今回の改正案は、「適正なデータ利活用の推進」「リスクに適切に対応した規律」「不適正利用等の防止」「規律遵守の実効性確保」という4つの柱のもと、12の項目で構成されています。なかでも注目すべきは、1,000人を超える個人情報を扱う事業者が対象となる課徴金制度の新設です。これは個人情報保護法の歴史上初めての金銭的行政罰であり、中堅企業にとって最も大きな影響をもたらす改正点といえます。

本記事では、改正案の主要ポイントを、中堅企業の法務・情報セキュリティ担当者の視点から整理し、企業が今から準備すべき対応ステップとリスクの実態をまとめています。

2026年改正の主なポイント

2026年改正案は、個人情報保護委員会(PPC)が2026年1月9日に公表した「個人情報保護法 いわゆる3年ごと見直しの制度改正方針」に基づいて策定されました。本章では、制度改正方針で示された12項目のうち、中堅企業の実務に最も影響が大きい8項目を、影響の大きさ順に解説します。

12項目は4つの柱のもとに整理されています。

• 適正なデータ利活用の推進：AI学習や統計利用における同意要件の緩和を扱います。
• リスクに適切に対応した規律：子どもの個人情報、顔特徴データ、外部委託先管理などの新たな保護規律を新設します。
• 不適正利用等の防止：連絡可能個人関連情報という新類型を創設し、オプトアウト要件を厳格化します。
• 規律遵守の実効性確保：課徴金制度の導入と罰則強化により、改正全体を実効化する仕組みを整えます。

課徴金制度の導入

2026年改正案は、課徴金制度(改正法第148条の3～17)を新設し、個人情報保護委員会が事業者に対して直接、課徴金の納付を命じることを可能にします。個人情報保護法の歴史上初めての金銭的行政罰となります。

課徴金の対象は、個人情報の不適正利用・不正取得・第三者提供違反等のうち、当該事案に係る本人の数が1,000人を超える大規模事案で、かつ事業者が「相当の注意」を怠った場合です。額は、違反行為で得られた財産的利益等に相当する額を基準に算定されます。具体的な算定方法や手続きは、今後委員会規則で整備されます。

適用には複数の条件があり、権利利益侵害程度が大きくない場合は対象外とされる予定です。

子どもの個人情報保護の強化

16歳未満の個人情報の取扱いについて、法定代理人(親権者)の同意取得が必須化される方向です。あわせて、16歳未満の本人による利用停止等請求の要件が緩和されます。事業者には、16歳未満の本人の個人情報を扱う際の「最善の利益」に配慮する責務も新たに規定される見込みです。

EdTech、ゲーム、若年層向けB2C SaaS等は、ユーザー登録フローや親権者同意取得メカニズムの見直しが必要になります。

顔特徴データ等・生体認証データの規律新設

生体認証データ、特に顔特徴データ(顔認証システムで用いる特徴量データ)は、一意性が高く本人が認識しないまま取得可能な特性から、新たな規律の対象となります。具体的には、周知義務、利用停止等請求の対象化、オプトアウト方式による第三者提供の禁止が定められる予定です。

規律の対象は「顔特徴データ」であり、単なる顔写真は対象外です。オフィスの入退室管理や店舗での顔識別マーケティングを行う事業者は、自社システムが特徴量を抽出・保存しているか確認が必要です。

AIトレーニング・統計利用における同意例外

統計情報等の作成のみに利用される場合(AI開発を含む)、第三者提供の本人同意が不要となる例外(改正法第30条の2)が新設されます。要配慮個人情報も、公表されている場合は同意なしでの取得が可能になる方向です。

同意例外の適用には、利用目的の公表、書面合意、目的外利用の禁止等の条件が課されます。「AI学習目的でのデータ第三者提供」と「AI推論結果の利用」は別の規制対象である点に注意が必要です。後者は引き続き通常の同意ルールが適用されます。

連絡可能個人関連情報の新類型追加

改正案は、「連絡可能個人関連情報」という新しい情報類型を創設します。電話番号、メールアドレス、Cookie ID、住所等、単体では個人を識別できないものの、特定の個人に連絡可能な情報を指します。

従来、個人情報に該当しない情報は規制対象外でしたが、改正後は連絡可能個人関連情報にも不適正利用および不正取得の禁止が適用されます。マーケティングオートメーションやCookieを用いた広告配信を行う事業者は、データ取得・利用フローの見直しが必要です。

委託先管理の強化

委託先管理の規律が強化されます。委託契約において、委託元が指定した利用目的を超えた利用の禁止を明示することが義務化され、委託先における漏えい等の即時報告メカニズムも契約に組み込むことが求められます。

一方、機械的処理のみを行い取扱い方法を委託先が決定しない場合の免責規定も整備される予定です。クラウドサービスやSaaSを委託先として利用している場合、契約と運用の両面で見直しが必要になります。

漏えい発生時の本人通知義務の緩和

現行法では、漏えい等が発生した場合、本人への通知が一律に義務付けられています。改正案では、本人の権利利益保護に欠けるおそれが少ない場合に通知義務が緩和される方向で検討されています。社内ID単独の漏えい等が例として想定されています。

ただし、個人情報保護委員会への報告義務自体は緩和されません。緩和の具体的要件は委員会規則で整備される予定のため、現時点で「通知不要」と判断できる範囲は限定的です。

罰則の強化

課徴金制度の導入とあわせて、刑事罰の範囲も拡大されます。加害目的での個人情報データベースの提供、詐欺等による個人情報の不正取得が新たに処罰対象となり、法定刑も引き上げられる予定です。

中堅企業が特に注意すべき5つの改正点

2026年改正案の影響は、業種や規模によって大きく異なります。本章では、中堅企業にとって特に影響が大きい5つの改正点を、実務対応の観点から整理します。

1,000人を超える顧客データを持つ企業は課徴金対象

課徴金制度の対象判定で最も重要な指標が、「当該対象行為に係る個人情報または個人データの本人の数が1,000人を超える」という基準です(制度改正方針 p.6)。

ここで注意すべきは、この「1,000人」が事案ごと(per-incident)の数値であり、企業の保有データ総量ではない点です。とはいえ、CRMに登録された顧客情報、メールマガジン購読者リスト、ECサイトの会員データなど、中堅企業の多くは1件の漏えい事案でも容易に1,000人を超える規模のデータを保有しています。

つまり、「自社は中堅規模だから課徴金とは無縁」と判断するのは適切ではありません。社内の主要な顧客データベースを棚卸しし、1,000人を超えるデータセットがどこに存在するかを把握することが、対応の第一歩となります。

顔認証システム導入企業の新義務

オフィスの入退室管理、工場の作業者認証、店舗での来店客分析などに顔認証システムを導入している企業は、新たな規律の対象となります。具体的には、顔特徴データの取扱いに関する周知義務、利用停止等請求への対応、オプトアウト方式での第三者提供の禁止が定められる予定です。

ただし、規律の対象は顔の特徴量データ(顔特徴データ)であり、通常の防犯カメラ映像や顔写真自体は対象外です。顔識別を行うかどうかが分かれ目となるため、自社の顔認証システムが特徴量を抽出・保存しているかを技術担当者に確認することが重要です。

クラウド・SaaS委託の管理責任強化

中堅企業の多くは、人事システム、会計、CRM、コラボレーションツールなど、業務の大部分をクラウド・SaaSに依存しています。2026年改正案では、委託先における目的外利用の禁止を契約で明示することが義務化される方向です。

実務的な対応としては、以下の3点が優先事項となります。

委託先のアクセス管理は、特権ID管理(PAM)の文脈で運用するのが効率的です。クラウドサービスの管理者アカウントは、それ自体が委託先のもつ「特権」であり、ここでの管理不備が漏えいの起点となるケースが多く報告されています。特に第三者ベンダーや委託先のアクセスを管理する用途には、PAMの一形態であるベンダー特権アクセス管理(VPAM)が適しています。VPAMは、時間制限付き・ジャストインタイム方式での外部ユーザー向けアクセスに特化したアプローチです。

16歳未満ユーザーがいるサービスへの影響

EdTechサービス、オンラインゲーム、SNS、若年層向けB2Cサービスを運営する企業は、法定代理人(親権者)の同意取得フローを実装する必要があります。

具体的な対応としては、ユーザー登録フォームにおける年齢確認の追加、16歳未満のユーザー向けの親権者同意取得メカニズムの導入、未成年者から利用停止等請求があった場合の処理プロセス整備、などが想定されます。例外要件(本人が16歳以上と詐術を用いた場合等)の運用についても、別途整備が必要です。

漏えい時の対応プロセスの見直し

本人通知義務の緩和は、すべての漏えい事案で通知が不要になるわけではありません。「本人の権利利益保護に欠けるおそれが少ない場合」という限定的な条件のもとでのみ通知不要となる方向で、具体的な要件は今後委員会規則で整備されます。

実務面では、以下の整備が優先事項です。

• 漏えい発生時の内部報告フローの整備(検知から個人情報保護委員会への報告までのタイムライン明確化)
• 委託先からの即時報告を契約上担保するメカニズム
• 通知不要要件への該当性を判断するプロセス(誰が、何を根拠に、どう判断するか)

企業が今すべき対応ステップ

改正法案の成立は2026年中、施行は1～2年後と見込まれていますが、対応準備は今から始めるべきです。本章では、改正に向けて中堅企業が優先的に取り組むべき4つの対応ステップを整理します。

アクセス制限・特権ID管理の見直し

個人情報保護法違反の多くは、アクセス制限の不備を起点として発生します。改正案で新設される課徴金制度の対象となる「不適正な利用」「不正取得」「第三者提供違反」のいずれも、結局のところ、認証情報やアクセス権限の管理失敗から始まるケースが大半です。

優先的に見直すべきは以下の3点です。

特に、特権アカウントの管理はPAMの仕組みで運用するのが効率的です。属人的なパスワード共有や、Excelでの認証情報管理は、改正案が想定するリスク管理水準には到底及びません。

ログ管理・監査体制の整備

漏えい等が発生した際、「いつ、誰が、どのデータに、どのようにアクセスしたか」を追跡できる体制が、改正法のもとでは事実上必須となります。個人情報保護委員会への報告義務、課徴金算定の根拠提示、本人通知要否の判断、いずれもログがなければ実行不可能です。

整備すべきポイントは以下のとおりです。

• 監査ログの保存期間：少なくとも1年以上、できれば3～5年
• 改ざん防止：ログ自体の完全性を担保する仕組み
• SIEM等との連携：異常検知の自動化
• 定期的なログレビュー体制：取得して終わりにせず、定期的に確認する運用

中堅企業の場合、SIEM製品の本格導入が予算的に難しいケースもあります。その場合は、まず認証情報管理ツールに付属する監査ログ機能の活用から始めるのが現実的です。

暗号化・データ保護の強化

個人情報保護法における「安全管理措置」の中心は、データそのものの保護、すなわち暗号化です。改正案でも、課徴金適用の判断における「相当の注意」の要素として、技術的安全管理措置の水準が考慮されます。

暗号化は、データの状態に応じて3つの層で検討する必要があります。

• 保管時の暗号化：データベース、ファイルサーバー、バックアップの暗号化
• 通信時の暗号化：TLS／SSL、VPN等による通信経路の保護
• 利用時の暗号化：ゼロ知識暗号化等、サービス提供者にも内容が見えない仕組み

特に認証情報のような機微なデータの保管には、ゼロ知識暗号化の採用が推奨されます。これは、暗号化された状態のままサーバーに保管され、利用者本人以外(サービス提供者を含む)が内容を解読できない方式です。万一サーバーが侵害されても、データそのものが漏えいするリスクを最小化できます。

