アイデンティティとは？ID・アカウント・エンティティとの違いや、現代に必要なセキュリティ技術を解説

アイデンティティとは、特定の文脈において、ある主体を一意に識別するための属性の集合です。日常生活では「自分らしさ」や「自己同一性」を指すことが多い言葉ですが、IT・セキュリティの文脈ではより技術的な定義がなされています。

米国国立標準技術研究所（NIST）が発行するガイドライン「NIST SP 800-63-3」では、デジタルアイデンティティを「オンラインサービスとのやり取りにおいて、対象を一意に表す属性の集合」と定義しています。

属性とは、具体的には氏名や個人のメールアドレス、社員番号、所属部署、さらには生体情報といった個々の情報のことです。アイデンティティとは、これらの属性が束になったものであり、システムが特定の個人やデバイスを他のものと区別するための情報基盤を指しています。

アイデンティティと混同されやすい言葉に、「ID」があります。IDは「識別子（Identifier）」の略称であり、アイデンティティという情報の束の中から、システムが対象を一意に特定するために抽出された単一の値のことです。

たとえばユーザー名やログインID、デバイス固有のシリアル番号などがこれに該当します。アイデンティティが「その主体に関する情報の集合体」であるのに対し、IDはその集合体にアクセスするための「背番号」のような役割を果たします。つまり、アイデンティティという大きな器の中に、IDという識別子が含まれている包含関係となっているのです。

また、アイデンティティやIDと似ている言葉に、「アカウント」があります。これは、特定のシステムやサービスを利用するために発行される、権限や設定を管理する単位を指します。アイデンティティが主体そのものを表すのに対し、アカウントはその主体が特定の場所で何ができるかを管理するための箱のようなイメージです。

ひとつのアイデンティティ（個人）が、複数のサービスに対して複数のアカウントを持つことは珍しくありません。

下表は、それぞれの概念の違いをまとめたものです。

アイデンティティを正しく理解し管理するためには、それに関連する周辺概念である「エンティティ（主体）」「リソース（対象）」「コンテキスト」の関係性を把握する必要があります。

エンティティとは、デジタル環境において識別可能な一意の実体すべてのことです。「アイデンティティの持ち主そのもの」と言い換えることもできます。

また、なお、エンティティは人間に限りません。ITシステムにおいては、以下の要素もエンティティとして扱われます。

アイデンティティは、これらのエンティティが持つ、属性の集合として定義されます。

リソースとは、エンティティがアクセスしようとする対象のことです。

このリソースの定義を考える上で欠かせないのが、現代セキュリティの標準となっているゼロトラストの視点です。ゼロトラストとは、すべてのデバイスやユーザーを常に監視し、信頼が確認されない限り一切の活動を許可しないという概念を指します。

この概念のガイドラインである「NIST SP 800-207」の定義に基づくと、リソースの範囲は非常に広大です。保護対象にはサーバー内のデータや業務アプリケーションだけでなく、クラウド上のアカウントやネットワークそのものまで、有形無形のあらゆる資産がすべて含まれます。

つまり、セキュリティの基本は「どのエンティティ（主体）が、どのリソース（対象）に対してアクセスを許可されているか」というアイデンティティに基づいて判断することにあります。

コンテキストとは、エンティティの属性や状態、アクセス時の環境変化を相関的に捉える文脈を指します。

現代のセキュリティでは、単にIDとパスワードが合致しているかだけでなく、以下のようなコンテキストをリスク判断に活用します。

これらの状況変化を分析し、なりすましのリスクが高いと判断された場合にアクセスを遮断する仕組みが、高度なアイデンティティ管理には欠かせません。

アイデンティティ管理が重要視されている背景には、企業のIT環境が劇的に変化したことがあります。

かつてのオンプレミス中心の時代、アイデンティティ管理は社内の閉じたネットワークの内側で完結していました。しかし、SaaSのようなシステムが普及したことで、アイデンティティは各サービスごとに分散して存在することになっています。

複数のSaaSを利用することで、従業員一人ひとりが管理すべきアカウントが増大し、パスワードの使い回しや管理の煩雑化が深刻なセキュリティリスクとなっているのです。

シャドーITとは、情報システム部門の許可を得ずに、現場の従業員が個人的に利用しているSaaSやITツールのことです。

管理者の目が届かないところでアイデンティティが作成されると、誰がどのデータにアクセスしているかを把握できなくなります。とくに深刻なのが、退職者のアカウントが放置され続けることです。シャドーIT上のアカウントが適切に削除されず、退職後も機密情報にアクセス可能な状態が続くことは、情報漏洩の大きな要因となります。

