安全なブラウザ。現場従業員のデジタルセキュリティ。Identity Security Posture Management検証可能な資格情報。セキュアバイデザインのソフトウェア
Okta Venturesでは、ビジョンを持つ創業者やチームと交流することで、こうした新たなイノベーションを最前線で目にすることができます。
8人の創業者に2024年の展望を尋ねたところ、世界中からさまざまな知見が寄せられました。以下でその内容をご紹介します。お楽しみください。
2024年の予測
Zheng Wei Quah, CEO, Accredify
エンタープライズ向けのデジタルアイデンティティが、セキュリティとアクセシビリティの二者択一というジレンマをいかに解消してくれるのか、楽しみにしています。当社の経験から、アイデンティティソリューションはシングルサインオン（SSO）やMulti-Factor Authentication (MFA)といった製品を通じて、ビジネスセキュリティの向上に効果的であることがわかっています。これらを検証可能な資格情報と組み合わせることで、業界は「who you are（あなたが誰であるか）」の証明を「what you have（あなたが何を持っているか）」の証明にまで拡張できます。これが実現すれば、セキュリティとアクセシビリティがトレードオフの関係ではなくなる、ハイパーオートメーションの世界が到来するでしょう。
Oliver Friedrichs, CEO, Pangea Security
CISAのセキュアバイデザインガイダンスや、SEC（米国証券取引委員会）によるSolarwinds社および同社のCISOに対する告発を受けて、組織がセキュアなソフトウェア開発ライフサイクル（SDLC）を確立する必要性は、かつてないほど高まっています。自動車メーカーや航空宇宙企業、その他の重要なテクノロジーには厳しい規制が課せられていますが、質の低いソフトウェアをリリースしても、今日、何の影響もありません。企業がセキュアなSDLCプラクティスを証明するよう求められるケースが増えているため、この状況は必然的に変わるでしょう。組織は、このセキュアなSDLCの3つの主要な原則、すなわちアプリケーションの堅牢化、セキュリティ機能、セキュアバイデフォルトを導入することが不可欠になります。
アプリケーションの堅牢化とは、アーキテクチャに関する考慮事項や脅威モデリングなどを含め、アプリケーションが当初からセキュアに設計されるようにすることです。セキュリティ機能は、堅牢な認証、認可（RBAC、ABAC、ReBAC）、セキュアな監査証跡、シークレットと暗号化キーストア、セキュアなファイルオブジェクトストレージ、漏洩の可能性があるPIIの検出などにより、アプリケーションがセキュアなユーザーエクスペリエンスを提供できるようにします。
「セキュアバイデフォルト」とは、MFAなどの重要な機能がデフォルトで有効になっており、SSOなどの追加機能が無料で含まれていることを保証するものです。このようなニーズから、セキュリティチームはさらに「シフトレフト」を進め、開発チームと連携してSDLCの初期段階からセキュリティを組み込む必要に迫られます。
Mohit Garg, CEO Oloid
2024年には、現場担当者の認証技術の進歩において、セキュリティを損なうことなく、ユーザーエクスペリエンスの向上とプロセスの合理化が優先されるようになります。デスクレスワーカー特有のニーズに対応するために、カスタマイズされた認証ソリューションが登場します。これには、アプリの利用率を高め、フィッシング、アカウント乗っ取り（ATO）、中間者（MITM）攻撃から保護するためのパスワードレス認証方式の導入などが含まれます。自動化され、事前検証済みの資格情報登録によって、離職率の高い職種のオンボーディングが簡素化されます。また、安全なアクセスのために、生体認証などの自然な要素を活用する認証方法が増えていくでしょう。場所や時間などの要素を取り入れたコンテキスト認証は、セキュリティプロトコルを強化します。物理的セキュリティとサイバーセキュリティの融合は、特に労働集約型セクターのデスクレスワーカーにおいて、さらに進むでしょう。RFIDカードやNFCといった物理的なアイデンティティ要素と共有デバイスモデルとの連携が強化されるためです。認識されたリスクに基づいてセキュリティレベルを動的に調整するアダプティブ認証は、高度な機能から、主流で柔軟なフレームワークへと移行します。特に共有デバイス環境においてプレゼンス検知機能の重要性が高まり、デバイスが使用されなくなるとユーザーは自動的にサインアウトされるようになります。スマートフォンやハードウェアキーが現実的な選択肢ではない環境でもコンプライアンスを可能にする、デバイスレスMFAの選択肢が普及するでしょう」
Moty Jacob, CEO Surf Security
