1. AIの業務利用が、ID管理の前提を変えた
生成AIやAIエージェントが、急速に業務の中へ入り込んでいます。文書作成、要約、問い合わせ対応、コード生成、さらには複数の作業を自律的にこなすAIエージェントまで——AIは、いまや多くの企業にとって「使うのが当たり前」の道具になりつつあります。
この変化は、セキュリティ、とりわけID管理（誰が・何に・どこまでアクセスできるかの管理）の前提を静かに、しかし根本から変えつつあります。従来のID管理は「社員という人間を管理すること」を中心に組み立てられてきました。ところがAIの利用が広がると、「人間だけを管理していれば十分」とは言えなくなります。本記事では、AI時代に求められるID管理の新しい考え方を整理します。
この記事で扱う「ID管理」の広がり
これまでのID管理は、主に「社員・委託先といった人間のアカウント」を対象にしてきました。しかしAI時代には、AIエージェントやAIと連携するシステムといった「人ではないもの」も、何かにアクセスする主体になります。本記事では、この「人」と「人以外」の両方をどう統制するかという視点で、ID管理を捉え直します。
2. 生まれた2つの新しい問い
AIを業務に取り入れると、ID管理の観点から大きく2つの新しい問いが生まれます。
問い1：誰が、そのAIを使えるのか
1つ目は、「社内の誰が、どのAIを、どんな目的で使えるのか」という問いです。AIツールに機密情報を入力すれば情報漏えいにつながりかねませんし、誰がどんなAIを使っているか把握できていなければ、リスクの管理そのものができません。「AIを使う人間側のアクセス管理」を、これまで以上に丁寧に行う必要があります。
問い2：そのAIは、何にアクセスできるのか
2つ目は、「そのAI自身が、社内のどのデータ・どのシステムにアクセスできるのか」という問いです。とくに、業務システムを操作したりデータを読み書きしたりするAIエージェントは、それ自体が強力なアクセス権を持つ「主体」になります。このAIが持つ権限が広すぎれば、乗っ取られたり誤作動したりしたときの被害は甚大です。「AI自身のアクセス管理」という、これまでになかった論点が浮上します。
従来のID管理は、主に問い1（人間のアクセス）だけを考えれば足りました。AI時代には、問い2（AI自身のアクセス）も同じくらい重要になります。この2つを両輪で管理することが、これからのID管理の核心です。
3. 「人以外のID」が急増している
問い2に関連して知っておきたいのが、「非人間ID（NHI：Non-Human Identity）」という考え方です。これは、人間ではないもの——AIエージェント、サービスアカウント、APIキー、システム間連携用のトークンなど——が持つ「ID（アクセスするための資格）」を指す言葉です。
クラウドや自動化、そしてAIの普及により、こうした非人間IDは爆発的に増えています。業界では「非人間IDの数が、人間のIDを大きく上回っている」といった指摘もされるほどです（具体的な比率は環境によって異なります）。そして、その数の多さと管理の難しさから、非人間IDは新たなリスクの温床になっています。
この重要性を反映して、著名なセキュリティコミュニティであるOWASPは、2025年に「Non-Human Identities Top 10」として、非人間IDに関する代表的なリスクを整理・公表しました。そこでは、退職時（不要時）の適切な無効化ができていないこと、認証情報（シークレット）の漏えい、過剰な権限、長期間そのままの認証情報といった問題が、主要なリスクとして挙げられています。
「人以外のID」は管理が抜け落ちやすい
人間のアカウントには入退社という明確な区切りがあり、管理の仕組みも整っていることが多いものです。一方、AIエージェントやサービスアカウントといった非人間IDは、誰が作ったか・今も必要か・どんな権限を持つかが曖昧なまま放置されがちです。数が多く、目に見えにくいぶん、管理が抜け落ちやすい。AI時代のID管理では、この「人以外のID」をどう可視化し統制するかが大きなテーマになります。
AI時代のID管理、どこから手をつけますか？