前述のとおり、「何も信頼せずにすべてを検証する」というゼロトラストの考え方において、アイデンティティは新しい境界線として位置づけられています。

従来の物理的なネットワーク境界が消失した現代では、場所やデバイスを問わず、アクセスの成否を判断する最後の砦がアイデンティティです。このようなアイデンティティを強固に管理し、動的に検証し続けることが、ゼロトラスト実現の第一歩となります。

認証とは、ある主体が自称するアイデンティティが、確かに本人であることを検証するプロセスです。

従来はIDとパスワードによる認証が一般的でしたが、サイバー攻撃の高度化により、パスワード単体での防御は限界を迎えています。そのため、パスワードといった知識情報と、スマホや物理キーなどの所持情報、そして指紋や顔といった生体情報のうち、二つ以上を組み合わせる多要素認証が主流となりました。

さらに近年では、パスワードそのものを使わずに公開鍵暗号を利用するパスキーへの移行が進んでいます。

認可とは、認証された主体に対して特定のリソースへのアクセス権限を与えるプロセスを指します。認証が「誰か」を確認するものであるのに対し、認可は「何ができるか」を決定するものです。

代表的な手法として、役割に応じて一括で権限を付与するロールベースアクセス制御があります。また、必要最小限の権限のみを許可する「最小権限の原則」を適用すれば、万が一アカウントが乗っ取られた際の被害を最小限に抑えることが推奨されています。

デジタルアイデンティティを安全に運用するには、提示された属性が改ざんされていないことや正当な発行元によるものであることを証明する仕組みが不可欠です。

現代のシステムでは、属性が単なる自己申告ではなく、検証可能であることが求められます。これを支えるのが、公開鍵基盤（PKI）やデジタル署名といった暗号技術です。

たとえば特定のサーバーにアクセスする際、デバイス側が持つデジタル証明書を検証することで、そのアイデンティティが信頼できるものであることを数学的に証明します。こうした技術的裏付けがあることで、パスワードという脆弱な情報に依存しない、より安全で強固な認証環境の構築が可能になります。

前項で説明したように、散在するアイデンティティの信頼性を高め、効率的かつ安全に管理するためには、特化した技術が必要です。

その技術を適用するためには、アイデンティティ管理ツール（IdM/IAM・Identity and Access Management）の導入が不可欠です。アイデンティティ管理ツールを導入することで、アイデンティティのライフサイクル全体を一元管理できるようになります。

具体的には、以下のような機能を利用できます。

アイデンティティ管理ソリューションには、自社サーバーで運用するオンプレミス型やクラウドから提供されるIDaaS（Identity as a Service）というサービスなどがあります。

現在は、初期コストを抑えつつ迅速に導入でき、複数のSaaSとの連携に長けたIDaaSが主流です。企業の規模や扱う情報の機密性に応じて、適切なソリューションを選択することが重要となります。

アイデンティティとは、デジタル空間において特定のエンティティを一意に識別するための属性の集合です。これは単一の識別子であるIDや、権限管理の単位であるアカウントを包含する、より広義で本質的な概念といえます。

現代のセキュリティにおいて、アイデンティティは物理的なオフィスの壁に代わる新しい境界線です。認証・認可のプロセスを厳格化し、コンテキストに応じたリスク判断を行うアイデンティティ管理の実装こそ、ゼロトラストを実現し、高度化するサイバー攻撃から組織を守る鍵となります。

IDはアイデンティティを構成する要素のひとつであり、システムが対象を一意に特定するための識別子を指します。これに対し、アイデンティティはIDを含む名前や所属などの属性全体の集合のことです。

詳しくは、記事内「アイデンティティとID、アカウントの関係」をご覧ください。

パスワードという単一の属性だけでは、漏えいや盗難によるなりすましを防ぐことが困難だからです。複数の異なる種類の属性を検証することで、アイデンティティの真正性をより確実なものにする必要があります。

詳しくは、記事内「認証」をご覧ください。

管理者が把握していないアイデンティティやアカウントが作られることで、退職者による不正アクセスや、管理外のリソースからの情報漏洩リスクを制御できなくなるためです。

詳しくは、記事内「シャドーITによるアイデンティティ管理に課題がある」をご覧ください。

NISTIdentity & Access Management