認証情報漏えい、90％の企業で常態化　経営リスク視するも投資は最下位

認証情報漏えいを経営リスクと捉える企業が84.0％に上る一方、全社のID・アクセス権限を「全て把握できている」と回答したのは48.5％だった。ID管理への危機感と実際の管理状況には隔たりがあることが調査で示された。

　認証情報漏えいへの危機感が高まる一方、企業のID・アクセス管理には課題が残っている。ジョーシスがCIO（最高情報責任者）や情シス部門役員などを対象に実施した調査によると、84.0％が認証情報漏えいに危機感を持つ一方、全社のID・アクセス権限を「全て把握できている」とした回答者は48.5％だった。

90％の企業で管理漏れ　なのに進まないセキュリティ投資

　SaaSやシステムへのアクセスに使うID・パスワードなどの認証情報の漏えいをどの程度のリスクと考えるかという設問では、「企業全体に影響する重大な経営リスク」が52.5％、「企業全体に影響する経営リスク」が31.5％となり、合計で84.0％に達した。その一方で、「全社のID・アクセス権限を全て把握できている」とした回答者は48.5％だった。

　この認識と実態のギャップは、同社のアイデンティティーセキュリティ基盤「Josys」導入企業を対象とした別の調査でも表れた。「導入後にSaaS・IDの管理漏れが判明した」企業は89.7％、「それまで管理担当者から見えていなかったSaaS・IDを新たに発見した」企業は86.2％に上った。自社ではIDやアクセス権限を把握できていると認識していても、管理対象そのものから漏れているSaaS・IDが存在する可能性が示された。

　管理対象は従業員だけにとどまらない。調査では、「AIエージェントの利用状況を把握し、アクセス権限まで管理している」との回答は44.0％だった。AIエージェントは専用IDやサービスアカウントなどを使ってSaaSやデータにアクセスするため、どのAIがどのSaaSと連携し、どの権限を持つのかを継続的に把握することが課題となる。

　ポリシー整備においては、ジョーシスが調査対象とした6項目全てを全社共通のポリシーとして明文化し、かつ全社で実行できているとした回答者は20.5％にとどまった。

　また、セキュリティ投資の優先順位を尋ねた設問では、「ネットワーク」「エンドポイント」「データ」「クラウド」の順となり、アイデンティティーセキュリティは5位となった。57.5％が最下位に位置付けており、認証情報漏えいを経営リスクと捉える人が多い一方、関連するセキュリティ投資の優先順位は低いことが示された。

　対策を阻む要因については、「専門知識・人材不足」が46.0％で最多となり、「人員・時間不足」が32.5％、「予算不足」が31.5％で続いた。認証情報漏えいへの危機感が高い一方、管理対象の可視化やポリシーの整備・実行、投資の優先順位には課題が残っていることがうかがえる。

　なお、今回の調査は、従業員300人以上の企業・団体に勤務するCIO・CISO、情報システム・IT・セキュリティ部門の役職者200人を対象に、2026年7月24～30日にかけてインターネットで実施された。また、別途実施した調査は、「Josys」を導入済みの企業58社を対象に、2026年8月5～18日に実施した。

ニュースピックアップ

この連載の記事をもっと見る

この記事の著者