カリフォルニア州アナハイムで開催された今年のEDUCAUSE Cybersecurity and Privacy Professionals Conference（CPPC）では、参加者はスター・ウォーズのキャラクターとエスカレーターに乗ったり、ロビーを走り回る多くのミニーマウスを見かけたりしたかもしれません。通りの向かいで開催されていたソーシャルメディアインフルエンサーのエクスポでは、自撮り棒が実用的なアクセサリーであり、ネオン色のタンクトップがいつでも適切な服装であることが証明されていました。
一方、カンファレンスエリアでは、AI、規制、攻撃者の策略がすべて同時に加速する中で、いかにして高等教育機関の安全を保つかについて、数百人のサイバー防御担当者が議論を交わしていました。セッションでは、AIを利用した脅威、AIエージェントのリスクと展望、ゼロデイ攻撃に対するレジリエンス、フレームワークの調和、セキュリティにおける基礎教育の近代化の取り組み、およびITエコシステムを不正行為から防御する方法などが取り上げられました。今回のカンファレンス全体を通じて、今後10年の高等教育機関におけるセキュリティでは、アイデンティティが基盤になることが重要なテーマとなっていました。
その中でも、重要ポイントを3つご紹介します。
重要ポイント1：MFA は必要不可欠だが、単独ではもう負荷に耐えられない
いくつかのセッションでは、道筋は違ったものの、最終的には同じ結論に達していました。ブラウザインザミドルフィッシングキットは、実際のログインをプロキシし、ユーザーがMFAを完了できるようにしてから、認証されたセッションを盗みます。プロンプト爆撃、SIMスワップ、および中間者攻撃キットは、今や日常的なものであり、例外的な事例ではありません。AIが作成したフィッシング詐欺は、従来のユーザートレーニングでは対応が難しいほどの品質と量に達しています。さらに、ヘルプデスクを標的とした音声ディープフェイクが、活発な脅威パターンとして指摘されています。
いくつかのセッションでは、MFAは認証情報を保護するものの、今日の攻撃はセッション、デバイス、リカバリーフロー、そして電話に対応する人を標的にしていることが明確に示されました。
次の段階の構成要素はよく知られたものです。正当なサイトと信頼済みデバイスに紐づけられたフィッシング耐性のある要素、ログイン後のセッションとデバイスのリスクの継続的な評価、ロールに結び付けられたガバナンス、そしてユーザーがロールを変更したり退職したりした瞬間にアクセスを削除するライフサイクルの自動化です。MFAだけではこの問題は解決できず、これらの機能を個別のツールとして実行しても解決には至りません。実際に進歩を遂げている組織は、統合されたアイデンティティプラットフォーム上でそれらを統合しています。
重要ポイント2：AIの急速な拡大とキャンパスでのエージェントの出現
AIやAIエージェントの話を聞かずに1週間を過ごしたいと思っていたなら、このカンファレンスは場違いだったでしょう。並行して開催されたセッションのうち、あるセッションではAIを利用した攻撃の恐ろしい事例が語られ、別のセッションではエージェントを利用したユースケースの展望が力説されていました。
これが、高等教育機関のITが直面している現状です。生産的かつ効率的なAIエージェントが、誰にも把握できないほどの速さでIT部門全体に登場しています。教授陣は、OpenClawがもう少し多くのシステムにアクセスできれば、TAよりも優れているかもしれないと考えています。学生たちは、キャンパスのあらゆる場所で新しいユースケースを生み出しています。
リスクには2つの側面があります。攻撃者側では、AIによって、説得力のあるフィッシング、ビジネスメール詐欺、ディープフェイク、および静的な認証とアクセスポリシーでは対応しきれないレベルの自動偵察の作成コストが削減されています。学部側では、シャドーAIについてセキュリティチームに大学内で稼働しているAIエージェントの数を尋ねると、ほとんどの場合、推定できる範囲の答えが返ってきます。そして必ずと言っていいほど「少なくとも把握しているのはそれだけです」と続きます。
アイデンティティは双方にソリューションを提供します。その要は、次の3つの質問に答えられるかどうかです。
- エージェントはどこにいるのか？
- エージェントは何にアクセスできるのか？
- エージェントは何ができるのか？
大学ではすでに、多くのチーム、ツール、プラットフォームでAIアシスタントとワークフローが構築されています。課題は、これらの教育機関がAIを「使用するかどうか」ではなく、いかにしてアイデンティティ基盤上でAIを拡張し、自信を持ってこれらの3つの質問に答えられるようにするかということです。それはつまり、以下を意味します。
- すべてのエージェントを見つける
- 所有権を登録する
- ユーザー権限を安全に委任する
- 重要な場面では、人間の承認を得て、きめ細かいアクセス制御を適用する
- キャンパスのITエコシステム全体で監査可能な記録を維持する
重要ポイント3：研究拠点、規制対象データ、およびその基盤にあるアイデンティティレイヤー
コンプライアンスは、最も深刻な影響を与える分野で最も頻繁に問題として浮上します。研究集約型の大学や大学付属の医療センターでは、複数の、しばしば重複するコンプライアンスフレームワーク（CMMC、NIST 800-171、HIPAA、FERPA、連邦データ契約）の要件を、同じシステム上で同時に管理する必要があります。あるセッションでは、CMMCレベル2を満たす規制対象の研究拠点を構築する過程を説明し、運用パターンが明確にされていました。つまり、アイデンティティが基盤になるということです。
CMMCレベル2の多くは、識別、認証、アクセスコントロール、監査、報告義務で構成されており、これらはHIPAAや連邦政府の研究データ契約全体で同様に現れます。認証、特権アクセス、ガバナンス、監査対応レポートに対応する、統合されたアイデンティティプラットフォームは、これらすべてにわたる重複した作業を削減します。
Identity Security Fabricは、それ自体でコンプライアンスを提供するものではなく、アイデンティティに関わる作業を測定可能、反復可能、かつ防御可能にします。
幸せが続くように
この要約記事を読むと、世界で最も幸せな場所のすぐ近くで開催されたこのカンファレンスでは、アイデンティティが主題だったように感じるかもしれません。実際には、このカンファレンスには高等教育機関においてセキュリティ、コンプライアンス、AI、およびレジリエンスの最も困難な問題に取り組むサイバー専門家が集結していました。アイデンティティは、すべてのセッションの主題でなかったにも関わらず、あらゆる場所で取り上げられていただけです。
高等教育機関におけるサイバーおよびプライバシーの専門家にとっての目標はもはや、より優れたSSOと最新の認証に限定されません。目標とするのは、アクセス、ガバナンス、リスク、コンプライアンス、AIの安全性、ユーザーエクスペリエンスを統合したIdentity Security Fabricであり、キャンパス内のすべての人があらゆるテクノロジーを安全に使用できるようにすることなのです。
