定して管理する必要があるため、ユーザーや管理者にとって煩雑になります。たとえば、あるSaaSでは複雑なパスワードが推奨されている一方、別のSaaSでは要件が緩かったりするなど、異なる認証要件がある場合、セキュリティポリシーに一貫性がなくなる問題があります。
＜ID/Password依存の脆弱性＞
従来のシングル要素認証（ID/Password）がもたらすセキュリティリスクは深刻です。簡易なパスワードや使い回しのパスワードが原因で、不正アクセスの対象となるケースが増えています。パスワードの複雑性を向上させることは可能ですが、それだけでは多様化する攻撃手法への十分な対応は困難です。
＜高度な攻撃への脆弱性＞
ランサムウェアやフィッシング攻撃をはじめ、高度化したサイバー攻撃が企業を標的とするケースが急増しています。攻撃者は単純な認証部分を突破するだけでなく、振る舞い分析を利用してリアルタイムで侵入を試みるのが一般的です。これに対抗するには、動的にリスク判定を行う機能が欠かせません。
これらの課題に対処するため、「IBM Security Verify」は高度かつ柔軟な認証基盤を提供し、企業を取り巻くセキュリティリスクを低減します。
2.IBM Security Verifyのご紹介
「IBM Security Verify」は、クラウド環境での認証管理を効率化し、セキュリティを強化するために設計された包括的なソリューションです。
【主要機能】
＜多要素認証（MFA）＞
さまざまな認証方法をサポートしています。例えば、ワンタイムパスワード（OTP）、プッシュ通知、SMS、Eメール、または生体認証などといった認証手段の柔軟な選択が可能です。さらにユーザーのスマートフォンにプッシュ通知を送信し、ワンタップで認証を行うプッシュ通知認証を利用できます。この仕組みによって迅速なアクセスを提供します。また、ユーザーの行動やアクセスするデバイス、場所などを基にリスクを評価し、高リスクに対してのみ追加認証を要求するリスクベースの認証といった仕組みが用意されています。
＜適応型アクセス制御（Adaptive Access: A2）＞
適応型アクセス制御（Adaptive Access: A2）は、ユーザーがシステムやサービスにアクセスを試みるときに、リアルタイムでその「リスク」を評価し、アクセスの許可や追加認証の要求を動的に行う機能です。
この技術は、従来の一律的なアクセス制御ではなく、以下の要素を考慮に入れてアクセスを管理します。
①ユーザーの行動パターン
②アクセスするデバイス
③アクセス元の場所（地理的情報）
④ネットワーク状況（例: VPNの利用やIPアドレス情報）
⑤時間帯
上記の要因に基づき、リスクスコアを生成し、状況に応じた柔軟な対応を可能にします。
このスコアに基づき、安全性が低いと判断された場合は追加の検証（例：多要素認証）を求めたり、アクセスを拒否したりすることができます。またユーザーの過去のアクセス履歴（例: 通常ログインする時間や場所、使用デバイス）をAIが学習し、それに基づいて「正常な行動」と「異常な行動」を区別します。
このように各アクセス試行にはリスクスコア（低リスク～高リスク）が付与され、このスコアに応じて組織が事前に定義したポリシーを動的に適用します。
リスクが低い場合：通常通りアクセスを許可。
中程度のリスクの場合：多要素認証（MFA）を要求。
高リスクの場合：アクセスを拒否。
＜SaaSアクセスのセキュリティ保証＞
シングルサインオン（SSO）機能により、異なるSaaSサービスへのログインを一元化します。これにより、認証情報の管理が容易になり、不正アクセスリスクを低減します。また、ID/Password依存を排除することで、より利便性の高いログイン体験を提供します。
＜強力な認証補助機能＞
IBM独自のTrusteer技術によるリスク解析を取り入れ、振る舞い分析に基づいて高度なセキュリティ対策を実施します。これにより、ユーザーフレンドリーな体験を損なわずに、セキュリティ基盤を強化します。
「多要素認証（MFA）」と「適応型アクセス制御（Adaptive Access）」は新たなセキュア認証モデルとして注目される機能です。
3.IBM Security Verify導入によるメリット
「IBM Security Verify」を導入することで、以下のメリットが得られます。
＜安心なクラウド利用＞
セキュリティレベルが大幅に向上し、クラウドやSaaSサービスを安心して利用できる環境を提供します。アクセス権限やアイデンティティ管理が徹底され、データ漏洩のリスクを低減できます。
＜ユーザー体験の向上＞
シングルサインオンや多要素認証により、利便性向上と効率化を両立します。ユーザーが追加認証を行う際もプロセスがスムーズで、業務に支障をきたすことがありません。
＜拡張性の高い設計＞
SaaS型認証基盤として導入されるため、簡単かつ迅速な設定が可能です。企業の成長規模や新しいニーズに合わせてシステムを柔軟に変更・拡張できるため、長期的な導入にも適しています。
おわりに
「IBM Security Verify」は、クラウド環境やSaaSサービスの普及に伴うセキュリティ課題に対応し、認証基盤を強化する上で最適な選択肢です。企業が抱えるセキュリティリスクの軽減を実現しつつ、ユーザー体験を向上させる一石二鳥のソリューションを提供します。また、その柔軟性と拡張性の高さから、あらゆる規模の組織でスムーズに導入できる点も特徴です。
またIBM Security Verifyを利用してWindowsリモートデスクトップやLinuxに多要素認証の導入をご紹介したブログも過去にございます。過去ブログはこちら
「IBM Security Verify」の詳細な機能については、弊社ウェブサイトをご覧ください。
企業の安全な未来を築くため、ぜひご検討ください。
Verifyに関するご相談はこちら
