TL;DR（この記事の要約）
- 脅威のパラダイムシフト: 現代のハッカーはシステムに「侵入」するのではなく、放置された正規のIDなどを悪用して堂々と「ログイン」してくる。だからこそ、使われていないIDの放置が危ない。
- AI時代の新たなリスク: 自動化された攻撃や、倫理観を持たないAIエージェントの暴走により、不要なアクセス権の放置はかつてない致命的なリスクとなっている。
- 中央管理の限界と社会の波: 外部パートナーの退職・異動を本社の情シス部門が把握するのは物理的に不可能だが、世の中は「不要なID・アクセス権を放置しない厳格な管理」へと向かっている。
- Tactnaが提供する現実解: 相手方の管理者にメンバー管理を任せる『自律分散型』アプローチで、運用の負担を減らしながら、不要なIDやアクセス権の放置を防ぐ。
はじめに
こんにちは、コーポレート部の麻生です。
実は弊社、経済産業省が推進する「J-StarX」で、世界的なベンチャーキャピタル「500 Global」が支援するシリコンバレーコースに選出されまして（まだ正式にお知らせしていなかったのですが！）、現在、代表の須藤がシリコンバレーに滞在しています。今回の座談会は、まさにそのシリコンバレー出張の真っ最中に行いました。
日本ではここ最近、企業の情報漏洩のニュースが相次いでいる状況ですが、世界のトップ層が集まる現地の最前線で、須藤が肌で感じているのは、急速に進化するAIの脅威と、それに立ち向かうための防衛基盤としてのTactnaの確かな可能性でした。
前回のブログでは、放置された「ゾンビID」がどれほど現場の運用工数を圧迫しているかをお話ししましたが、今回は「セキュリティ脅威とコンプライアンス要請」という、さらに深刻な側面に切り込んでいきます。
「ハッカーは侵入しない、ログインする」という衝撃的なトレンドをテーマに、シリコンバレーの須藤と、Tactnaの開発・デリバリーに携わる眞田、江﨑、岩倉と共に深く掘り下げました。
１．「ハッカーは侵入しない、ログインする」最新のサイバー攻撃トレンド
須藤 : 最近シリコンバレーでも話題になっている、サイバーセキュリティインサイダーの記事でも指摘されてるんだけど、最近のハッカーってシステムの脆弱性を突いて「侵入」するんじゃなくて、正規のIDやトークンを使って堂々と「ログイン」してくるんだよね。実際にIBMの2025年調査によると、米国のデータ侵害の平均コストは一千万ドル以上にも上るという恐ろしい事実があるんだよ。脆弱性を突く攻撃に加え、正規の認証情報を悪用する攻撃にも備える必要がある時代になっている。
江﨑 : インフラ担当としても、この「侵入経路の変化」は本当に厄介ですよ。昔みたいに強固なファイアウォールをドンと置けば安心、って時代じゃないですからね。正規のIDという一番信頼されるルートから入られちゃうと、防御側からすればID管理そのものがインフラの生命線になっちゃいます。
２．過剰なデータ保持のリスクと「不要なID・アクセス権を放置しない管理」の波
眞田 : 開発側の視点で言うと、そもそも企業がマーケティング目的等で不要なデータまで集めすぎている現状も大きな問題なんですよね。法令・契約上の保存要件を確認したうえで、不要になった元データを持ち続けないことが重要だと強く主張したいです。
岩倉 : 運用面から見ても、眞田さんの言う通りだと思います。使われていないIDやデータをシステム内に残しておくのって、攻撃者に「どうぞ狙ってください」と資産（負債）を置いているようなものですからね。万が一の被害を拡大させる大きな要因ですよ。
麻生: 確かに。つい最近のニュースでも、帝国データバンクの調査で「大企業の約3割が情報漏洩、またはその可能性を経験している」っていう衝撃的なデータが出ていましたよね。ちなみに回答企業全体で見ても、14.8%が「わからない」と回答しており、「専門家がいないから」という声もあがっているそうです。
江﨑: そんな状況だからこそ、不要になったIDやアクセス権（いわゆるゾンビID）をタイムリーに無効化し、放置しない管理の重要性が、社会全体でますます高まっているんでしょうね。
３．倫理観なきAIの暴走リスクと、情シス部門の限界
須藤: さらに厄介なのが、AI技術の悪用によってパスワードリスト攻撃などが自動化・高速化していること。「使われていないIDの放置」が、かつてないほど致命的なリスクになっているんだ。それに、AIエージェントには指示だけでは安全な動作を保証できないため、悪意なく他社のシステムに侵入したり、データを漏洩させたり破壊したりするリスクもある。
眞田: 技術的な観点から補足すると、AIエージェントには「空気を読む」とか「これは消しちゃマズイだろう」という暗黙の了解が通じないことがあります。与えられた権限の範囲内で、最高効率でタスクをこなそうとする。
須藤: その通り。例えば、Hugging FaceへのAIエージェントによる侵入事例や、PocketOS（Railwayをインフラに利用していたSaaS企業）のように、ステージング環境の認証エラー修正を指示されたAIが、誤って本番DBを削除してしまった事例なんかも実際に起きてるからね。Railwayは別系統の災害復旧用バックアップを持っていたためデータは復旧できたけど、不要な権限（＝放置されたアクセス権）や必要以上の権限が残っていると、AIはそれをフル活用して思わぬ大事故を起こしてしまう恐れがある。
