「誰が何にアクセスできるか」を管理するIAMの仕組みが整った企業が次に直面するのが、「その権限は本当に適切か」「誰がいつ承認したのか」を継続的に証明できるかという課題です。この課題に応えるのがIDガバナンス（IGA：Identity Governance and Administration）です。本記事では、IGAの基本的な考え方と、企業が押さえるべき主要機能を解説します。
1. IDガバナンス（IGA）とは何か
IGAとは、組織内のアクセス権限が「誰に」「なぜ」「いつまで」付与されているかを可視化し、定期的な見直し（認証・レビュー）と、ポリシー違反の検知・是正を継続的に行う仕組みの総称です。単に「アクセスを許可・拒否する」だけのIAMに対し、IGAは「その許可が適切であることを、組織として説明・証明できる状態」を作ることに主眼を置きます。
金融・医療・上場企業など、内部統制やコンプライアンス要件が厳しい業界では、IGAは監査対応の中核をなす仕組みとして位置づけられています。
2. IAMとIGAの違い
IAMとIGAはしばしば混同されますが、担う役割は異なります。
| 観点 | IAM | IGA |
|---|---|---|
| 主な問い | 「アクセスを許可するか」 | 「そのアクセスは適切か、説明できるか」 |
| 時間軸 | アクセス時点（認証・認可） | 継続的（定期レビュー・監査対応） |
| 主な利用者 | エンドユーザー、システム管理者 | 権限承認者、監査担当者、コンプライアンス部門 |
| 代表的な機能 | 認証（SSO・MFA）、プロビジョニング | アクセス認証、職務分離（SoD）、ポリシー違反検知 |
実務上、IGAはIAMの上位に位置づけられる「統制レイヤー」と捉えると理解しやすくなります。IAMが「日々の運用」を担い、IGAが「運用が正しく行われていることの継続的な検証」を担う、という関係です。
アクセス権の可視化・監査対応は、Net Peaceにご相談ください
KeyperはFIDO2認証に加え、アクセス権限の棚卸し・定期レビュー機能を提供し、SCS評価制度をはじめとする第三者評価への対応を支援します。
3. 主要機能：アクセス認証（Access Certification）
アクセス認証（Access Certification、アクセスレビューとも呼ばれる）とは、既に付与されている権限が現在も業務上必要かどうかを、上長や権限管理者が定期的に確認・承認するプロセスです。人事異動が発生しても、旧部署で付与された権限がそのまま残り続ける「権限の積み上がり」を防ぐための、IGAの中核機能の一つです。
効果的なアクセス認証を実現するには、承認者に「このユーザーがこの権限を持つ理由」が一目でわかる情報（職務内容、最終利用日等）を提示する仕組みが重要です。情報が不十分なまま形式的に「承認」ボタンが押されるだけの運用では、レビューの実効性が失われます。
4. 主要機能：職務分離（SoD）
職務分離（SoD：Segregation of Duties）とは、不正やミスを防ぐために、相反する権限を同一人物に付与しないよう統制するルールです。例えば「支払いの申請」と「支払いの承認」を同じ人物が行える状態は、不正が発生しても検知が困難になるため、SoD違反として扱われます。
IGAツールは、こうした「組み合わせてはいけない権限のペア」をルールとして定義し、新たな権限付与がSoDルールに抵触しないかを自動的にチェックする機能を提供します。すでに違反状態にある組み合わせを検出し、是正を促すことも可能です。
5. 主要機能：ポリシーベースのアクセス制御
IGAでは、個々のユーザーに対して手動で権限を割り当てるのではなく、「どの役職・部署の人には、どの権限セットを付与する」というポリシー（ロールモデル）を事前に定義し、それに基づいて権限を一律に適用する運用が推奨されます。これにより、担当者ごとの裁量による権限付与のばらつきを防ぎ、監査時にも「このポリシーに基づいて権限が付与されている」ことを一貫して説明できます。
6. IGA導入のステップ
| ステップ | 内容 |
|---|---|
| 1. 権限の棚卸し | 現状、誰がどのシステムにどんな権限を持っているかを可視化する |
| 2. ロールモデルの設計 | 役職・部署ごとに標準的な権限セット（ロール）を定義する |
| 3. SoDルールの定義 | 組み合わせてはいけない権限のペアを洗い出し、ルール化する |
| 4. アクセス認証サイクルの運用開始 | 四半期〜半年ごとの定期レビューを、承認者を巻き込んで運用する |
| 5. 監査証跡の整備 | レビュー結果・承認履歴が監査時にすぐ提示できる状態を維持する |
よくある質問
Q1: IGAは大企業だけに必要なものですか？
厳密なIGAツールの導入は大企業や規制業種で先行していますが、権限の定期棚卸しや職務分離の考え方自体は、企業規模を問わず重要です。中小企業では、まず表計算ソフトなどでの簡易的な棚卸しから始め、組織の成長とともに専用ツールの導入を検討するアプローチも現実的です。
Q2: アクセス認証はどのくらいの頻度で実施すべきですか？
一般的には四半期に1回、少なくとも半年に1回程度の定期レビューが推奨されます。特権アカウントや機密性の高いシステムへのアクセスについては、より高い頻度（月次等）でのレビューが求められる場合もあります。
Q3: SoD違反はどうやって発見すればよいですか？
まずは自社の業務プロセスの中で「不正やミスにつながりうる権限の組み合わせ」を洗い出すことから始めます。IGAツールを導入すれば、この組み合わせルールをシステムに登録し、権限付与のたびに自動チェックする運用が可能になります。
7. まとめ
IDガバナンス（IGA）について解説した内容を振り返ります。
- IGAは、アクセス権限が「適切であることを継続的に説明・証明できる状態」を作る統制の仕組み
- IAMが日々の認証・認可を担うのに対し、IGAはその運用が正しいかを継続的に検証する上位レイヤーに位置づけられる
- アクセス認証（定期レビュー）、職務分離（SoD）、ポリシーベースのアクセス制御が主要な機能
- 導入は、権限の棚卸し→ロールモデル設計→SoDルール定義→定期レビュー運用という順序で進めるのが現実的
Net PeaceのKeyperは、FIDO2による認証強化とあわせて、アクセス権限の可視化・定期レビューを支援し、監査・第三者評価への対応をサポートします。