非人間アイデンティティとは何ですか？

非ヒューマンアイデンティティ（NHI）とは、人ではなく、マシン、アプリケーション、自動化されたプロセスに割り当てられるデジタル認証情報のことです。これらのアイデンティティは、APIキー、トークン、証明書などの認証情報を使用して、システム、サービス、およびデータに対して認証およびインタラクションを行います。

非ヒューマンアイデンティティが重要な理由

NHIは、現代のインフラストラクチャの目に見えない推進役であり、環境によっては人間のアイデンティティの50倍にもなります。クラウドプラットフォームからDevOpsパイプラインまで、マシンスケールで重要なオペレーションを強化します。しかし、数とスコープが拡大するにつれて、これらのアイデンティティは、エンタープライズ環境において最も急速に成長しているセキュリティリスクの1つにもなっています。

組織は、規模を拡大するために自動化に依存しています。クラウドサービスのプロビジョニングやSaaSアプリケーション間でのデータ同期など、すべてのMachine-to-Machine（MTM）のインタラクションには、デジタルアイデンティティが必要です。多くの組織では、非人間のアイデンティティが指数関数的に増加していますが、基本的なセキュリティ制御が不足しています。

NHIは通常、長期的な認証情報と高い権限で動作するため、攻撃者にとっての主要な標的となっています。人間とは異なり、NHIは多要素認証（MFA）でログインしたり、パスワードをローテーションしたりしません。適切な監視がないと、セキュリティ上の盲点になります。

一般的な非ヒューマンアイデンティティの種類

• サービスアカウント：アプリケーションまたはサービスが他のシステムと自動的にやり取りするために使用されます。

• APIキーとトークン：アプリケーション、サービス、または統合間の安全なプログラムによるアクセスを提供します。

• マシンアイデンティティ：VM、コンテナ、またはデバイスの認証に使用される証明書または暗号鍵。

• クラウドワークロードアイデンティティ：サーバーレス機能とコンテナ化されたワークロードのための自動生成された認証情報。

• 自動化スクリプトとボット：CI/CDパイプライン、インフラストラクチャコード、またはRPAタスクを実行する自動化スクリプトとボットによってアクセスされる認証情報。

非ヒューマンアイデンティティの仕組み

システムまたはサービスがリソースにアクセスする必要がある場合、APIキー、証明書、またはトークンなどの認証情報を提示して、そのアイデンティティを証明します。検証されると、事前定義されたアクセス許可に従ってアクセスが付与されます。

一般的なエンタープライズ環境では、サービスアカウントは1日に数千回データベースからデータを取得します。次に、CI/CDパイプラインは新しいコードを本番環境にデプロイし、Kubernetesポッドは認証してVaultからシークレットをプルします。非ヒューマンアイデンティティは、これらの各タスクを強化します。

人間と非人間のアイデンティティの比較

大まかに言って、NHIは、認証、管理、および動作の方法において、人間のアイデンティティとは異なります。ヒューマンアイデンティティはインタラクティブで個人に結びついていますが、NHIは多くの場合、限定的な監視のもとで大規模に自動的に動作します。

多くの環境では、NHIは人間（DevOpsチーム、自動化ツールなど）によって作成されるため、そのセキュリティは本質的に人間のアイデンティティの実践およびデジタルアイデンティティ管理戦略に関連付けられています。

NHIを保護するのが難しい理由

非ヒューマンアイデンティティのライフサイクルにおけるギャップは、リスクを高めます。

デジタルアイデンティティが通常、構造化されたオンボーディングとオフボーディングを通じて管理される人間のユーザーとは異なり、NHIは多くの場合、自動的に作成され、意図された目的が終わった後も長く残ります。堅牢なライフサイクルポリシーがないと、NHIは孤立し、監視されず、セキュリティリスクに対して脆弱になります。

• 指数関数的な規模

NHIは、多くの場合、一元的な監視なしに、クラウドおよびSaaS環境全体で急速に作成されます。エンタープライズ組織は、サイロ化されたツールとチーム全体で数万のNHIを管理する場合があります。

• 過剰な権限を持つアクセス

デフォルト設定では、多くのNHIに広範な権限または管理者アクセスが付与される場合があります。組織がこれらの権限を確認することはめったになく、特権の拡大のリスクが高まります。

• 安全でない認証情報

ハードコードされたシークレット、有効期間の長いトークン、および静的なAPIキーは一般的です。これらの資格情報はほとんどローテーションされず、コードまたは構成ファイルに安全でない方法で保存されている可能性があります。

• 可視性の欠如

ほとんどの組織は、NHIの完全なインベントリを維持していません。継続的な監視がなければ、セキュリティチームは異常を検出したり、未使用の認証情報を特定したりするのに苦労します。

• 脆弱なライフサイクル管理

NHIはプロジェクト終了後または従業員が退職した後も存続する可能性があり、その結果、有効な認証情報を持つ孤立したアカウントが生じます。

非ヒューマンアイデンティティを保護するためのベストプラクティス

• すべてのアイデンティティにゼロトラストを適用する

すべての人間とマシンのアイデンティティは、デフォルトで信頼されないものとして扱う必要があります。すべてのアクセス要求に対して検証を強制し、権限を必要な最小限に制限し、すべてのアクティビティを監視します。

• 最小限のアクセス権の適用

最小限必要な権限を定義します。デフォルトの管理者ロールは避け、権限の拡大を防ぐために定期的に権限を見直してください。

• シークレットを自動的にローテーション

シークレット管理システムを使用して、以下を行います。

• ハードコードされた資格情報を排除する

• スケジュールに基づいてシークレットをローテーション

• 未使用の認証情報を失効させる
  
  