なお、日本のCRYPTREC(電子政府推奨暗号リスト)に登録されているAES等の暗号アルゴリズムは、個人情報保護委員会のFAQでも安全管理措置として認められており、改正法のもとでも引き続き有効な選択肢となります。

社内ガバナンス体制の再点検

技術的対策と並行して、組織的・人的な対応も不可欠です。優先順位の高い項目は以下のとおりです。

• プライバシーポリシーの改訂：連絡可能個人関連情報、顔特徴データの取扱いに関する記載の追加
• 内部規程の更新：個人情報取扱規程、委託先管理規程、インシデント対応手順書の見直し
• 従業員研修：改正内容と自社業務への影響を説明する全社研修の実施
• インシデント対応プロセスの整備：検知から個人情報保護委員会への報告、本人通知までのタイムラインと役割分担の明確化

中堅企業の場合、これらすべてを社内リソースだけで進めるのは現実的ではありません。改正の12項目すべてに対して、技術的・組織的対応の優先度を明確にし、計画的に取り組むことが求められます。

改正法未対応の企業リスク

改正法対応を怠った場合、企業は法的・財務的・経営的に複数のリスクにさらされます。本章では、それらのリスクの実態と、リスクの根本的な原因について整理します。

行政処分・刑事罰・課徴金リスク

現行の個人情報保護法では、法人に対する罰則として1億円以下の罰金が定められています(法第184条)。改正案では、この刑事罰の対象範囲が拡大されるとともに、新設される課徴金制度のもとで、個人情報保護委員会が事業者に対して直接、課徴金の納付を命じることが可能になります。

ただし、すべての違反事案に対して自動的に課徴金が課されるわけではありません。制度改正方針 p.6では、課徴金適用の要件として「1,000人超の大規模事案」「相当の注意を怠ったこと」「権利利益侵害程度が大きくない場合に該当しないこと」の3つの条件が示されています。

漏えい等が発生した際の個人情報保護委員会への報告手続きについては、現行の枠組みが引き続き適用されますが、改正後はその不履行自体が課徴金リスクを高めることになります。

レピュテーション・損害賠償リスク

法的制裁以上に企業経営に長期的なダメージを与えるのが、レピュテーションリスクと損害賠償リスクです。過去には、ベネッセコーポレーション(2014年)の漏えい事案、リクルートキャリア「リクナビ」事件(2019年)など、データの不適切な取扱いが企業のブランド価値を大きく毀損した事例が複数あります。ベネッセの事案では、顧客離反、株価下落、経営責任の追及へと発展しました。リクナビ事件は、従来型の漏えいではなく、求職者の行動データを十分な同意なしに第三者提供したことが問題となり、サービス終了とリクルートキャリアへの大規模なレピュテーション毀損につながりました。

個人情報保護委員会の令和6年度年次報告によれば、同年度の漏えい等報告件数は19,056件に達し、過去最多となりました。漏えい等のインシデントは、もはや「起こる前提」で対応プロセスを設計する必要があるフェーズに入っています。

加えて、令和2年改正法施行以降、本人通知が義務化されたことで、漏えい事案がメディアやSNSで可視化されるリスクも飛躍的に高まっています。発覚から世論形成までのスピードは、企業のリスク管理計画が想定する時間軸を上回るケースも珍しくありません。

漏えいの根本原因は認証情報管理の失敗

行政処分、課徴金、レピュテーション低下、損害賠償。これらは結果として現れるリスクですが、その根本原因の多くは、技術的な脆弱性ではなく「認証情報管理の失敗」にあります。

実際の漏えい事案を分析すると、その大半は以下のようなパターンに分類されます。

• フィッシングによるアカウント乗っ取り
• パスワードの使い回しによる不正アクセス
• 退職者のアクセス権限が削除されずに悪用
• 委託先従業員の認証情報管理不備による情報持ち出し
• クラウドサービスの管理者アカウントの設定ミス

つまり、課徴金リスクの実質は、認証情報管理の失敗です。改正法案が想定する「相当の注意」の水準を満たすには、暗号化やアクセス制限といった個別の技術対策に加え、それらを統合的に運用する認証情報管理基盤の整備が不可欠です。

Keeperによる改正個人情報保護法対応

Keeper®は、ゼロ知識暗号化を基盤としたパスワード管理および特権ID管理(KeeperPAM)を通じて、2026年改正個人情報保護法対応の中核となる「アクセス制限・ログ管理・暗号化」の3要素を支援します。両製品はゼロ知識暗号化を基盤としています。

企業向けパスワードマネージャーは、組織全体の認証情報を一元管理し、ロールベースのアクセス制御と退職・異動時の即時権限削除により、漏えい事案の主因となるアクセス制御の不備を解消します。多要素認証(MFA)やSSO連携により、課徴金制度の対象となる「不正アクセス」起点の漏えいをさらに防ぎます。KeeperPAMは、ジャストインタイム・アクセスとゼロトラスト接続を通じて、中堅企業が依存するクラウドやSaaS環境への安全なアクセスを提供し、2026年改正で強化される委託先管理要件に直接対応します。高度なレポート・アラート機能(ARAM)は300種類以上のイベントを記録し、主要SIEMとの連携にも対応しています。個人情報保護委員会への報告や課徴金算定に必要なアクセス追跡を実現します。すべてのデータはAES-256で暗号化され、日本のCRYPTREC(電子政府推奨暗号リスト)の基準にも準拠しています。無料トライアルでKeeperをお試しいただくか、Keeperチームまでお気軽にご相談ください。

※本記事は2026年MM月時点の改正案に基づく一般的な解説であり、個別事案への法的助言ではないため、具体的な対応については弁護士等の専門家へご相談ください。

こうした信頼は計り知れない価値と共に、 責任を厳格に問う風潮も生み出しています。

MSPは長年、機能性、統合可能性、導入しやすさとサポート品質を基準にベンダーを評価してきました。 当然、セキュリティも評価基準の1つでしたが、多くの場合、新規購入の決断においては、多数の判断基準の1つにすぎませんでした。 ところが現在、状況は様変わりしています。

その理由としてサイバー攻撃の被害額の高騰、脅威アクターの高度化、サイバーセキュリティ対策の実効性の証明を求める中小企業に対する規制当局と保険会社からの圧力の高まりが挙げられます。

また、サイバーインシデントの被害組織は、攻撃者がアクセス権を入手したルートだけでなく、信頼を寄せるベンダーが被害防止に役立つデューデリジェンスを実施したかどうかも調査するようになっています。 その理由は明白です。提携テクノロジー企業を選定する際、調達以外の幅広い要因が考慮されるようになっているためです。 具体的には、セキュリティ要件、ビジネス成果、リスク管理といった要因を重視する傾向が高まっています。

MSPが追加するセキュリティベンダーはそれぞれMSPの顧客のセキュリティ戦略に織り込まれます。 パスワードマネージャー、バックアップソリューション、リモートアクセスプラットフォーム、IDプロバイダ、特権アクセスツールが追加されるたびに、信頼レイヤーは拡大していきます。 ベンダーが期待どおりの役割を果たせば、顧客企業のリスク軽減に役立ちますが、 問題を引き起こした場合は、深刻な痛手をもたらす恐れがあります。

つまり、多数の顧客環境を管理しているMSPにとって、適切な提携テクノロジー企業の選定はセキュリティに関する最も重要な決断と言えるでしょう。

MSP独自のサイバーセキュリティリスク

現代のサイバー攻撃者は、脆弱性だけでなく、攻撃効果を大幅に拡大させる要因を標的とします。 その多くは、1度に1社を対象とするのでなく、多くの下流環境への侵入口となる信頼関係に目をつけるようになっています。 その点でMSPはうってつけの標的となります。

MSPは多数の顧客環境にわたって、インフラ、アイデンティティ、エンドポイント、バックアップシステム、リモートアクセスツール、セキュリティ制御を管理するのが通例です。 サービスプロバイダのうち1社が侵害に遭えば、その影響は広い範囲に拡大する可能性があります。

ベライゾンの2025年度データ漏洩/侵害調査報告書によると、侵害にサードパーティが関わる率は30％に倍増し、認証情報の漏洩は22％と、引き続き主な初期侵入口となっています。 また、IBMの2025年データ侵害に関する調査は、米国でのデータ侵害コストを平均1,022万ドルと算出しています。 個々の顧客環境の保護責任を負うMSPにとって、これらのデータはベンダーのデューデリジェンス、アイデンティティセキュリティ、特権アクセス管理に対するニーズの高まりを強調するものにほかなりません。

上記の2つの調査を総じて見ると、MSPが痛感している現実が浮き彫りになります。「攻撃者は侵入するとは限らず、 単純にログインするケースも多数にのぼっている」のです。

MSPは多くの信頼関係の中心にあり、その脇を固める各ベンダーのセキュリティ態勢が重要となります。 バックアッププラットフォーム、リモートアクセスソリューション、アイデンティティ管理システムのいずれかに脆弱性があれば、その影響は無数のクライアント環境全体に波及する恐れがあります。

結論として、顧客基盤が拡大するほど、影響も広範囲に広がります。

最近のサイバーセキュリティ訴訟で問われたMSPの責任

サイバーセキュリティにおける最も重大な変化は、侵害後に責任の所在を探る傾向の高まりにあると考えられます。 攻撃が発生する前に、妥当なセキュリティ対策が講じられていたかどうかに重点が置かれるようになっています。 このような責任の追及対象は、攻撃者だけでなく、顧客の環境を保護するために契約しているベンダー、コンサルタント、サービスプロバイダへと拡大しています。

こうした変化を表す最近の事例がいくつかあります。

CSOオンライン版の報道によると、CloroxはCognizantを相手取り、約3億8,000万ドルの損害賠償訴訟を提起しました。 本人確認手順と認証情報のリセット手順が想定どおり機能しなかったことが大規模な業務停止を招いたサイバー攻撃の一因であるというのがCloroxの主張です。

このケースが注目される要因として、原告側の主張の焦点が高度な技術的エクスプロイトでなく、本人確認にある点が挙げられます。 アクセス権を付与する前に、ユーザーの身元を正確に検証する適切な手順が設けられていたかどうかが主な論点となっているのです。 複雑な現代のサイバーセキュリティを尻目に、本人確認手順の単純な不備が、攻撃者につけいる隙を与えた可能性があります。

MSP界で話題となった別の訴訟には、サービスプロバイダとその提携テクノロジー企業が直接関わっています。 ChannelE2Eの記事によると、米カリフォルニア州サクラメントを拠点とする法律事務所、Mastagni Holstedtは、破壊的なランサムウェア被害を受けた後、そのMSPであるLanTechとバックアップベンダーのAcronisの両社を提訴しました。 同事務所が求める賠償額は100万ドルを超え、導入された技術と復旧機能に対する懸念を掻き立てています。

このケースで重要なのは、被告側が最終的に勝訴するかどうかではなく、 訴訟に持ち込まれたという事実にあります。 同事務所は単純に攻撃者に焦点を当てるだけでなく、 侵害の防止と復旧支援で信頼を寄せた組織にも鋭い追求の目を向けました。 こうした風潮は、BleepingComputerが報じた別の訴訟でより明確になっています。このケースでMarquis Software Solutionsはランサムウェア攻撃の被害がバックアップアプライアンスの侵害と関連すると主張して、SonicWallを訴えました。

上記のケースでは、関連する技術、業界、状況はそれぞれ異なっていますが、 総じて見ると、主張の根拠は共通しています。すなわち顧客組織は信頼するベンダーとサービスプロバイダに、インシデントを事前に予防する効果的なセキュリティ対策を実証するよう求めています。 Keeperの法律顧問であるデビッド・オスキンはこの見方に賛同する次のような発言をしています。

