IDaaS（ID as a Service）とは、社員のIDと認証をクラウド上で一元管理し、1回のログインで複数のサービスを使えるようにする仕組みのことです。導入が向くのは、使うクラウドが多く、入社・退職・異動も多い会社です。
今日やることは、3つの数字を出すことです。社内で使っているクラウドの数、去年の入社・退職・異動の合計人数、そして直近の退職者のアカウントが全サービスで止まっているかどうかです。3つ目が答えられないなら、それがIDaaSを検討する一番の理由になります。
この記事は公開情報を整理したものです。私たちが各製品を導入や検証したわけではありません。ほかの情報漏えい対策は情報漏えい対策のカテゴリから見られます。
IDaaSは何をまとめるのか？
IPAの資料ゼロトラスト移行のすゝめ（2022年6月）は、IDaaSの主な機能としてID管理とシングルサインオンを挙げ、多要素認証を強制する手段としても説明しています。IPAの人材育成プログラムの受講者がまとめた資料なので、考え方の参考として読むものです。
| 機能 |
やること |
減らせる手間や危険 |
| シングルサインオン（SSO） |
1回の認証で複数のサービスに入る |
パスワードの使い回し、覚える負担 |
| プロビジョニング |
IDを各サービスへ自動で配る |
入社時の登録、退職時の削除漏れ |
| 多要素認証の適用 |
パスワード以外の要素も確かめる |
パスワードだけが盗まれたときの侵入 |
| アクセス制御 |
端末や場所などの条件で入口を絞る |
管理していない端末からの利用 |
SSOについては、Microsoftのシングルサインオンの解説が、1回のサインインで多くのアプリにアクセスできる仕組みと説明しています。
プロビジョニングは、Microsoft Entraの解説によると、IDと権限の作成を自動化するものです。退職時にアカウントを自動で無効にする動きも含まれます。サービスとの受け渡しの標準仕様にはSCIM（RFC 7644）があります。
導入が向くかは、どの数字で決まるのか？
人数より、ID作業の回数で見ます。計算は次のとおりです。
1人あたりのクラウドの数 × 年間の入社・退職・異動の人数 ＝ 年間のID作業の回数
1人の退職で5つのサービスを止めるなら、作業は5回です。この回数が、担当者の手間と削除漏れの機会になります。
| 1人あたりのクラウド |
年間の入退社・異動 |
年間のID作業 |
考え方 |
| 5個 |
10人 |
50回（週1回ほど） |
台帳で管理できる範囲 |
| 10個 |
30人 |
300回（週6回ほど） |
SSOとIDの一元管理を検討 |
| 20個 |
60人 |
1,200回（週23回ほど） |
自動プロビジョニングまで検討 |
この表の線引きは私たちの整理で、統計や公的な基準ではありません。情シス兼任の担当者が週に何時間使えるかで、適切な線は変わります。
数字を出すと、月額料金と比べる材料にもなります。作業が少ないなら、次の節に当てはまらない限り、台帳と主要サービスの多要素認証から始めるほうが筋が通ります。
数が少なくても検討したいのはどんな場合か？
作業の回数が少なくても、次のどれかに当てはまるなら、数とは別の理由で検討する価値があります。
- 退職者のアカウントが残っていないと言い切れない
- 多要素認証を、サービスごとにばらばらに設定している
- 部署が独自に契約したクラウドがあり、全体を把握できていない
- 同じIDとパスワードを複数人で共有している
- 個人のスマホや自宅のPCから業務のクラウドに入れる
IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版は、多要素認証などの認証強化と、異動や退職のときの速やかな設定変更や削除を求めています。IDaaSはその手段の1つで、これらを実施できているなら必須ではありません。
退職時の削除は製品がなくても始められる
入社と退職のチェックリストに、全サービスの一覧を載せるだけで漏れは減らせます。一覧がないままIDaaSを入れても、つなぎ忘れたサービスのIDは残ります。