• 行動と異常を監視する

NHIアクティビティのベースラインを設定して、逸脱を検出します（不明な環境からの突然のアクセス、過剰なデータ読み取りなど）。利用状況パターンを監視します。

• オーナーシップの割り当て

すべてのNHIに、そのライフサイクルとセキュリティ体制に責任を持つ指定されたオーナーがいることを確認します。アイデンティティを単なるサービスではなく、人に紐づけてください。

• OWASPのNHI Top 10に準拠する

2025年のOWASP 非人間アイデンティティ（NHI）Top 10は、最も重要な非人間アイデンティティ（NHI）セキュリティリスクを特定しています。以下のトップリスクを軽減します：

• 不適切なオフボーディング

• 安全でない認証

• 過剰な権限を持つ認証情報

• 長期的な認証情報の漏洩

• 安全でないサードパーティの統合

• 環境全体での資格情報の再利用

• 非人間的なアイデンティティの人間による使用

• NHIの検出とインベントリの欠如

• 不十分な監視とログ記録

• 脆弱なクラウド展開構成
  
  

• Identity Security Posture Management（ISPM）を実装します。

組織はISPMソリューションを活用して、ハイブリッドおよびマルチクラウド環境全体にわたる非ヒューマン・アイデンティティ・セキュリティに関連するリスクを継続的に発見、評価、および修復する必要があります。

非ヒューマンアイデンティティ管理（NHIM）とは何ですか？

NHIMは、検出から廃棄まで、ライフサイクル全体を通じてNHIを管理するために使用されるポリシー、ツール、およびプロセスを包含します。

NHIMの主な機能：

• 検出とインベントリ：クラウド、SaaS、およびインフラストラクチャ環境全体でのすべてのNHIの自動検出とカタログ化。

• ライフサイクル管理：セキュリティポリシーに基づく、自動化されたNHIの作成、変更、および非アクティブ化のワークフロー。

• アクセスガバナンス：最小特権を強制し、定期的なレビューを実施し、権限の拡大を防ぐコントロール。

• 監視と分析：NHI使用パターンのリアルタイム追跡と、異常な動作の自動検出。

• 認証情報管理：安全なストレージ、シークレットとキーの自動ローテーション、および静的な認証情報の排除。

• 統合された監視：単一のプラットフォームを介した、人間および非人間のアイデンティティの一元化された管理と制御。

統合アプローチを活用する組織は、複雑なハイブリッド環境でアイデンティティ・ファーストのセキュリティ体制を維持するためにより適切に準備できます。

AIと自動化におけるNHIの台頭

AI駆動のシステムは、人間の監督なしに、多くの場合オンデマンドで、数千のNHIを生成します。各AIエージェント、パイプライン、またはモデルのデプロイメントでは、データとインフラストラクチャを操作するための専用の認証情報が必要です。

これらのアイデンティティは次のとおりです。

• エフェメラル（急速に作成および破棄される）

• 自律型（人間の監視なしで動作）

• 特権（多くの場合、広範なアクセスが必要）
  
  

セキュリティおよびガバナンスのフレームワークは、この加速されたペースと指数関数的な規模に適応する必要があります。リスクを軽減するために、組織は検出を自動化し、有効期間の短い認証情報を強制し、アクティビティを継続的に監視するガードレールを実装する必要があります。

実際の例

NHIに最高レベルのセキュリティが必要な理由

非ヒューマンアイデンティティは、最新のインフラストラクチャにとって不可欠なものとなっていますが、エンタープライズで最大の未管理の攻撃対象領域の1つになっています。

• 46%の組織が昨年、NHIに関連する侵害を経験しました

• 80%がNHIセキュリティへの支出を増やす予定です

今日の組織は、Identity-Firstのアプローチと統合されたコントロールプレーンを必要としています。セキュリティチームが人間と非人間のアイデンティティをまとめて管理することで、一貫した制御を適用し、完全な可視性を得て、俊敏性を犠牲にすることなく脅威に迅速に対応できます。IDファブリックは、すべてのIDタイプとセキュリティ制御をシームレスに接続することにより、この包括的なアプローチを実現するのに役立ちます。

FAQ

非ヒューマンアイデンティティは、マシンアイデンティティと同じですか？

マシンアイデンティティは、インフラストラクチャコンポーネント（VM、IoTデバイスなど）に焦点を当てたNHIのサブセットです。NHIは、ソフトウェアや統合で使用されるトークン、スクリプト、およびサービスアカウントを含む、より広範な用語です。

NHIはMFAを使用できますか？

従来の意味ではありません。NHIは、人間向けに設計されたMFAの代わりに、証明書ベースの認証、暗号鍵、有効期間の短いトークン、またはトークンローテーションを使用します。

NHIの最も重大なリスクは何ですか？

過剰な権限が付与され、監視されておらず、不要になった後もアクセスを保持している、多くの場合静的な資格情報を持つ孤立したNHI。

ゼロトラストはNHIにどのように適用されますか？

ゼロトラストセキュリティは、有効期間が短く、範囲が限定された資格情報の使用を強制し、動作を監視し、ソースやコンテキストに関係なく、各アクセス要求を検証します。

NHIの盲点をなくす準備はできましたか？

包括的なアイデンティティセキュリティポスチャ管理を実装する組織は、サービスアカウント全体で重大な特権の蓄積を発見することがよくあります。これにより、攻撃対象領域が指数関数的に拡大し、マシンアイデンティティは多くの場合、クラウド、SaaS、およびハイブリッド環境全体でフェデレーションアクセス権を継承し、アイデンティティセキュリティプラットフォームが効果的に関連付けて保護する必要があります。

エンタープライズがNHIの検出を自動化し、最小特権を強制し、あらゆる規模でアイデンティティガバナンスを統合するために、Okta Platformがどのように役立つかをご覧ください。

詳細を見る