MSPを取り巻く法規制環境はますます複雑化しており、訴訟への備えとリスク管理の重要性が高まっています。

主張はさまざまでも、信頼に関わる点は共通しています。 さらに重要なのは、「プロバイダは顧客のためにリスクを軽減するために他に何かできたのではないか」という疑問が解消されていない点です。

組織は機密データの保護をベンダーに一任しています。 サービスプロバイダは必要な保護策を講じていると信頼し、 危機が発生したらセキュリティ技術が期待どおり動作すると信頼しています。 こうした信頼が損なわれたとき、顧客組織のセキュリティ態勢に寄与するすべての決断に目を光らせる必要があります。

MSPがアイデンティティセキュリティを最優先すべき理由

Cloroxのケースがこれほど注目を集めたのは、業界全体にわたる広範な課題を浮き彫りにしているためです。つまり、アイデンティティがサイバーセキュリティの主戦場となっているという課題です。

長年にわたり、組織は攻撃者の侵入を防止するうえで、境界防御に重点を置いてきました。 攻撃者はここ数年で、こうした防御に対する適応力をつけており、 セキュリティ制御を直接迂回しようとせずに、システムへのアクセスを制御するアイデンティティを標的にすることが増えています。その主なものとして、認証情報、特権アカウント、認証ワークフロー、ヘルプデスク手順、アクセストークンが挙げられます。

信頼されているアイデンティティにアクセスできるようになると、攻撃者は正当なツールや特権を使って環境中を自由に動き回れるようになります。 認証情報の窃取、フィッシング、ソーシャルエンジニアリング、特権の濫用が複数の業界にわたって最もよく使われる攻撃手法となっているのはそのためです。

MSPにとってこの課題はさらに深刻なものとなります。 多数の顧客環境を管理するうえで、多数のアイデンティティ、特権アカウント、認証イベントを管理することが避けられないためです。 管理者の共有認証情報、管理対象外のシークレット、脆弱な認証プロセスといった不安要素が増えるたびに、リスクレベルも上昇します。

リスクを最小限に抑えるには、基本的なセキュリティ制御策として、スタンドアロンツールよりもアイデンティティを優先する方が多くの場合効果的です。

MSPによるベンダー評価のあり方

現代のサイバー攻撃の脅威を前に、MSPはベンダーをより批判的な目で、厳格に評価する必要があります。 製品機能、サポート品質、導入しやすさも従来どおり重要な決断要因ですが、 セキュリティアーキテクチャの重要度を高める必要があります。

既存スタックに新ソリューションを追加する際、以下の疑問点を事前に解消しておきましょう。

上記の質問に対する回答により、最終的に、単純にセキュリティ機能を宣伝するベンダーと、ソリューション、アーキテクチャ、運用にセキュリティを組み込んでいるベンダーとが区別されます。

MSPベンダーの選定で、セキュリティアーキテクチャが重要な理由

現在、最も破壊的なサイバー攻撃と、それに続く多くの精査段階に共通する要素がアクセスであり、 MSPが提携テクノロジー企業を選定するうえでアイデンティティセキュリティが特に重要となる要因でもあります。

Keeper^®は、認証情報、特権アカウント、アイデンティティといった、攻撃者の標的となることが多い要素を保護するためのツールです。 ゼロ知識セキュリティアーキテクチャ、企業向けパスワード管理、特権アクセス管理、シークレット管理、エンドポイント特権管理機能を通じて、アイデンティティを悪用した攻撃を未然に防ぐのに役立ちます。

上記の特長を持つKeeperは、MSPが特権アクセスの使用状況をより明確に把握し、認証情報に対する保護を強化し、管理するすべての顧客環境を保護するために自信を持って推奨できるプラットフォームにほかなりません。

ベンダー選定基準の引き上げ

MSPがベンダーを導入するごとに、そのセキュリティ戦略の適用範囲は拡大していきます。 MSPの顧客は、特定のソリューションの選定理由を知ることはないかもしれませんが、そのソリューションに不具合があった場合、判断ミスの影響を受けるのは明らかです。

サイバーリスクが高まる現代において、ベンダーの選定で機能、料金、導入しやすさを比較するだけでは不十分です。 現代のサイバー攻撃の脅威に耐えられるだけのセキュリティアーキテクチャ、アイデンティティ保護、運用上の成熟度を備えるベンダーを選定することが重要です。

サイバー攻撃の脅威が進化し、説明責任が増大する中で、MSPのベンダー選定の決断は、管理するすべての顧客環境の回復力を左右することになります。

MSP用パスワードマネージャーの無料トライアルを開始して、堅牢なゼロ知識暗号化と顧客を保護するために構築された高度なセキュリティ機能を備えるプラットフォームを今すぐご活用ください。

Keeperは現在、業界平均の4倍を超えるスピードで成長しています。

エージェント型AI時代におけるアイデンティティの急増の波に乗ったことに加え、顧客を保護するためのイノベーションに全力を傾けたことがこの業界屈指の成長力の源泉となっています。統合特権アクセス管理およびアイデンティティセキュリティプラットフォームであるKeeperPAM®の発表はまさにこうした努力のたまものです。このソリューションは、人間のアイデンティティだけでなく、サービスアカウント、マシンアイデンティティ、データベース、AIエージェント、エージェント型ワークロードなどの非人間アイデンティティ (NHI) も保護します。 2025年2月の発売以来、KeeperPAMの売上高は前年比10倍のペースで増加しています。Keeper自体も業界トップクラスの新規顧客増加率をあげ、獲得件数は月間平均で850件に達しています。 過去15か月にKeeperPAMに追加された革新的機能と製品の数も400を超えます。

「アイデンティティは新たなセキュリティ境界です」とKeeper SecurityのCEO兼共同創業者であるダレン・グッチョーネは語ります。 「企業がAIエージェントと自律型システムの導入を活発化するにつれ、特権アイデンティティとマシンの認証情報の数は飛躍的に増加していきます。こうした増加に対処するには、人間・非人間を問わず、すべてのアイデンティティを保護し、特権的操作にガバナンスを適用するための先端的な統合プラットフォームが必要となります。当社の急成長は、こうした課題に対処する専用プラットフォームに対する市場需要の増大を反映するものです」

Keeperのクラウドネイティブなサイバーセキュリティプラットフォームは、アイデンティティセキュリティと特権アクセス管理が単一プラットフォームで可能になるように、エンタープライズパスワード、シークレット、特権セッション、データベース、エンドポイント特権の一元的な管理機能を備えています。 アイデンティティセキュリティに対してAIネイティブ戦略を採用することで、これら機能を非人間アイデンティティやエージェント型AI環境にもシームレスに拡張しており、人間のユーザーと同様の厳格なルールを用いて、マシンの認証情報と自律型ワークロードを検出、管理、保護できます。

企業が大規模にAI技術を採用するなか、非人間アイデンティティは人間アイデンティティの150倍の速度で急増しているという報告もあります。これにより新たな攻撃対象領域が生まれ、運用の複雑さが増しています。 Keeperのプラットフォームは組織がアイデンティティ重視型のセキュリティ戦略を確立するのに役立ち、アイデンティティのエコシステム全体でセキュリティ、可視性、ガバナンス、最小権限制御を実現します。

Keeper SecurityのCTO兼共同創業者であるクレイグ・ルーリーは次の点を指摘します。「現在、企業環境では、適切なガバナンス、シークレット管理、アクセス制御が不在の状態で、自律型エージェント、最先端のLLM、マシン対マシン型ワークフローが実行されています。 Keeperはこの問題を大規模に解決する専用ソリューションなのです」

Keeperの継続的な成長と市場での高い評価は、サイバーセキュリティ業界の中でも、AIネイティブなアイデンティティセキュリティおよび特権アクセス管理ソリューション分野で革新性に優れる急成長企業としてのKeeperの地位を確固たるものにしています。 Keeperの財務プロファイルは、業界最高レベルの成長率、収益性、無借金の資本構成という好条件を兼ね備えており、エージェント型AI時代にアイデンティティセキュリティ分野をリードするうえで有力な資産となります。

「年間経常収益が2億2,500万ドルを超えたことで、非人間アイデンティティの保護がAI時代のセキュリティ課題の決め手となるという通説の正しさが証明されたことになります。 年間経常収益10億ドルへの加速軌道に乗った今、テクノロジーロードマップと相まって、株式公開という選択肢も視野に入れています」 (ダレン・グッチョーネ)。

*Gartner、マーケットシェア分析「2025年世界セキュリティソフトウェア」、ラフル・ヤダヴ、ディーパリ、2026年5月11日

Gartnerは、Gartner, Inc.またはその関連会社の商標です。

Gartnerは、自社の調査出版物に記載されたベンダー、製品、またはサービスを推奨するものではなく、技術利用者に対し、最高評価または特定の称号を持つベンダーのみを選択するよう助言するものでもありません。 Gartnerの調査出版物は、Gartnerビジネス・テクノロジーインサイト部門の見解を示すものであり、事実の陳述として解釈されるべきではありません。 Gartnerは、本調査に関して、明示的または黙示的を問わず、商品性や特定目的への適合性を含むいかなる保証も行いません。

KeeperのSlack、Teams、Jira、ServiceNowとの新しい連携機能により、 Keeperのゼロ知識・ゼロトラストアーキテクチャを維持したまま、ポリシーに基づく安全なワークフローを、チームが日常的に利用しているツールに拡張できます。 コラボレーションおよびITサービス管理 (ITSM) プラットフォームに安全なアクセスと特権ワークフローを直接組み込むことで、組織は既存のワークフローを妨げることなくリスクを軽減できます。

アクセスセキュリティを日常的なワークフローに組み込むべき理由

多くの組織では、アクセスリクエストはセキュリティコンソールからではなく、メッセージやチケットから始まります。 こうしたリクエストが手動で処理されたり、適切に管理されたシステムの外で処理される場合、ITチームはしばしば迅速さとセキュリティのどちらかを選択せざるを得ません。 KeeperPAMを使用すれば、チームはその選択に迫られることなく、さまざまな連携機能を通じてアクセスを安全かつ効率的に管理できます。 Keeperの連携機能により、チームは以下のことができます。

• アクセスのリクエスト、承認、管理をツールを切り替えることなく実行
• チャットメッセージやチケットコメントでの安全性に欠ける認証情報の共有をなくす
• 最小権限アクセスと承認ポリシーを一貫して適用
• アクセスリクエストから特権操作まで、すべての操作を監査できる状態を維持

これらすべては、Keeperのゼロ知識セキュリティモデルにより、シークレットが暗号化されたまま、完全にユーザーの管理下に置かれた状態で実現されます。

Slackでアクセスリクエストと承認を安全に管理

Slackはチームがリアルタイムで共同作業を行う場所であり、正式な手続きを経ないアクセスリクエストが行われることも多い場所です。 KeeperのSlack連携は、安全なアクセスワークフローをSlackに直接組み込むことで、こうしたやり取りにルールとセキュリティをもたらします。 KeeperのSlackアプリを使用すると、ユーザーはKeeperボルト内のレコードまたはシークレットへのアクセスをリクエストできます。そのリクエストは定義された承認ワークフローに沿って進められ、アクセスが承認、拒否、または更新されると、リアルタイム通知を受け取れます。 これによりセキュリティチームは、ユーザーに別のツールやシステムを通じてリクエストを送信させることなく、完全な可視性と管理を確保できます。

