「高機能製品を買えば安全」は幻想？ 97％が直面“つぎはぎセキュリティ”の落とし穴
- ありがとうございます！
- いいね！した記事一覧をみる
会員（無料）になると、いいね！でマイページに保存できます。
「多要素認証を導入したからもう安全」──その思い込みは危ない。攻撃者が狙うのは社員のパスワードだけではないからだ。開発用ボットやAIエージェントに与えた権限が、侵入の足場にもなる。調査によれば97％の回答者がID管理ツールの分断によってインシデント対応に遅れが生じていると報告している。対策を重ねても埋まらない「危険な隙間」。あなたの会社は把握できているだろうか。
「対策済み」のはずが…攻撃者が狙う「管理の隙間」
ログイン時の本人確認をMFA（多要素認証）で行い、PAM（特権アクセス管理）で、管理者など強い権限を持つアカウントをコントロールする。どちらも欠かせない。だが、社員のログインはMFA、管理者権限はPAM、クラウドは別の製品──と対策を重ねても、それが強固な守りになっているとは限らない。開発用ボットやAIエージェントまで、誰が何にアクセスできるか、自社は本当に把握しているだろうか。
問題は「製品のつなぎ目」に潜む。あるツールが不審な動きを検知しても、別のツールが管理するクラウドや開発環境の状況を追えなければ、攻撃の全体像は見えない。米パロアルトネットワークスのレポートで引用されている調査によれば、97％の組織がID管理のサイロ化を経験。同じく97％がツールの分断で対応が遅れたと回答し、1件あたりの平均遅延は12時間だった。対策が多いことと、攻撃に素早く対応できることは同じではない。
2025年秋の「Shai-Hulud」攻撃では、開発に使われるnpm（JavaScript向けのソフトウェア部品を管理・配布する仕組み）のパッケージが攻撃に悪用された。悪意あるパッケージを通じて認証情報やトークンが窃取され、クラウド環境などにも被害が及ぶ恐れが生じた。社員のログインだけでなく、開発者や自動化ツールの権限も攻撃の足場になるのだ。AIエージェントの普及で「人ではないID」が増える中、企業が把握すべき権限や動きは一段と複雑になっている。
MFAやPAMがあっても、対策が分断されていれば、こうした動きを追えない恐れがある。では、その“死角”を、いかに埋めていくべきか。
製品の機能や数を比べるだけでは分からない「ある評価軸」がある。本レポートでは、選定前に確かめるべきこの判断基準と、ベンダーに問うべき「5つの質問」を紹介している。
問題は「製品のつなぎ目」に潜む。あるツールが不審な動きを検知しても、別のツールが管理するクラウドや開発環境の状況を追えなければ、攻撃の全体像は見えない。米パロアルトネットワークスのレポートで引用されている調査によれば、97％の組織がID管理のサイロ化を経験。同じく97％がツールの分断で対応が遅れたと回答し、1件あたりの平均遅延は12時間だった。対策が多いことと、攻撃に素早く対応できることは同じではない。
2025年秋の「Shai-Hulud」攻撃では、開発に使われるnpm（JavaScript向けのソフトウェア部品を管理・配布する仕組み）のパッケージが攻撃に悪用された。悪意あるパッケージを通じて認証情報やトークンが窃取され、クラウド環境などにも被害が及ぶ恐れが生じた。社員のログインだけでなく、開発者や自動化ツールの権限も攻撃の足場になるのだ。AIエージェントの普及で「人ではないID」が増える中、企業が把握すべき権限や動きは一段と複雑になっている。
MFAやPAMがあっても、対策が分断されていれば、こうした動きを追えない恐れがある。では、その“死角”を、いかに埋めていくべきか。
製品の機能や数を比べるだけでは分からない「ある評価軸」がある。本レポートでは、選定前に確かめるべきこの判断基準と、ベンダーに問うべき「5つの質問」を紹介している。
今すぐビジネス＋IT会員に
ご登録ください。
すべて無料！今日から使える、
仕事に役立つ情報満載！
-
ここでしか見られない
2万本超のオリジナル記事・動画・資料が見放題！
-
完全無料
登録料・月額料なし、完全無料で使い放題！
-
トレンドを聞いて学ぶ
年間1000本超の厳選セミナーに参加し放題！
-
興味関心のみ厳選
トピック（タグ）をフォローして自動収集！
関連タグ
タグをフォローすると最新情報が表示されます