2024年を迎え、サイバーセキュリティにおけるアイデンティティの状況は大きな変革期を迎えるとOktaは予測しています。アイデンティティ主導のブラウザーは、アーキテクチャにコモンセンスをもたらし、強化されたセキュリティコントロールによって、ユーザーがオンプレミスやSaaSのアプリケーションに直接アクセスできるようにします。コピー、カット＆ペースト、データマスキング、墨消しといったブラウザ機能を企業が指定できるようになることで、情報のフローが企業の管理・統制下に置かれる新しい時代が到来し、セキュアなID 管理の未来が再形成されます。これは、Gartner社が発表した予測と一致しています。同社の予測によると、2025年までに、Webセキュリティの競合状況の25%でエンタープライズブラウザーまたは拡張機能が取り上げられるようになります。これは現在の5%未満から増加した値です。
Matt Chiodi, CSO Cerby
2024年には、AIを活用したサイバー攻撃がさらに巧妙化し、ゼロデイ攻撃の増加につながるでしょう。この傾向は、重大なチャレンジを浮き彫りにしています。それは、認証のためのSecurity Assertion Markup Language（SAML）や、アクセス権のオンボーディングとオフボーディングを自動化するためのSystem for Cross-domain ID 管理（SCIM）といった重要なセキュリティ標準のサポートを欠くことが多い、非標準アプリケーションのセキュリティを確保するというチャレンジです。
Ponemon Instituteの調査によると、組織の52%が、標準外のアプリケーションに起因するサイバーセキュリティインシデントを経験しています。標準のサポートが欠如していると、AIを駆使する攻撃者の格好の標的になる可能性があります。
企業は、これらの非標準アプリケーションを自社のアイデンティティセキュリティ戦略に統合して対応する必要があります。これには、基本的なセキュリティ対策を超える高度なアイデンティティ保護メカニズムを展開し、標準外のアプリケーションをOktaのようなアイデンティティプラットフォームに確実に統合することが含まれます。MFA、AIを活用した異常検知、リアルタイム監視を導入することが、こうした新たな脅威から保護するうえで極めて重要になります。
Maor Bin, CEO Adaptive Shield
SaaSの世界では、脅威はアイデンティティ中心の形で現れます。既存のアイデンティティ脅威検知・対応（ITDR）ソリューションの多くは、エンドポイントとActive Directoryの保護に重点を置いており、SaaS環境の複雑さが見過ごされがちです。オンプレミスのActive DirectoryからSaaSへの移行に伴い、Identity Security Posture Managementにギャップが生じつつあります。SaaS関連の脅威に対処し、巧妙かつ微細なアイデンティティ主導の脅威を正確に検知するには、深い知識と実証済みの専門知識が必要です。
Simon Taylor, CEO HYCU
2023年に始まったAIブームが2024年も続くことは、驚くことではありません。ITの観点からは、次の5つの重要な分野に影響が及びます。
- 新規作成されるデータ量の爆発的な増加と、その管理の必要性
- 企業と個人の両方を保護するための、データをめぐる明確なセキュリティおよびガバナンス戦略を策定する必要性の高まり
- AIを利用してセキュリティやアイデンティティといった最重要資産をこじ開けようとする悪意のある攻撃者から、重要なインフラを保護すること
- AIの加速と、IT部門が統制に苦慮する原因となりうる新しいSaaSサービスの提供ペースの加速
- SaaSアプリケーションやサービスを利用する企業が増えるにつれて、データを保護・復旧する必要性に対応するためのスケーラブルな方法をAIを活用して創出するHYCUのようなテクノロジー
David Goldschlag, CEO Aembit
2023年、エンタープライズ顧客から、シークレットマネージャーやボールトは「アンチパターン」であるという声が聞かれるようになりました。DevOpsとセキュリティの担当者は、シークレットを管理するのではなく、ワークロード間のアクセス ポリシーを管理したいと考えています。2024年には、多くの顧客がシークレットマネージャーを試すことなく、ワークロードIAMの導入を開始すると予測しています。
また、エンタープライズがワークロードアイデンティティについて、単なるコアアイデンティティにとどまらず、ポスチャーやコンテキストも含めて、より豊かな方法で検討するようになっていることもわかっています。例えば、アクセスを決定する際に、ワークロードのポスチャーのような条件付きアクセスの基準を考慮することができます。
Karine Mellata, CEO, Intrinsic
生成AIは、不正なアイデンティティ、不正なコンテンツ、プラットフォームの不正利用をスケールさせ、拡散させる新たな機会を生み出しています。攻撃ははるかに巧妙化し、旧式の検知システムでは検知が困難になります。これにより、アイデンティティセキュリティは、サインアップフローをゲート化する（自撮りによるチェックなど）だけでなく、長期にわたる検証済みの人間の行動に、より重点を置くようになる可能性があります。
Marshall Pribadi, CEO, Privy ID
ユーザー中心の再利用可能なデジタルアイデンティティは、インドネシア、オーストラリア、ニュージーランドで広く受け入れられるようになります。顧客デューデリジェンスにおけるコストシェアリングが新たな標準となります。コストの上昇に対応しつつ、ユーザーの利便性を向上させることが不可欠です。