すべてのアクセス操作はKeeperを通じて処理されるため、シークレットがSlackメッセージに露出することはありません。 すべてのリクエストと承認が記録され、監査・コンプライアンス要件に対応しながら、ユーザーの手間を軽減します。 この連携を有効にするため、ユーザーにはKeeperシークレットマネージャーまたはKeeperPAMのライセンスが必要です。これによりアクセスはポリシーに基づいて管理され、ゼロトラストセキュリティの原則に沿った状態が維持されます。

Microsoft Teamsで安全なアクセスと承認を実現

Microsoft Teamsは多くの組織で日常的なコラボレーションに利用されています。しかし管理されたシステムの外でアクセスリクエストが行われると、ゼロトラストの運用を妨げる盲点が生まれます。 Keeper Teamsアプリは、管理しやすく監査可能なアクセスワークフローをTeams内に直接組み込み、ツールを切り替えることなく、ユーザーが特権アクセスの申請と承認を行えます。

KeeperをTeamsに連携すると、ユーザーは理由やカスタム権限、時間制限付きアクセス期間を指定して、ボルトレコードや共有フォルダへのアクセスをリクエストできます。また自動消滅機能付きURLを使用したワンタイム共有リンクもリクエストできます。 KeeperPAMと組み合わせることで、Keeperエンドポイント特権マネージャーからのジャストインタイム (JIT) 昇格リクエストは、専用のTeamsチャネルを通じてリアルタイムで承認者へ送られます。さらに管理者はTeamsを離れることなく、SSOクラウドデバイス承認を処理できます。

TeamsアプリはコマンダーサービスモードとあわせてDocker上でお客様の環境にホストされます。そのため、認証情報やシークレットはすべてお客様自身のインフラ内に保持されます。 Slack連携と同様に、KeeperシークレットマネージャーまたはKeeperPAMのライセンスが必要です。アクセスはポリシーに基づいて管理され、Keeperのゼロトラスト・ゼロ知識アーキテクチャとの一貫性が維持されます。

安全なアクセスワークフローをJiraに導入

多くの組織では、Jiraは運用やセキュリティに関するリクエストを一元的に管理するシステムとして利用されています。 KeeperのJira連携は、安全なボルト操作と特権ワークフローをJira課題に直接組み込み、チームが慣れ親しんだプロセス内で作業できるようにします。

KeeperをJiraと連携することで、チームはKeeperボルトのレコードへのアクセスをリクエストおよび承認し、権限を管理し、状況に応じて認証情報を更新できます。 すべての操作履歴は特定のJira課題に関連付けられ、詳細な監査証跡として記録されます。 KeeperPAMと組み合わせることで、組織は特定のエンドポイントやインフラリソースに対するJITアクセスを利用することもできます。

KeeperのJira連携機能は、Atlassian Forge向けのネイティブアプリとして提供されており、Keeperのゼロトラストアーキテクチャに準拠しながら、承認のやり取りやツールの切り替えによる遅延を削減します。 これによりセキュリティチームおよびITチームは、管理を維持したまま、より迅速に業務を進めることができます。

ServiceNow内の安全なワークフローを自動化

ServiceNowは、ITサービスの提供とセキュリティ運用において中心的な役割を果たしています。 KeeperのServiceNow連携により、組織はITSMプロセス内で安全なアクセスとシークレット管理のワークフローを直接自動化できます。

KeeperPAMとServiceNowを連携すると、チームは通常のITSMチケットの一部としてアクセスリクエストや承認を管理し、シークレットを安全に取得する処理を自動化できます。また、インシデントを自動的に作成して関連情報を追加することで、セキュリティアラートに対応できます。 これらのワークフローにより、機密データを手動で扱う作業が減り、対応時間が短縮され、組織全体で一貫したポリシーの適用を実現できます。 詳細な監査ログにより、組織はアクセスや特権操作を把握しやすくなります。また説明責任の確保とインシデント対応の強化にも役立ちます。

ゼロトラストとゼロ知識に基づく連携機能を活用

4つの連携機能はすべて、Keeperのセキュリティモデルを拡張し、強化するように設計されています。 シークレットは常に暗号化された状態で保持されます。アクセスはポリシーに基づいて管理され、承認はすべて監査対象となります。 Keeperがお客様のシークレットを閲覧することはありません。明示的な承認がある場合に限り、アクセス権が付与されます。

このアプローチにより、組織は強固なセキュリティ、コンプライアンス、環境全体の制御を維持しながら、アクセスのリクエスト、管理、承認のプロセスを効率化できます。

Keeperの連携機能を活用しましょう

チームがSlack、Teams、Jira、ServiceNowのいずれか、または複数を利用している場合でも、Keeperなら普段利用しているツール上で安全なアクセスを簡単に実現できます。 これらの連携により、セキュリティリスクの軽減、運用の効率化、ITSMワークフロー全体での最小権限アクセスの徹底を実現できます。

詳しくはKeeperの連携機能の一覧をご覧いただき、Keeperがお使いのツールとどのように連携できるかをご確認いただくか、無料トライアルをお試しください。

以下では、KeeperDBの仕組みと主な機能、データベースアクセスを保護する上でのメリットをご紹介します。

KeeperDBの仕組み

KeeperDBには、スタンドアロンのデスクトップアプリ版と、KeeperPAMのデータベースレコードから起動する組み込み版の2つの形態があります。 どちらのバージョンでも、提供されるエンドユーザーエクスペリエンスとコア機能は同じです。 アプリをダウンロードする場合でも、Keeperボルト内のPAMレコードから起動する場合でも、クエリエディター、データグリッド、スキーマエクスプローラー、ノートブック、パフォーマンスモニターはすべて同じように動作します。 デスクトップアプリ版とKeeperPAM組み込み版の違いは、認証情報の仲介、セッション録画、監視機能にあります。 KeeperDBをKeeperPAM内で実行すると、ワンクリックでのパスワードレスアクセス、視覚的なセッション監視、クエリのログ記録、AIによる脅威検知を備えた、完全に管理された接続として利用できます。

KeeperDBが従来のデータベースクライアントと一線を画す点は、ゼロ知識アーキテクチャです。 KeeperPAM経由でデプロイされると、短期間有効なデータベース認証情報はお客様がホストするKeeperゲートウェイコンテナ内で生成かつ復号され、暗号化されたチャネル経由でKeeperDBに配信されます。Keeperのサーバー上で処理されることは一切ありません。 KeeperDBをローカルで使用し、Keeperシークレットマネージャーと連携する場合は、認証情報はオンデマンドで一元管理されたボルトから取得され、セッション期間中のみメモリ内に保持されます。 この仕組みにより、データエンジニアやデータベース管理者が抱えている特権アクセスに関する主要な課題が解決します。たとえば、パスワードはKeeperでローテーションして自動更新でき、また請負業者やエンジニアのオフボーディングは1回の取り消し作業のみで完了できるようになります。 さらに、KeeperDBは実行時にKeeperフォースフィールドによって保護されるため、ローカル環境のマルウェアや情報窃取型マルウェアからメモリも保護されます。

KeeperDBへの接続方法

KeeperDBは5種類の接続方法をサポートしていますが、最適な方法は、個人で利用するか、特権アクセス制御の下で利用するかによって異なります。 それぞれの接続方法に共通するセキュリティモデルについて詳しくは、KeeperDBがデータベースアクセスを保護する方法をご覧ください。

KeeperDBの主な機能

KeeperDBは、マルチプロトコル対応のデータベースワークスペース、組み込み型AIエージェント、リアルタイム監視、ボルトで管理される認証情報など、データベース管理チームに必要な機能を1つのクライアントに統合しています。

あらゆるデータベースに対応する単一のクライアント

KeeperDBは、PostgreSQL、MySQL、SQL Server、Oracle、Amazon Redshift、MongoDB、DynamoDB、SQLiteなど、主要なエンタープライズ向けデータベースのいずれにも同じように動作する一つの操作画面に、データベース運用に必要な一連のワークフローを統合しています。 複数種類のデータベースを管理するデータエンジニアは、データベースごとにツールを切り替えることなく作業できます。 また、ネイティブドライバーがアプリケーションにあらかじめ組み込まれているため、ユーザー体験がシンプルになります。

完全なセッション録画

KeeperPAM経由でKeeperDBがデプロイされると、セッション内でのAIエージェントの活動を含め、すべてのデータベース操作が監視および記録されます。 Keeperのセッション録画および再生の機能により、AIが実行したすべてのSQLステートメントは、人間が入力したSQLステートメントと同様に記録されます。また、AIによる書き込み操作は、人間のユーザーが承認しなければならない場合と同じ確認用ダイアログが表示されるため、いかなる変更も最終的に承認するのは常にユーザーです。 グラフや自律的な反復処理はそれぞれセッション録画に紐付けられ、すべての操作を記録した詳細なログとサマリーが生成されるため、コンプライアンス担当者は各セッションで実際に何が行われたか、一部始終を把握できます。

AIエージェントを搭載

KeeperAI^®は、接続されたスキーマ情報を完全に把握している組み込み型AIアシスタントです。動作モードは、自然言語やSQLで質問に回答するチャットモード、目的に応じたクエリを作成して実行する自律モード、既存のクエリの内容を解説する説明モードがあります。 読み取り専用クエリは自動で実行されますが、書き込みを伴う操作を実行する前には、実行されるSQLステートメントがそのまま表示された確認ダイアログが表示されます。そのため、変更の最終的な承認は常にユーザーが行います。 KeeperAIは、ライブデータの結果セットから直接グラフを生成できるほか、リアルタイムパフォーマンスモニターを利用して、パフォーマンスが低下しているデータベースの問題を切り分けます。 また、KeeperAIはLLMプロバイダーをプラグイン方式で利用できます。管理者は任意のLLMプロバイダーまたはセルフホスト型のエンドポイントを使用できるため、プロンプトやスキーマデータは管理者の環境内に保持されます。

充実したSQLワークスペース

[クエリ] タブは、シンタックスハイライト、自動補完、ステートメントごとに実行状況を表示する複数ステートメント実行機能を備えた、フル機能のSQL環境です。 移行スクリプトを貼り付けて実行し、どのステートメントが正常に実行されたかを確認できます。 ページ分割されたデータグリッドで行を閲覧および編集でき、更新内容はプレビューして実行前に確認できます。また、SQLセルとMarkdownセルをまとめて自動保存するノートブックに作業内容を保存できます。 ノートブックを使用すると、再利用可能なクエリライブラリを構築し、生成された結果と、それを生成したSQLを並べて文書化できます。

リアルタイムのパフォーマンス監視

データベースのパフォーマンスが低下した場合、[モニター] タブで接続中のユーザー、実行中の処理、他のセッションをブロックしているセッションを確認できます。 KeeperDBはプロセス一覧、ブロッキングチェーン、ロック分析などの機能を備えているため、問題のあるセッションをワンクリックで終了できます。 また、KeeperAIは終了すべきセッションを推奨し、パフォーマンスのボトルネックの特定を支援します。これでデータベースの遅延診断にかかる時間が大幅に短縮されます。

ボルトで管理される認証情報と生体認証

デスクトップアプリでは、保存されたパスワードを使用する代わりに、Face IDまたはWindows HelloでKeeperDBのロックを解除できます。 Keeperシークレットマネージャー経由で接続する場合は、認証情報はローカルの設定ファイルではなく、暗号化されたボルトから接続時に取得されます。 この利便性に加え、KeeperDBでは誰も古いコピーを保持できないため、全員が自動的に新しい値で再接続するようになり、パスワードローテーションが簡素化されます。 また、オフボーディングの手続きも一新されます。ユーザーのボルト共有を取り消すだけでアクセス権が即座に削除されるため、手動でのリセットや、認証情報がどこにキャッシュされているかを追跡する手間や遅延が発生しません。

