AI導入の加速にセキュリティ体制が追いつかず、企業の過半数で自律型エージェントの管理が初期段階に留まる実態が判明

要点

• セキュリティ企業SailPointの調査により、企業の急速な自律型AI導入に対して安全管理の仕組みが旧来の人間向け手順に依存している「速度のパラドックス」が明らかになった。

• アイデンティティ管理に取り組む企業の60%が依然として初期的な成熟度段階に留まっており、投資を重ねても市場全体の成熟が進まない構造的な限界が浮き彫りになった。

• 人間の従業員向けアクセス管理では最低段階の企業が23%まで減少した一方、AIエージェントなどの非人間向け管理では54%が最低段階にあるという極端な格差が示された。

• 数秒から数分で消滅するマシンに人間の定期的な権限審査を適用する運用は形骸化しており、機械の速度に合わせた継続的かつ自動的な権限管理への転換が求められている。

• アイデンティティセキュリティ（システムや利用者の認証と権限を適切に統制する仕組み）を手がける米SailPointは、企業のアクセス管理成熟度をまとめた最新調査レポート「Horizons of Identity Security」を公表した。ビジネスの迅速化を目指して自律型AIエージェントの導入を進める企業が増加する一方で、セキュリティ側の管理基盤が旧態依然とした人間向けの枠組みに縛られている実態が報告されている。調査では、AIがもたらす処理速度の向上と、人間を前提とした遅いセキュリティ制御との間に生じる構造的な断絶が浮き彫りとなった。

市場全体の6割が初期段階で足踏みを続ける現状

レポートによると、アイデンティティおよびアクセス管理（IAM：利用者の識別情報とアクセス権限を統合管理する技術）に対する長期的な投資が行われてきたにもかかわらず、セキュリティ成熟度の向上は頭打ちになっているという。調査対象となった組織の合計60%が、成熟度モデルにおける初期段階である「Horizon 1（正式なプログラムが存在しない段階）」または「Horizon 2（手動作業やツール補助に頼る段階）」に留まっていることが確認された。

こうした傾向が複数年にわたって継続している点について、レポートは企業側の努力不足が原因ではなく、旧来のアーキテクチャが限界を迎えているためだと分析している。人間の従業員を管理するために作られた従来の運用ルールは、1分間に数千件規模の処理を自律的に実行するAIエージェントの統制に対して、有効にスケールさせることができない実情が指摘されている。

人間向けとAIエージェント向けで二極化する成熟度

アクセス管理の成熟度を「人間」と「非人間（AIエージェントなど）」に分けて比較した結果、両者の間には大きなタイムラグが存在することが明らかになった。

人間の従業員を対象としたアイデンティティ管理については着実な進展が見られる。5年前の調査時点では最も低い成熟度（Horizon 1）に分類された組織が45%を占めていたが、今回の調査ではその割合がほぼ半減し、23%にまで改善した。

これに対して、非人間やAIエージェントのアイデンティティ管理は著しく遅れている。現在、非人間アイデンティティの管理において最も低いHorizon 1に位置する組織は全体の54%に達している。この数値は、5年前における人間向けセキュリティの初期水準よりもさらに悪い状態を示している。

レポートでは、人間に対する高度なアクセス管理能力を備えた組織であっても、その管理基準をクラウド上の処理基盤やAIエージェント環境にまで適用しきれていないと説明されている。この事態は、組織のセキュリティ管理能力が不足しているわけではなく、管理の適用範囲が追いついていない「カバレッジの不足」によるものだと結論づけられている。

短命なシステムに人間の審査手順を当てはめる「デジタル化の罠」

レポートは、人間を基準に構築された手順を機械にそのまま適用しようとすることが破綻を招いていると指摘する。中程度の成熟度に位置する企業では、新入社員の入社手続きや定期的なアクセス権の見直しといった人間中心の業務フローをデジタル化することには成功している。しかし、わずか数分や数秒しか存在しないような一時的なマシンアイデンティティ（APIやコンテナなど人間以外のプログラムが使用する認証情報）に対して、従来のような月次や四半期ごとの定期審査を適用しても、運用上の負担が増すばかりで実効性を失ってしまう。

この課題を克服して高い成熟度段階へと進んだ先進企業では、申請チケットに基づく手動のアクセス承認や、常にアクセス権を付与し続ける恒常的な特権設定を廃止している。その代わりに、接続時の状況に応じて継続的かつ自動的にポリシーを判定・適用する、機械の速度に見合ったアクセス制御へと移行を進めているという。

形骸化する「バランス重視」とガバナンス統合の必要性

スピードの追求とセキュリティの維持が対立する中で、市場のおよそ半数（49%）の組織は「双意を均等にバランスさせている」と回答している。しかしレポートの分析によれば、それを実行できる運用能力が伴っていない姿勢は有効な戦略ではなく、単なる判断の先送りにすぎないとされている。多くの企業がAIの速度で事業を進めたいという目標を持ちながら、足元では人間向けの低速な基盤から抜け出せず、身動きが取れなくなっている状態にある。

レポートの総括として、自律型AIを導入する企業であっても、セキュリティ基盤をゼロから作り直す必要はないと述べられている。当面の現実的な対策として、社内システム全体で個別に稼働している未管理の非人間アイデンティティを既存の実証済みガバナンスの枠組みに取り込み、AIの実行速度に対応可能な単一の管理基盤へと統合することが急務であると示されている。