江﨑: インフラ目線で怖いのは、そのAIの「実行スピードと範囲の広さ」ですね。人間なら気づいて立ち止まるようなミスでも、AIは一瞬で広範囲のシステムを破壊したりデータを引き出したりしちゃう。だからこそ、「誰がどの権限を持っているか」という厳密なコントロールが、AI時代にはより一層シビアに求められます。
岩倉: とはいえ、AIは管理業務の効率化には欠かせない武器にもなりますよね。Auth0 CLIのエージェント用モードみたいに、管理者の手動作業をAIエージェントに任せることで人的コストを劇的に下げられる可能性も大いにありますし。
江﨑: ただ、全社規模へAIエージェントが浸透するには、まだ少し壁があるかなと。現状、ビジネス向けにAIエージェントを本格導入しようとすると、SaaS型ツールでも月数万円から数十万円、本格運用ではそれ以上の運用コストがかかることも多いので、IT系以外の社員にまで広く普及させるには、まだハードルがありますよね。
麻生: でも、スマホのAI機能みたいに、ユーザーが意識せずに裏で動いているような形なら、一気に普及しそうじゃないですか？
須藤: 間違いないね。AIによるクリエイティブ制作のクオリティを見てもそれは明らかだし、2030年に向けた電力需要の増加予測や、次世代エネルギーによるインフラコストの低下なんかも進めば、一般への普及は確実に広がっていくはずだよ。
麻生: そんな風にAIが自律的に動き回る時代に、外部パートナーの退職や異動までリアルタイムに情シス部門が把握してIDを消すなんて、本社だけで継続的に把握するのは難しいですよね。
岩倉: そうなんですよ。実際のデリバリーの現場でよく聞くのが、外部パートナー向けのID発行プロセスがいまだに「Excelの申請書をメールで送って、情シスが手作業で登録して、パスワードを別メールで送る」みたいなアナログな運用になっているケースです。これだと、入社時はまだしも、退職や異動の報告なんて情シスにはタイムリーに上がってきません。結果、数ヶ月、いや数年も放置されるアカウントが山積みになる。絶対どこかで対応漏れが起きやすくなり、それがハッカーの格好の標的になるわけです。
４．既存IGAとの違いと、Tactnaが提供する「自律分散型」の防衛基盤
麻生: そこでTactnaの「相手方に管理を委譲する」というアプローチが刺さるわけですね。でも、それって既存のID管理ツールではできないんですか？
須藤: 既存のエンタープライズ向けIGA（アイデンティティガバナンス）製品であるSailPointやSaviyntなんかも外部ユーザー管理や管理権限の委譲を提供している素晴らしいツールだけど、我々のTactnaは、外部パートナー向けサービスの認証・組織管理・利用権管理・管理者ポータルを一体で提供することに注力しているんだよね。
岩倉: だから私たちは、各アプリケーションへの直接のプロビジョニングではなく、Tactnaで組織やメンバー、利用権などのライフサイクルを管理して、実際の運用（誰を入れるか、誰を外すか）は、そのチームの事情を一番よく知っている「外部パートナーの管理者」に任せる（委譲する）んです。セルフサービスポータルを通じて判断を委ねることで、不要なIDやアクセス権の放置を減らす基盤になれるのが最大の強みです。
江﨑: アーキテクチャ的に見ても、「中央ですべて管理する」んじゃなくて、「管理権限は現場に任せつつ、管理の状況や操作の履歴は中央でも確認できる」というTactnaの自律分散モデルは、管理する側の負担を減らしつつ、セキュリティを守る上でめちゃくちゃ理にかなってます。セキュリティは「性善説」で作っちゃダメで、「漏れる前提」「侵入される前提」でゼロトラストのアーキテクチャを組まないといけない。Tactnaはその基盤になれます。
須藤: その価値はすでに実証済みだからね。Tactnaを導入したお客様の事例では、外部IDの約30%がゾンビIDと判明し、Tactnaを導入して自動棚卸し等を一部カスタム実装も含めて行った結果、ID管理・棚卸業務の工数が、お客様の実感として約7割減ったというお声をいただいている。（事例の詳細はこちらでご覧いただけます）
麻生: 確かな実績があるのは心強いですね。ちなみに須藤さん、今まさにシリコンバレーにいますが、AIの最前線にいてTactnaのアプローチが通用する実感ってありますか？
須藤: うん、むしろこっちに来て、その有用性をさらに強く確信してるよ。緻密で堅牢な「メイドインジャパンのセキュリティ」というブランドが、安心感の面で大きな強みになると肌で感じているんだ。
眞田: それは熱いですね！世界中がAIの暴走や高度なハッキングに危機感を持っている今だからこそ、日本発のアーキテクチャが刺さるわけですね。
須藤: そういうこと。不要なID・アクセス権を放置しない厳格な管理が求められ、AIがシステムを駆け巡るこれからの時代、我々はTactnaを単なる業務効率化ツールとしてだけでなく、日本のセキュリティ（メイドインジャパン）を支える堅牢な防衛基盤として、国内外の市場にどんどんアピールしていこう！
編集後記
いかがでしたでしょうか。ハッカーの手法が「侵入」から「ログイン」へと変化し、AIがシステムを駆け巡るこれからの時代において、使われていないIDを放置することは企業にとって致命的なリスクとなります。「不要なID・アクセス権を放置しない管理」という社会的な要請が高まる中、情シス部門が疲弊せずにセキュリティを担保できる「自律分散型ID管理」の重要性が、今回の座談会で改めて浮き彫りになりました。外部パートナーのID管理に課題を感じている方は、ぜひTactnaのソリューションをご検討ください。
検討項目を解説したガイドブックを無料で配布中です。
こちらもぜひご確認ください。