KeeperDBを利用するメリット

KeeperDBの機能は、ツールを使用するデータベースチームと、アクセス管理を担当するセキュリティチームの双方に実用的なメリットをもたらします。 KeeperDBの主な利点は次のとおりです。

KeeperDBでデータベースアクセスの保護を始めましょう

従来のデータベースクライアントは、認証情報がエンドポイントに保存され、セッションは監視されず、クエリの実行結果を利用するのが実行した本人だけだった時代には有用でした。 しかし、現代のエンジニアリングチームやデータサイエンスチームには、従来のツールに残されたセキュリティ上の課題を解消しながら、主要なデータベースエンジン全体で迅速かつ安全に利用できるKeeperDBのようなソリューションが必要です。 KeeperDBでは、認証情報がエンドポイントに保存されることはなく、データはゼロ知識暗号化によって保護され、監査証跡もすぐに利用できます。

KeeperDBを無料でダウンロードして、日常的に使用するデータベースクライアントとしてご利用ください。または、KeeperPAMの無料トライアルで、ガバナンス、セッション記録、完全な監査機能を備えたデータベースアクセスをぜひご体験ください。

以下では、マルチテナントセキュリティに関する詳しい説明と、KeeperMSPを使用してクライアント環境を保護および管理するメリットをご紹介します。

MSSPにとってのマルチテナントセキュリティとは

マルチテナントセキュリティとは、統合システム内で複数のテナント (クライアント) 環境を管理および保護する手法であり、各クライアントは、個別のアクセス制御とポリシーを有する分離されたスペースで運用されます。 マルチテナントアーキテクチャでは、あるクライアント環境のユーザー、認証情報、データが他のクライアント環境に漏洩しないようにすることが求められます。 それにより、同じ基盤を共有しているテナントの数にかかわらず、各テナントの完全な分離が確保されます。 MSSPは、ロールベースのアクセス制御 (RBAC)、クライアント固有の権限設定、各環境の閲覧、変更、管理が可能なユーザーを正確に定義するきめ細かなアクセス制御を通じて、この分離を強制適用します。 KeeperMSPでは、各クライアントは独自のセキュリティ要件に応じて専用のボルト、ポリシー、監査証跡を保持しており、クライアント間で重複することなしに、MSSPはそれらを管理できます。 1社のクライアントにセキュリティ侵害が起きると、同じ管理下にあるすべてのクライアントが影響を受ける可能性があるため、MSSPは、サイバー犯罪者から格好の標的にされています。そのためMSSPにとり、強固なマルチテナントセキュリティの確保はビジネス上の必須要件となっています。

MSSPにおけるマルチテナントセキュリティの主な課題

マルチテナントセキュリティは複雑になりがちで、MSSPが適切なツールを使用し、サイバーセキュリティのベストプラクティスに従わない場合、意図せず情報漏洩につながる可能性があります。 MSSPが複数のクライアント環境を保護する際に直面する主な課題には、次のようなものがあります。

複数のクライアント環境にわたるアクセス管理

技術者が数十、場合によっては数百のクライアントシステムに同時にアクセスする必要が生じると、大規模な環境で権限を制御することはすぐに困難になります。 各クライアント環境には独自のツール、プラットフォーム、アクセス要件があるため、技術者はサポートするすべてのアカウントにわたって、複数の認証情報と権限を同時に管理する必要があります。 権限のプロビジョニングと取り消しを一元的に管理するシステムがなければ、MSSPはクライアント全体で最小権限アクセスを徹底できず、サイバー犯罪者に容易に悪用される脆弱性が生じてしまう可能性があります。

安全性に欠ける認証情報の共有

認証情報を安全でない方法で共有することは、マネージドサービス運用において最も一般的でありながら危険な習慣の1つです。 スプレッドシート、メッセージングプラットフォーム、付箋などを使ってユーザー名やパスワードを共有しているチームでは、責任の所在が完全に不明確になります。 どの技術者が認証情報を使用したのか、そのアクセス権で何を実行したのかを追跡する手段がなければ、たった1つの認証情報が漏洩しただけで、サイバー犯罪者は、複数のクライアント環境に一度に無制限にアクセスできてしまう可能性があります。

可視性の欠如とコンプライアンス上のリスク

異なるクライアント環境全体でユーザーアクティビティを追跡するのは困難なことですが、特に一元化されたセッションの監視と記録がない場合はなおさらです。 疑わしい行動が発生した場合、ログが断片化されていると、その発生源を迅速に特定することがほぼ不可能となり、コンプライアンス違反につながる可能性があります。 MSSPに対しては、HIPAAやCMMCのような規制要件を満たし、SOC 2やNIST CSFのようなセキュリティフレームワークへの準拠を実証することがさらに求められるようになっています。これらはすべて、詳細な監査証跡とアクセスガバナンスの証明を必要としています。 一元的なログ記録やレポート機能なしにこれらの基準を満たそうとすると、プロセスの途中でエラーが発生しやすくなり、管理上の負担が増大し、クライアントの信頼を損なう可能性があります。

MSSPがKeeper^®を活用してマルチテナント環境を保護する方法

KeeperMSPは、MSSPがすべてのクライアント環境で一貫性のあるエンタープライズグレードのセキュリティを実施できるようにするため、MSSPに必要なインフラを提供するよう設計されています。すべての作業は、統合アイデンティティセキュリティプラットフォームから実行可能です。 そのためMSSPは、連携していないツールや手作業のプロセスを組み合わせてマルチテナント環境を管理するのではなく、KeeperMSPを利用することでサービスの提供を簡素化できます。

すべてのクライアントを一元管理

KeeperMSPによって、管理者は、クライアント環境全体にわたる認証情報、アクセス、セキュリティポリシーを一元的なダッシュボードから管理できるようになります。 技術者は、複数のプラットフォームやクライアント固有のツールを切り替えるのではなく、中央集約型のUIを通じてワークフローを合理化できます。 これにより、人為的ミスのリスクが低減され、管理者は、クライアントポートフォリオ全体にわたるセキュリティイベントを完全に把握できるようになります。

組み込まれたテナント分離機能

KeeperMSP内のすべてのクライアント環境は、設計上、意図的に分離されています。 各テナントは、専用のボルト、セキュリティポリシー、管理権限を持つ固有の分離されたスペースで運用されており、あるクライアントの認証情報やデータが他のクライアントからアクセスされることは決してありません。 この組み込みの分離機能により、テナント間でのデータ漏洩リスクが排除され、各クライアントのデータはそれぞれの環境内で確実に保護されることが保証されます。 KeeperはFedRAMP High認証、SOC 2 Type II認証、ISO 27001認証を取得しており、MSSPにとっては、自社のセキュリティ態勢が顧客に約束したコンプライアンス要件を満たすベンダーとなっています。

安全な認証情報管理

KeeperMSPは、ゼロ知識の暗号化ボルトと組み込みのシークレット管理機能を備えており、クライアントの認証情報とシークレットを安全に管理できます。 このアーキテクチャの下では、パスワードやシークレットが、技術者やKeeperにさえも露出することはありません。 認証処理はKeeperによってバックグラウンドで実行され、使用される認証情報はボルトの外部で閲覧、保存、共有されません。 そのため認証情報の拡散リスクが排除され、安全でない保管・共有方法への依存が解消されます。またクライアント環境全体において、すべての認証情報とシークレットが監査可能な単一の場所で管理されることが保証されます。

最小権限アクセスとJITアクセスを強制適用

KeeperMSPを使用すると、管理者はすべてのクライアント環境において、権限を特定のロールや職務に限定することで最小権限アクセスを徹底できます。 またジャストインタイム (JIT) アクセスにより、MSSPは必要に応じてアクセスをプロビジョニングし、タスク完了後に自動的に取り消すことができます。これにより、技術者が業務に必要な範囲を超えて常時アクセスを保持することを防ぎます。 権限はクライアントごとに設定されるため、アクセス制御は常に特定の環境に合わせて実施され、包括的なポリシーとして適用されることはありません。 その結果、MSSP向けのKeeperPAMは、厳密に制御されたアクセスモデルを実現し、権限の悪用や不正アクセスのリスクを低減します。

セッションの監視と記録

MSSPでは、KeeperMSPのセッション監視と記録機能を使用して、すべてのクライアント環境における特権アクティビティを完全に可視化できます。 すべてのセッションが監視、記録、ログ保存され、コンプライアンスレポートと内部の説明責任を支える詳細な監査証跡が作成されます。 セッション監視に加え、KeeperAI^®によって、セッションアクティビティと行動パターンが積極的に分析され、疑わしい行動や潜在的なサイバー攻撃の脅威のリアルタイムでの検出が可能になります。

エンドポイント特権管理

KeeperMSPでは、Keeperエンドポイント特権マネージャー (EPM) の機能を活用し、認証情報やシークレットを超えたエンドポイントレベルまで特権アクセス制御が拡張されます。 Keeper EPMでは、技術者にクライアントマシン全体の広範な管理者権限を付与するのではなく、MSSPが必要に応じてアプリケーション単位またはタスク単位で権限を昇格させる仕組みになっています。 これにより、不正なソフトウェアのインストールや水平移動など、常時アクセスに伴うセキュリティリスクを排除しつつ、技術者は業務を遂行するために必要なアクセス権を確保できます。 Keeper EPMでは、クライアントのボルト内だけでなく、技術者がそれらの環境を管理するために使用するすべてのデバイスにおいても、確実に最小権限が適用されます。

KeeperMSPを使用するメリット

マルチテナント環境を大規模に管理および保護するには、MSPおよびMSSP向けに特化して設計されたプラットフォームが必要です。 KeeperMSPを使用してマルチテナントセキュリティを簡素化することの主なメリットは以下のとおりです。

Queen ConsultingがKeeperMSPで、連邦政府関連クライアントのセキュリティ管理をどのように統一したかをご覧ください。

MSSPの顧客のセキュリティをKeeperで強化

MSSPが新規のクライアントをオンボードし、より多くの特権認証情報を管理し、拡大するサイバー攻撃の脅威に直面するなかで、マルチテナントセキュリティの重要性はますます高まっています。 一元化された安全なアクセス制御こそが、自信を持って規模を拡大できるMSSPと、回避可能なセキュリティリスクに常にさらされているMSSPとを分ける要因となります。 KeeperMSPは、ゼロ知識に基づいた認証情報の安全な保管やクライアント環境の厳格な分離から、最小権限アクセスの適用やコンプライアンスレポートの作成に至るまで、あらゆるレイヤーでマルチテナントセキュリティに対応できるよう設計されています。

ぜひKeeperMSPの無料トライアルをお試しください。攻撃対象領域を縮小し、クライアントにふさわしいマルチテナントセキュリティを実現できます。

以下では、2026年の侵害の詳しい経緯、同社のセキュリティインシデントの長期的なパターンとの比較、他の機密データの保護手段としてKeeper^®に軍配が上がる理由をご紹介します。

今回の情報漏洩を受け、LastPassからKeeperへの乗り換えでみてはいかがでしょうか。 すでに多数のLastPassユーザーがKeeperに乗り換えており、有力な選択肢と言えます。

