こうした「内部不正」の背景には、ID・アクセス権の運用ルールが
徹底されていないという共通点があります。退職者IDの削除漏れや、
異動後も残ったままの過剰な権限は、その典型例です。

多くの事故に共通するのは、「特別な攻撃を受けた」のではなく、
「日常の運用の中で、気づかないうちにIDやアカウントの管理が
追いつかなくなっていた」という点です。

「退職した社員のIDは、きちんと削除されていますか？」

「今、誰がどのシステムにアクセスできるか、即答できますか？」

多くの情報システム部門が、この質問に自信を持って「YES」と
答えられないのが実態です。

IAM（IDおよびアクセス管理）の導入を検討する際、実は最初に
つまずくのは「製品選び」ではなく「自社の現状が
把握できていないこと」です。

POINT ― 「ID棚卸し」とは何か

まず知るべきは、製品ではなく“自社の現在地”

ID棚卸しとは、現在利用しているすべてのシステム・SaaSについて、
「誰が」「どの権限で」「いつからアクセスできる状態にあるか」を
洗い出す作業です。

退職者ID・過剰権限・シャドーITといったリスクは、この棚卸しを
行って初めて可視化されます。IAM導入の成否は、実はこの
最初の一歩でどれだけ正確に現状を捉えられるかにかかっています。

「うちはまだ大丈夫」という感覚は、攻撃者にとって最大の味方です。
まずは自社のID・アクセス管理の現状を棚卸しすることから
始めてみてください。

次回以降、退職者ID・過剰権限・シャドーITといった代表的な
リスクの具体例から、認証方式の選び方、導入ロードマップの
描き方までを順を追って解説していきます。