製造業ではどこに注意するか？
たとえば、本社と工場があり、期間従業員や派遣社員が季節によって増減する部品メーカーの場合を考えます。この形の会社は、入退社の数が事務職の人数からの想像より多くなりがちです。
確かめたい点が3つあります。
1つ目は、工場で共有している端末です。同じPCを交代で使う現場では、個人のIDでのログインが前提の仕組みと合わないことがあります。IPAのガイドラインは、共有せざるを得ない場合は別のアカウントを作ることを求めています。
2つ目は、多要素認証の手段です。工場内にスマホを持ち込めない場合、スマホのアプリによる認証は使えません。ICカードやハードウェアトークンなど、現場で使える手段があるかを製品ごとに確かめます。
3つ目は、社外の人のIDです。協力会社に図面の共有サービスや受発注システムを使ってもらっているなら、そのIDも棚卸しの対象です。社員の人事情報とつながらないため、自動の削除が効きません。契約終了のときに誰が止めるかを先に決めておきます。
なお、生産設備の端末や工場内だけで動くシステムは、IDaaSの対象にできるとは限りません。クラウドのサービスから順に範囲を決めるのが現実的です。
Microsoft 365を使っている会社は別製品が要るのか？
先に今の契約を確かめます。Microsoft Entraの説明によると、Microsoft 365などの利用者は、すでにMicrosoft Entra IDを使っています。
使える機能はライセンスで変わります。Entraのライセンスの説明では、中小企業向けのMicrosoft 365 Business PremiumにEntra ID P1が含まれると案内されています。機能ごとの対応表も同じページにあるので、必要な機能がどこに当たるかを確かめてください。
別の製品を比べる意味が出るのは、たとえば次のような場合です。
IDaaSを入れても残る課題は？
IDaaSは万能ではありません。導入の前に、次の4つを理解しておきます。
ログインの入口が1つに集まります。 IDaaSのアカウントを破られると、つないだサービスすべてに影響が及ぶおそれがあります。多要素認証は、IDaaSを入れるなら省けない項目です。多要素認証の製品比較で手段の違いを見られます。
つなげないサービスが残ります。SSOやプロビジョニングに対応していないサービスや、上位プランでしか使えないサービスがあります。一覧の全部をつなげる前提で計画を立てると、手作業の管理が別に残ります。
ログインした後の操作は別の話です。IDaaSが主に見るのは入口です。クラウド上でファイルをどう共有したかまで見たいときは、CASBの製品比較が参考になります。ファイルそのものの守り方はファイル暗号化の方法の違いで整理しています。
正しい人事情報が前提になります。自動化は、元のデータが正しいときだけ役に立ちます。退職日の登録が遅れれば、IDの停止も遅れます。
製品を比べるときに何を確かめるか？
カタログの機能数より、次の項目を自社の一覧と照らし合わせます。
- 使っているサービスのうち、SSOに対応するのはいくつか
- 自動プロビジョニングまで対応するのはいくつか。対応するサービス側のプランは何か
- 自社で使える多要素認証の手段があるか
- IDの元をどこに置くか（人事システム、Active Directory、IDaaS本体）
- 誰がいつ何に入ったかの記録を、どれだけの期間残せるか
- 最低契約の人数、1人あたりの料金、サポートの言語と時間
製品の違いはIDaaSの製品比較で見られます。1・2の数を出すには、最初に作ったクラウドの一覧がそのまま使えます。
導入の順番は、影響の大きいものからで構いません。メールとファイル共有を先につなぎ、多要素認証を有効にして、数週間動かしてから残りを足していきます。全部を同時に切り替えると、問い合わせが担当者に集中します。
IDの管理は、個人情報の扱いにも関わります。退職者のIDから顧客情報に入れる状態は、漏えいの入口の1つです。実際の原因の内訳は個人情報の流出事例の分類で確かめられます。