2026年の侵害の重要ポイント

2026年のLastPassの侵害事例で判明している主な事実を以下にまとめました。

LastPassが繰り返し侵害被害に遭ったことの重要な意味

2026年のLastPassの情報漏洩は、ここ数年多数の企業が被害に遭ったサイバー脅威の典型例であり、それぞれ、顧客の重要な情報が漏洩した結果、認証情報が確実に保護されるという信用の失墜につながっています。 今回注目すべきは、対応の遅れです。LastPassがKuleでの侵害発生を最初に知ったのが、2026年6月12日、侵害を公開したのは6月22日と10日のタイムラグがあります。 その間顧客は、自分の個人情報が漏洩したことを知らないまま放置され、同様の対応が取られた2022年の漏洩事件を彷彿とさせました。

このパターンにより見過ごせない現実が浮き彫りになります。プロバイダが直接ハッキングされなくても、情報漏洩が起きる可能性はあるのです。 今回、侵害対象となったのは、LastPassのインフラでなく、そのサプライチェーンの構成要素でしたが、顧客データが漏洩したことに変わりありません。 組織が接続ツールとプラットフォームを増やすたびに、そのツールとプラットフォームは攻撃の侵入口となる可能性があります。サプライチェーンに脆弱な連携ポイントが1つあれば、顧客情報は漏洩リスクにさらされます。

KeeperがLastPassより安全な代替手段である理由

LastPassのユーザーが度重なる情報漏洩を受け、パスワードマネージャーの乗り換えを検討するのは当然の流れです。 こちらのKeeperとLastPassの比較ページでは、顧客データの保護面での両者の実績、セキュリティアーキテクチャ、説明責任を比較しています。参考にしてください。

ゼロ知識暗号化

Keeperは「ゼロ知識」型のセキュリティアーキテクチャを基盤としています。つまり、すべての暗号化と復号はユーザーのデバイスでローカルに行われます。 ボルトのロック解除に必要なキーはユーザーのマスターパスワードから派生し、デバイスの外部に移動することはなく、Keeperが保存されたデータを目にしたり、復号したり、アクセスしたりすることは決してありません。 この独自の仕組みにより、Keeperのシステムに侵入しても、ボルトに保存されている顧客データを復号するためのキーは存在しないため、窃取の試みは徒労に終わります。

監査および認証の独立性

Keeperが受けている認証と監査の数は、業界屈指のレベルです。 FedRAMP High認証およびGovRAMP High認証を取得しており、SOC 2、ISO 27001、FIPS 140-3の検証も受けています。GDPR、HIPAA、PCI DSSなどのコンプライアンスにも対応しています。 これらの認証や検証は、厳格な独立的評価システムとして、個人、企業、政府機関が最も機密性の高いデータをプラットフォームに預託する際に、信頼性を事前に評価する手段として利用されています。 Keeperのプラットフォームの別の特徴として、外部の専門家による検証の継続性が挙げられます。定期的な侵入テスト、活発なバグ報奨金プログラム、公開脆弱性開示プログラムを通じて、ソリューションは一貫してテスト、確認、改善プロセスを経る仕組みが確立されています。

侵害歴ゼロ

Keeperの暗号化ボルトと基盤インフラが一度も侵害を受けていないのも大きな評価ポイントです。 ゼロ知識暗号化や独立した検証に支えられたこの長期的な実績は、Keeperのセキュリティモデルが最悪のシナリオでも顧客データを保護するように設計されていることを物語ります。

保護強化のために、今すぐKeeperに乗り換え

LastPassのセキュリティインシデントが再発するたびに、何度も漏洩被害に遭ったツールに機密情報の保護を任せてよいものかと問い直すきっかけとなります。 幸い、Keeperのような安全性の高いパスワードマネージャーにはごくシンプルな手順で移行できます。 LastPassから既存のパスワード、フォルダ、共有フォルダ、TOTPコード、添付ファイルは、わずか数ステップでインポートできるため、認証情報を1つずつ再入力したり、プロセス中にデータを紛失したりすることなしに、ボルトの内容を移行できます。 侵害が再発してから行動していては手遅れとなります。ゼロ知識暗号化を基盤とし、業界の厳格な独立系認証に裏付けられ、顧客のボルトの侵害記録がゼロのプラットフォームに今すぐ乗り換えましょう。

Keeperの無料トライアルを開始するにはこちらをクリックして、パスワードなどの機密データを安全に保護してください。

脱PPAP代替策の主要4タイプとは？

脱PPAPの代替策は、大きく4つのタイプに分類できます。クラウドストレージ共有リンク型、メール添付自動変換型、ファイル転送サービス型、そしてエンドツーエンド暗号化型セキュリティプラットフォームです。それぞれセキュリティ水準、運用のしやすさ、解決できる課題の範囲が異なり、自社のニーズによって最適な選択肢が変わります。

タイプ1：クラウドストレージ共有リンク型

クラウドストレージ共有リンク型は、すでに利用しているクラウドストレージにファイルをアップロードし、添付の代わりにアクセス権と有効期限を設定したリンクを共有する方法です。多くの企業が日常的に使っているクラウドサービスをそのまま活用できるため、追加投資が少なく済むのが特徴です。

セキュリティ水準は中程度です。通信経路の暗号化と保管時の暗号化は備わっていますが、暗号鍵はプロバイダ側が管理するため、理論上はプロバイダがファイルの中身にアクセスできます。万が一プロバイダ側で侵害が起きれば、保管されているデータも危険にさらされる構造です。

バージョン管理、権限の取り消し、大容量ファイルへの対応に強い一方、受信者側にアカウント登録を求める場面があり、社外との一回限りのやり取りには手数が増えがちです。日常的な社内・社外共有には適していますが、機密情報を継続的にやり取りする用途には向きません。

タイプ2：メール添付自動変換型

メール添付自動変換型は、メールゲートウェイ上で添付ファイルを自動的に暗号化済みのダウンロードリンクに変換し、受信者にはリンクのみが届くようにする製品です。ユーザー側はこれまでと同じようにファイルを添付してメールを送るだけで、変換処理は裏側で自動的に行われます。

ユーザーの送信フローがほとんど変わらないため、数千人規模の組織でも教育コストを抑えて展開できるのが最大の強みです。会社全体のポリシーとして一括適用できる点も、IT部門にとっては運用上の利点になります。

一方で、暗号鍵をベンダー側が管理する設計が一般的なため、送信者と受信者の間だけで完結するエンドツーエンド暗号化（経路上の誰もが中身を見られない方式）にはなりません。製品ごとに暗号化の実装やコストに差があり、ベンダーロックインや継続的なサブスクリプション費用も検討材料になります。運用変更を最小限に抑えたい大企業に向いていますが、ベンダーが鍵を保持する点を許容できることが前提です。

タイプ3：ファイル転送サービス型

ファイル転送サービス型は、専用のサービスにファイルをアップロードし、受信者向けに一時的なダウンロードURLを発行する仕組みです。大容量ファイルへの対応や登録不要で使える利便性が魅力で、社外との単発のやり取りでは依然として広く使われています。

セキュリティ水準は中程度ですが、機能差が大きいタイプでもあります。無料プランではSSL/TLSによる通信暗号化のみで、監査ログや細かなアクセス制御を備えていないことが多く、企業の継続的なデータ共有には向きません。有料プランであれば、より高度な機能を備えた選択肢もあります。

外部との一回限りの大容量ファイル送信に適している一方、社内の標準的なファイル共有手段としては、監査やコンプライアンスの観点で力不足になりがちです。

タイプ4：エンドツーエンド暗号化型セキュリティプラットフォーム

エンドツーエンド暗号化型セキュリティプラットフォームは、ファイル、パスワード、認証情報を、利用者のデバイス上で暗号化してから送信・保管する設計です。ゼロ知識アーキテクチャでは、暗号鍵がサービス提供者にも復号できない形で管理されます。その結果、提供者を含むいかなる第三者も、暗号化されたデータの中身を読み取ることはできません。

4タイプのなかで最も高いセキュリティ水準を提供します。このカテゴリのプラットフォームは、中央集権的な管理機能と詳細な監査ログを備えていることが多く、規制業界や機密データを扱う組織から選ばれています。

ベンダーごとに、取得している認証やカバーする機能範囲は異なります。Keeper®はこのカテゴリに位置し、FedRAMP High、ISO 27001、SOC 2を取得しています。ファイル共有にとどまらず、パスワード管理や特権アクセス管理まで一つの基盤で扱えるため、隣接する課題もまとめて整理できる点が特徴です。導入には一定の社内対応が必要ですが、別々に導入されていたツールを統合することで、長期的な総合コストはむしろ抑えやすくなります。

脱PPAPサービスを選ぶ際の5つの評価基準

脱PPAPの代替策を評価するときは、5つの基準で見ると判断がぶれません。暗号化のアーキテクチャ、アクセス制御の細かさ、監査・コンプライアンス対応、導入のしやすさ、そしてパスワード管理の問題も同時に解決できるかどうかの5点です。それぞれ確認していきます。

基準1：暗号化のアーキテクチャ

最初に確認すべきは、サービス提供者が自社のデータにアクセスできる設計なのか、ということです。基本的な構成では、通信時のSSL/TLSと保管時のAES-256暗号化により、外部からの傍受やストレージへの不正アクセスは防げます。ただし暗号鍵をプロバイダ側が保持する構成では、プロバイダ内部、あるいはプロバイダが侵害された場合には、データへのアクセスが可能になります。

最も高い水準はゼロ知識暗号化です。暗号化と復号は利用者のデバイス上で完結し、鍵もユーザー側にしか存在しません。サービス提供者が侵害を受けても、攻撃者が手にできるのは復号できない暗号文だけ、という構造になります。機密情報を扱う組織にとっては、ここがセキュリティの上限を決める要素になります。

基準2：アクセス制御の細かさ

誰が、いつまで、どの端末から、どの情報にアクセスできるか。これをどこまで細かく制御できるかが、運用上の安全性を大きく左右します。

基本的なサービスでは、ダウンロードリンクへのパスワード保護にとどまります。一段上のサービスでは、有効期限の設定やダウンロード回数の制限が可能になります。最も高度な実装では、有効期限、デバイスロック、役割ベースの権限制御を組み合わせて利用できます。Keeperのワンタイム共有はこの最上位の制御を備えており、受信者の端末にひも付けたリンクを一度限りで安全に渡せます。

基準3：監査・コンプライアンス対応

誰が、いつ、どの情報にアクセスしたかを後から証明できるか。これは証跡管理（監査証跡）につながり、金融や医療、政府関連事業など規制業界では避けて通れない要件です。

基本的なサービスではダウンロード回数の集計どまり。中位のサービスではタイムスタンプ付きのアクセスログまで備えています。最上位の水準では、SIEM（組織内のセキュリティログをまとめて分析するシステム）との連携、リアルタイムアラート、コンプライアンスレポートの自動生成までを行えるサービスがあります。FedRAMP HighやISO 27001、SOC 2といった認証を取得しているかも、選定時の重要な判断材料になります。

基準4：導入のしやすさ

導入のしやすさは、従業員の日常業務をどれだけ変える必要があるかで測ります。最も負担が小さいのはメール添付自動変換型です。ユーザーはこれまでどおりメールを送るだけで済みます。次いでクラウドストレージ共有リンク型は、共有手順の習得が必要な分、わずかに教育コストがかかります。

プラットフォーム型は新しいツールを学ぶ手間がかかる反面、複数の課題を同時に解決できるため、長期的な運用コストとセキュリティ姿勢の両面で得るものが大きい選択肢です。導入期間や教育コストの大きさだけで決めると、後から別の課題が顕在化する可能性があります。

基準5：パスワード管理の問題も解決するか

この論点は、脱PPAPの代替策を検討するときに見落とされがちなポイントです。脱PPAPの本質的な問題は、ファイルとパスワードの両方を安全に共有できないところにあります。それなのに、代替策の多くはファイル共有しか解決しません。