AIを使う人のアクセス管理から、AI自身のアクセス統制まで。Net Peaceが、人と非人間IDの両方を見据えたID管理を支援します。
4. 求められる3つの視点
AI時代のID管理を整理すると、次の3つの視点が求められます。
| 視点 | 対象 | 主な狙い |
|---|---|---|
| ① 人のアクセス管理を強化する | AIを使う社員・委託先 | 誰がどのAIを使えるかを統制し、なりすまし・不正利用を防ぐ |
| ② AI・非人間IDを統制する | AIエージェント・サービスアカウント等 | AI自身のアクセス権を最小限にし、乗っ取り時の被害を封じ込める |
| ③ 利用を可視化する | AIの利用状況全体 | 誰が・どのAIを・何に使っているかを把握し、統制の土台にする |
① 人のアクセス管理の強化：AIを使う人間側の認証を、パスワードだけに頼らない強固なものにします。フィッシングなどで認証情報が盗まれ、なりすましでAIや機密データにアクセスされるのを防ぐことが目的です。
② AI・非人間IDの統制：AIエージェントやサービスアカウントに、業務に必要な最小限の権限だけを与えます。人間と同じように「固有のID」「最小権限」「アクセスの記録」を適用し、AIだからと特別扱いして広い権限を与えないことが重要です。
③ 利用の可視化：そもそも「社内で誰がどんなAIを使い、そのAIが何にアクセスしているか」が見えていなければ、①も②も実行できません。可視化は、すべての統制の出発点です。
5. 具体的に何から始めるか
AI時代のID管理は、壮大に見えて、実は「基本の徹底」と「対象の拡張」の組み合わせです。次のような順で取り組むのが現実的です。
- AIの利用状況を棚卸しする：社内でどんなAIツール・AIエージェントが使われているかを把握する。把握されていない「野良AI」がないかも確認する。
- 人の認証を強化する：AIや機密データにアクセスする人間の認証を、フィッシングに強い方式へ引き上げる。ここは従来のID管理の延長線上で取り組める。
- AI・非人間IDに固有IDと最小権限を与える：AIエージェントやサービスアカウントを「管理対象」として明確に位置づけ、固有のID・最小限の権限・アクセスログを適用する。
- 不要になったら確実に止める：使われなくなったAI連携・サービスアカウントを放置せず、無効化する。人間の退職者アカウントと同じ発想で。
- 利用ポリシーを整える：「どのAIを、どんな情報で、誰が使ってよいか」のルールを定め、周知する。
特に重要なのは、②のAI・非人間IDへの統制を「人と同じ厳しさ」で行うことです。「AIだから」「システムだから」と管理を緩めると、そこが弱点になります。人間のアカウントに適用してきた最小権限・棚卸し・確実な無効化といった原則を、AIや機械のIDにも広げる——これがAI時代のID管理の勘所です。
6. これからのID基盤に必要なこと
AIの業務利用は、今後さらに広がっていきます。それに伴い、社内で「何かにアクセスする主体」は、人間だけでなくAI・機械へと大きく広がり続けます。この流れの中で、ID管理は「人間の名簿を管理する」ことから、「人と、AIを含むあらゆるアクセス主体を、統一的に統制する」ことへと進化していく必要があります。
その土台になるのは、これまで繰り返し述べてきた基本の徹底です。すなわち、アクセスする相手が本人（本物）であることを確実に確認し、必要な範囲だけにアクセスを許し、不要になったら確実に止め、すべてを記録する——この一連の統制を、人にもAIにも一貫して適用できる仕組みを持つこと。とりわけ、人間の認証をパスワードのような盗まれやすいものに頼り続けている状態は、AIという新しい入口が増えた今、これまで以上に危うくなっています。
AIを安全に活用できるかどうかは、華やかなAI技術そのものよりも、むしろその足元にある「誰が・何が・何にアクセスできるか」を統制する地道な基盤にかかっています。自社のID管理が、人間だけを前提にした古い枠組みのままになっていないか——AIの導入を進める前に、一度この観点から見直してみることを強くおすすめします。その見直しこそが、AIを味方につけるための確かな第一歩になります。