オンライン・アイデンティティとは何か

企業のオンライン・アイデンティティとは、従業員や外部関係者が企業のサービスやデータに対して「誰として」「どの権限で」アクセスするかを支える一連の情報と仕組みのことです。たとえば、アカウントID、表示名、メールアドレス、所属や役割（ロール）、利用権限、認証手段（パスワードや多要素認証など）、端末やネットワークの前提条件が組み合わさって成立します。

重要なのは、オンライン・アイデンティティは“特定の一つの設定”ではなく、複数の要素の連鎖で成り立っている点です。そのため、守る対象も複数になります。たとえば、認証の強さ（ログインを成立させる要素）だけ強くしても、権限の付与が過剰だと被害が広がります。逆に、権限を絞っても認証が弱いと侵害の入口が残ります。

仕組みの全体像：侵害が「どこで起きるか」

実務では、脅威は大きく「入口（初回侵害）」「拡大（横展開）」「定着（継続利用）」として見通すと整理しやすくなります。

入口では、フィッシングによる資格情報の盗難、脆弱なパスワードの推測、既存の漏えい情報の悪用、または不適切な権限共有が起点になります。次に拡大では、同じ資格情報や同一パッケージの権限を使って、メール、ストレージ、管理画面、チケット管理などへ影響が波及します。最後に定着では、ルールや通知の回避、権限経路の維持、追加の足掛かり作りなどにより、発見や復旧が遅れます。

この見方に対する制限として、実際の攻撃は必ずしも一直線ではありません。侵害が起きても即座に広がらない場合もあれば、入口よりも権限設計の問題が主因になる場合もあります。したがって「何が悪いか」を一つに決めつけず、複数の観点で確認することが重要です。

主な防御手段と限界：何を強化し、何を割り切るか

オンライン・アイデンティティの防御は、単一の技術よりも“複数の制御を重ねる”設計が現実的です。代表的には次の要素が関わります。

1つ目は認証の強化です。パスワードに依存しすぎない設計（多要素認証の活用や、認証のリスクに応じた追加確認など）が入口の成功率を下げます。ただし、認証強化だけで完全に防げるわけではありません。認証が突破された後の権限やデータの配置次第で、被害の範囲は大きく変わります。

2つ目は権限管理です。最小権限の考え方に基づき、必要な人に必要な期間・必要な範囲だけ付与する運用が効きます。反対に、共有アカウントの多用、退職者や異動者の権限の残存、管理者権限の過剰付与は、侵害拡大の温床になります。

3つ目は監視と検知です。ログイン失敗の急増、異常な時間帯や場所からのログイン、管理操作の増加、権限変更や共有設定の変化などを追うことで、被害の早期発見につながります。ただし、監視は“何でも見ればよい”わけではなく、重要イベントの優先順位を決めて運用できる体制が必要です。すべてを完璧に見切ることには限界があります。