ファイル共有のサービスを入れ替えただけでは、社内では引き続き「共有ストレージのパスワードを誰が知っているか」「外部連携用の認証情報をどこで管理するか」「退職者のアクセス権をどう剥奪するか」といった、PPAPと地続きの問題が残ります。脱PPAPの導入から半年から1年経ったタイミングで、パスワード管理の課題が改めて浮上するパターンは少なくありません。

一度の導入で両方を解決できるプラットフォームを選ぶか、二段階で対応するかは、組織にとって大きな分岐点です。パスワード管理とファイル共有を同じ基盤で扱える設計のプラットフォームを選ぶと、後からのもう一度の移行を避けられます。

ここまでの5つの基準で4タイプを並べると、それぞれの位置づけが整理できます。

自社に合った脱PPAP対策の選び方

どのタイプが自社に合うかは、3つの観点で考えると判断しやすくなります。社外とやり取りするデータの機密性、組織の規模、そしてパスワードや認証情報の管理にも課題を抱えているかどうかの3点です。次の判断軸を参考にしてください。

ファイル共有だけを切り替えた組織が、脱PPAPの導入後、パスワード管理の課題に改めて直面するパターンは少なくありません。最初から両方を視野に入れて選ぶことで、二度目の移行と二度目の教育コストを回避できます。

Keeperが脱PPAPに最適な理由

Keeperは、PPAPが本来解決しようとしていた「外部とのパスワードやファイルの安全な共有」を、ゼロ知識暗号化のプラットフォームとして正しく解決します。前章までで挙げた5つの評価基準すべてで、最上位の選択肢として位置づけられる設計になっています。

暗号化アーキテクチャはゼロ知識です。Keeper自身もユーザーのデータを閲覧できません。クラウドストレージやファイル転送サービスとの根本的な違いは、提供者が侵害されてもデータの中身が露出しないという構造そのものにあります。

アクセス制御はワンタイム共有による有効期限とデバイスロック、14カテゴリ・80種類以上の権限設定を組み合わせて運用できます。受信者がKeeperのアカウントを持っていなくても、機密情報を一度限りで安全に渡せます。監査面では、誰が、いつ、どの情報にアクセスしたかを完全な監査証跡として残せ、SIEMとの連携、リアルタイムアラート、コンプライアンスレポートまで一貫してカバーします。

ファイルは利用者のデバイス上で暗号化されたまま暗号化ボルトに保存され、保管から共有まで一貫してエンドツーエンドで保護されます。FedRAMP High、ISO 27001／27017／27018、SOC 2、PCI DSSなどグローバル水準の認証を取得しており、日本企業が海外取引先や監査対応で求められる水準を満たし、さらにそれを上回ります。

そして、ほかの脱PPAP製品が解決しないパスワード管理の課題も、同じプラットフォームで一緒に解決できます。パスワード、パスキー、認証情報、特権アクセスまで含めて一元管理できる点は、現時点でKeeperの大きな差別化要素です。脱PPAPをセキュリティ強化の出発点として位置づけ、組織全体のセキュリティ姿勢を一段引き上げる起点として活用できます。

脱PPAPの選び方は、セキュリティ全体の選び方

脱PPAPの代替策を選ぶことは、単にメール添付を別の手段に置き換える作業ではなく、自社のセキュリティアーキテクチャを選び直す作業です。日常的な業務文書であればクラウドストレージやメール添付自動変換型でも十分な場面はあります。一方、機密データを扱う組織や規制業界では、ゼロ知識暗号化が目指すべき水準になります。

そして、ファイル共有の課題と並行してパスワード管理の課題も抱えているなら、両方を1つのプラットフォームで解決するアプローチが、最短かつ最も合理的です。Keeperはゼロ知識暗号化を前提に、パスワード管理と安全なファイル共有を1つの基盤で実現する設計のプラットフォームです。

Keeperのワンタイム共有機能で、安全なファイル・パスワード共有を体験してみませんか？Keeperの無料トライアルで実際の動作をご確認いただけます。

長年にわたり、大手ディストリビューターのマーケットプレイスに参加することは、基本的には商業的な取引でした。 事業の詳細を提出し、基本的な登録審査に合格すれば、すぐに販売が開始されます。 アイデンティティセキュリティは後付けの要素であり、パートナーシップの要件というよりは、製品カテゴリの1つとして扱われていました。

そうした時代は、すでに過去のものです。

チャネル全体において、MSPディストリビューターは決定的な方向転換を図っています。 かつてはMSPの製品メニューの1項目に過ぎなかったものが、今やエコシステムそのものの基盤を形成するものになっています。 IDファーストのセキュリティ戦略を優先しないMSPは、今日のパートナーネットワークにおいて、競争力を維持するのに苦労するかもしれません。

MSPのパートナーシップにおいて、アイデンティティセキュリティが必須になりつつある理由

Huntress 2025年マネージドITDRレポートによると、アイデンティティを標的とした攻撃は、セキュリティインシデント全体の40％以上を占めており、昨年だけでも半数以上の組織がビジネスメール詐欺の被害に遭っています。 さらにSophos X-Opsの調査によると、ダークウェブ上の盗難された認証情報の数は、2024年6月～2025年6月の間に106％も急増しました。 これらは脅威インテリジェンスの抽象的な指標ではなく、MSPのサービス提供先となる組織にとって、日常的な現実です。

アイデンティティ関連の侵害は、顧客環境全体で広範囲に影響を及ぼす可能性があるため、ディストリビューターは、パートナーネットワーク全体でより強固なアイデンティティ保護を推進する責任をさらに負うようになっています。 主要なプラットフォームはすでに、CIS Controlsなどのフレームワークに基づく正式なセキュリティプログラムを開始し、アイデンティティ管理に焦点を当てたベンダーポートフォリオを厳選することで対応しています。

メッセージは明確です。 強力なアイデンティティ保護とアクセス制御は、現在のマーケットプレイスの参加企業にとって、基本要件となっています。

MicrosoftのCSP要件が、MSPのIDセキュリティ基準をどのように引き上げているか

脅威の状況がアイデンティティセキュリティの必要性を裏付けるものであったならば、Microsoftが更新したCSP要件は、そうした期待がいかに急速に制度化されつつあるかを示していると言えます。 これは、テクノロジーのエコシステム全体で起きている広範な変化の一例に過ぎません。ベンダー、マーケットプレイス、サイバー保険会社、コンプライアンスフレームワークが、セキュリティに関する説明責任の基準を引き上げつつあるのです。

2025年10月1日、Microsoftの改訂版CSPポリシーがすべてのパートナーに対して施行され、多要素認証 (MFA) の適用、セキュリティ担当者の指定、セキュリティアラートへの迅速な対応などの措置が義務付けられました。 既存のパートナー企業は、コンプライアンス遵守状況が毎年検証され、これらの要件を満たさない場合は認可が取り消される可能性があります。

こうしたコンプライアンス要件を満たすことは、パートナー評価においてますます重要な要素となっています。 MFAの強制適用や安全な認証情報管理など、基本的なアイデンティティ保護対策の実施を証明できないMSPは、今後、ベンダーのエコシステム、ディストリビュータープログラム、セキュリティ管理に焦点を当てたパートナーシップに参加することがより困難になる可能性があります。

ディストリビューターがIDファーストのMSPを優先する理由

アイデンティティを標的とした脅威がビジネス上の大きな懸念事項となるにつれ、MSPが行うべきことが変化しているだけでなく、そもそもディストリビューターがパートナーとして採用したいプロバイダ像も変化しつつあります。

ディストリビューターは、ベンダーとMSPの接点で事業を展開しています。 成功を収めるには、ID管理を最優先にするベンダーを引き付けるだけでなく、それらの製品をサポートするスキルと能力を備えたパートナーを採用することも不可欠です。 認証情報を共有し、MFAの適用やアイデンティティの脅威検知と対応 (ITDR) による可視性を確保していないMSPは、ディストリビューターの評判やコンプライアンス態勢を最終的に危うくする可能性があります。

現在最も望まれているのは、セキュリティ意識の高いプロバイダです。 MFAの強制適用、特権アクセス管理 (PAM)、ITDRなど、ID管理インフラに投資を行ってきたMSPは、マーケットプレイスの成長を促進させようとするディストリビューターにとって、ますます魅力的な存在となっています。 こうしたプロバイダは、多くの場合、アップセルを促進し、運用リスクを低減するほか、サイバーセキュリティをコンプライアンス上の義務ではなく、戦略的な優先事項と捉える組織にサービスを提供する上で、より有利な立場にあると言えます。

セキュリティ態勢の評価は、パートナー審査のプロセスにおいて一般的なものとなりつつあります。 十分に練られたアイデンティティ管理戦略を提示できるMSPは、運用面の成熟度やコンプライアンス意識が高く、主要なセキュリティソリューションやサービスをサポートする準備が整っていることを示します。

この傾向は、従来的なアクセス制御や認証情報管理の枠組みを超えるものです。 ITDRは、ディストリビューターが採用相手として考慮するMSPの間で、強力な差別化要因として台頭しており、継続的なアイデンティティ監視、脅威検知および対応を通じて、プロバイダがセキュリティサービスの強化を図る上で重要な要素となっています。 アイデンティティを標的とした攻撃が増加するにつれ、IDのレジリエンスは、ユーザー、システム、アクセスポイント全体において重要な優先事項となっています。

ディストリビューターにとって、これは単なるセキュリティカテゴリの1項目ではありません。 高度なIDセキュリティサービスを提供できるMSPと、提供できないMSPの間に格差が生じ、その差はますます拡大しています。 最新のIDソリューションを効果的に位置づけ、導入し、管理できるプロバイダは、継続的な収益増加の機会を作り出し、競合他社の多くが対応できないクライアントのニーズに応えることができます。

アイデンティティ管理もまた、人間のユーザーを超えて進化しています。 サービスアカウント、API認証情報、マシンアイデンティティ、AIを活用したワークフローは、MSPが管理する環境全体において、ビジネスに不可欠なシステムへのアクセス権限を有しています。 組織が自動化やAI技術の導入を進めるにつれ、こうした非人間アイデンティティ (NHI) の安全を確保することは、現代のセキュリティ戦略において極めて重要な要素となりつつあります。

今日、こうしたセキュリティ対策に投資するMSPは、将来のセキュリティ上の課題に対処する上で、より有利な立場に立つことができるでしょう。 同様に、こうした傾向を早期に認識し、パートナーエコシステムをそれに応じて調整できるディストリビューターは、将来を見据えたMSPを引き付け、パートナーの成功を長期的にサポートし、セキュリティが優先されるチャネル環境において、自社の地位を強化する準備を整えることができます。

MSPディストリビューターがIDファーストのパートナー環境を構築するには

迅速に行動するディストリビューターこそが、パートナーネットワークにおけるMSPの未来を形作ることができます。 アイデンティティ管理は現在、パートナー採用、支援、実装を通じて、IDファーストのマーケットプレイスを構築する重要な観点と捉えられています。

以下に挙げるのは、トップクラスのディストリビューターが、より強固なIDファーストのマーケットプレイスを構築するために優先すべき事柄です。

アイデンティティセキュリティは、MSPの成功を測る新しい尺度

セキュリティ上の要件の1つとして始まったものが、今では競争上の優位性を左右するものとなっています。 この動きを主導するディストリビューターは、セキュリティ対策を任意と考えるようなマーケットプレイスをもはや運営していません。 こうしたディストリビューターはID管理が基本要件であるエコシステムを構築しており、それらの基準を満たさないパートナーは、存在意義を失っていく可能性があります。

MSPディストリビューターにとって重要なのは、変化に遅れをとらないことです。 コンプライアンスに関する期待値はさらに厳しくなり、漏洩リスクは増大し、エンドクライアントはMSPに対し、より高いレベルの運用成熟度を求めるようになっています。 アイデンティティセキュリティへの強固な取り組みは、顧客、ベンダー、チャネルパートナーが提携したいと考えるMSPの決定的な特徴として、急速に定着しつつあります。

すべてのディストリビューターが問うべき事は単純明快です。自社のマーケットプレイスは過去のMSP向けなのか、それとも顧客が実際に必要とするMSP向けでしょうか？

KeeperMSP: ディストリビューターが求めるID管理の基準に合わせて設計

ここで役立つのが、ディストリビューターのMSP採用と支援戦略を強化する、専用に設計されたIDセキュリティソリューションです。 ゼロトラストとゼロ知識に基づくPAMプラットフォームであるKeeperMSPを使用することで、コンプライアンス要件を満たし、クライアント環境を保護し、パートナー審査のプロセスで他社との差別化を図るために必要なIDインフラが手に入ります。

MSPへの期待が今後も高まり続ける中、ディストリビューターに求められているのは、ポートフォリオの企業数をただ増やしたり、よくあるセキュリティソリューションを追加したりすることではありません。 ディストリビューターに必要なのは、チャネルの未来を形作るMSPを引き付け、支援し、引き留めるのに役立つパートナーです。

Keeperはすでに主要なディストリビューションエコシステムに組み込まれており、MSPはKeeperにより、認証情報の保護、シークレットの管理、大規模なアイデンティティセキュリティの運用を目的とする、専用に設計されたマルチテナント型プラットフォームを実現できます。 Keeperは、技術そのものを超えて、マネージドサービス分野で最も急速に重要度が高まっている優先事項の1つを、ディストリビューターが強化するのに役立ちます。それは、アイデンティティ管理を中心に据えたスケーラブルで継続的なセキュリティサービスを、MSPが提供できるようにすることです。

アイデンティティ管理を中核とする基盤は、テクノロジーの導入をはるかに超えた、戦略的なメリットをもたらします。 それによってパートナーとの関係が強化され、採用に関する商談が深まり、持続可能なエコシステムの成長が促進されます。 MSPの成功に必要なツール、リソース、セキュリティ機能を提供することで、ディストリビューターはより差別化された、価値のあるチャネルサービスを確立できます。

このチャネルは新たな段階に入ろうとしています。MSPは、パートナーシップを評価する際に、製品の機能だけでなく、それによって実現されるビジネス成果も基準として考慮するようになっています。

こうした環境で成功を収めるディストリビューターは、MSPの需要の動向に合わせて自社のエコシステムを調整できる企業です。 アイデンティティ管理を最優先するアプローチを採用するディストリビューターは、次世代のMSPを引き付け、より強固なパートナーシップを築き、より強靱で利益率の高いチャネルプログラムを支援することで、有利な立場に立つことができるのです。

ぜひKeeperMSPの無料トライアルをご検討ください。

そうした攻撃が、2026年5月にDashlaneで発生しました。攻撃者は、新しいデバイス登録に使用される6桁のコードに対してブルートフォース攻撃を行い、Dashlaneのアカウント20件未満に不正なデバイスを追加して、該当ユーザーのボルトのコピーをダウンロードしたのです。 その攻撃では、暗号化自体は破られませんでしたが、新しいデバイスの承認方法に脆弱性があることが明らかになりました。 パスワードマネージャーのデバイス登録を狙ったブルートフォース攻撃は、増加するサイバー攻撃の脅威となっていますが、Keeperのゼロトラスト、ゼロ知識アーキテクチャに対しては効果がありません。このアーキテクチャでは、パスワードを知っているだけでは、デバイスを登録してボルトにアクセスすることが不可能であることが保証されています。

デバイス登録を標的にするブルートフォース攻撃の仕組み

新しいデバイスをパスワードマネージャーに追加する際、サービスプロバイダーは、ボルトへのアクセスを許可する前に、そのデバイスが所有者のものであることを確認する必要があります。 デバイス登録フローにおけるこの確認ステップこそが、こうしたブルートフォース攻撃の標的となっています。 Dashlaneのようなパスワードマネージャーがこの攻撃に対して脆弱だった一方で、Keeper^®のような他のサービスがそうでない理由を理解いただくために、ブルートフォース攻撃が一般的に行われる仕組みを以下に説明します。

これは仮説的なプロセスではありません。Dashlaneへの攻撃はこうして実行されました。だからこそ、デバイスの登録フローを保護することは、ボルトを保護することと同じくらい重要なのです。

不正なデバイス登録がリスクをもたらす理由

不正なデバイス登録は、重大なセキュリティリスクをもたらします。パスワードマネージャーのアカウントに登録された新しいデバイスは、ユーザーのボルトにアクセスが可能で、認証された正規ユーザーのデバイスとして認識されます。 攻撃者は、この種のブルートフォース攻撃を実行するために、ボルトの暗号化を回避したり、弱めたり、破ったりする必要は一切ありません。 必要なのは、サービスプロバイダーにデバイスを信頼させることだけです。それにより、暗号化ボルトのデータを、自分たちの管理下にあるハードウェアに直接同期できるようになります。

攻撃者がユーザーの暗号化ボルト内のデータコピーを入手した場合、その影響は長期にわたります。なぜなら攻撃者は、オフライン環境において、アクセスに成功するまで自分のペースで解読を試みることができるからです。 強力なボルト暗号化を使用している場合、解読が成功する可能性は統計的に低くなりますが、その可能性は、ユーザーによる制御が可能なもの、つまりマスターパスワードの強さに大きく依存します。 長く複雑かつユニークなマスターパスワードは、外部に持ち出されたボルトが解読されるのを防ぐことができますが、弱いまたは再使用されたマスターパスワードは、十分な時間をかければ解読される可能性がはるかに高くなります。 そこで不可欠となるのが、デバイス登録フローの保護です。それにより、ユーザーのボルトの保護が、マスターパスワードの強度だけに依存するのを防ぐことができます。

Keeperがデバイス登録に対するブルートフォース攻撃を防ぐ仕組み

Keeperを使用しているユーザーは、Dashlaneで発生したようなブルートフォース攻撃の被害に遭うことはありません。なぜならKeeperでは、ユーザーのパスワードを知っているだけ、あるいはOTPへのブルートフォース攻撃を行うだけでは、新しいデバイスを登録したり、ボルトにアクセスしたりすることが不可能だからです。

デバイス承認

Keeperでは、新しいデバイスがボルトにアクセスする場合、明示的に承認されることが必要です。 この承認は、コードを入力した瞬間に自動的に行われるものではなく、それとは別の意図的な手順で行われます。 個人ユーザーの場合、すでに信頼されているデバイスを使用して、アカウント所有者から承認が実行されます。企業ユーザーの場合は、管理者が正規のユーザーに代わって新しいデバイスを承認できます。 この種の攻撃が成功するのは、有効なOTPを推測するだけでデバイスの登録が完了してしまう場合ですが、Keeperでは、コードをブルートフォース攻撃してプロセスを終了するような単一のAPIエンドポイントはありません。

多要素認証 (MFA)

Keeperは、FIDO2/WebAuthnハードウェアセキュリティキー、生体認証、認証アプリ、SMSなど、さまざまなMFAまたは2要素認証 (2FA) の方法をサポートしています。 ただし、これらの認証方法すべてが、ブルートフォース攻撃に対して同様の耐性を持っているわけではありません。 メールやSMSで送信されるコードは、推測されたり、転送中に傍受されたりする可能性があるため、最も脆弱です。 認証アプリは、コードがユーザーのデバイス上でローカルに生成されるため、より強力な保護を提供しますが、それでも短い時間に基づいたコードに依存しているため、ブルートフォース攻撃を防ぐには、レート制限などの制御に頼る必要があります。 ハードウェアセキュリティキーは、短いコードではなく、暗号化されたチャレンジレスポンス認証に基づくため、最も強力な保護を提供します。 攻撃者にとっては、APIエンドポイントに繰り返し送信する予測可能な値がないため、デバイス登録を対象としたブルートフォース攻撃は効果を発揮しません。

ゼロトラストセキュリティ

Keeperは、ゼロトラストセキュリティモデルに基づいて設計されているため、ネットワークの場所や過去の認証履歴に関わらず、すべてのアクセスリクエストを検証することが必要になります。 Keeperでは、デバイスがすでに登録または認証されているという理由だけで、永続的かつ暗黙的な信頼が与えられることはなく、各リクエストは個別に評価されます。 このセキュリティモデルでは、攻撃者が何らかの方法でデバイスを登録できたとしても、その1回の成功では継続的なアクセスは許可されません。 ゼロトラストフレームワークの下では、攻撃者がデバイス登録を悪用して無期限にアクセスを得る仕組みは存在しないのです。

レポート・アラートモジュール (ARAM)

Keeperのレポート・アラートモジュール (ARAM) を使用すると、管理者は、認証の異常やデバイス登録の試行など、環境全体において不審な行動を把握できるようになります。 短時間に検証の試行が集中的に行われる、あるいはデバイス登録の失敗が大量に発生するといった事象は、まさにARAMが検出できるタイプのイベントです。 異常な動作が完全に可視化されるため、不正なデバイスが登録されるまで不審な行動が見過ごされることを防ぎ、管理者は迅速に対応できます。

Keeperのゼロ知識アーキテクチャが重要な理由

Keeperのアクセス制御は、攻撃者がデバイスを登録できないように設計されていますが、セキュリティをさらに強化するもう1つの保護層として、ゼロ知識アーキテクチャが採用されています。 「ゼロ知識」とは、実際にユーザーのボルトに保存されているすべてのデータが常にエンドツーエンドで暗号化されていることを意味するため、Keeperでさえそれを復号することはできません。 暗号化キーはユーザーのデバイス上で生成されるため、データの暗号化と復号化もローカルで行われ、ボルトが完全にユーザーの管理下にあることが保証されます。 たとえ攻撃者が何らかの方法でユーザーの暗号化ボルトのコピーを入手したとしても、攻撃者がそれを復号するのはほぼ不可能です。なぜなら、Keeperボルトのロックを解除するために必要な暗号化キーは、Keeperのインフラストラクチャ上には存在しないからです。

Keeperでブルートフォース攻撃からデータを保護

Dashlaneのセキュリティインシデントは、強力なボルト暗号化だけでは不十分であることを証明しています。 暗号化ボルトの解読からアクセス権を付与するワークフローの悪用へと、攻撃者が標的を移す中で、ブルートフォース攻撃を阻止する方法を理解し、デバイス登録および認証プロセスを確実に保護することは不可欠になっています。 パスワードマネージャーは、ユーザーのボルトと、それらへのアクセス権限を管理する仕組みの両方を保護する必要があります。

LastPassの2022年の情報漏洩でも、同様の結果となりましたが、攻撃経路は異なっていました。攻撃者は会社のインフラを侵害し、暗号化ボルトのコピーを盗み出しましたが、セキュリティ研究者たちはその後、ボルトのセキュリティ対策が十分でなかったことが盗難の原因になったことを突き止めました。 DashlaneとLastPassのインシデントはどちらも、攻撃者がユーザーの暗号化ボルトにアクセスすると、そのボルトは半永久的に攻撃対象となる可能性があることを示しています。このことは、データを保護するために安全なパスワードマネージャーを使用することがいかに重要であるかを浮き彫りにしています。

Keeperは、推測されたコードで新しいデバイスが登録されないようにするデバイス承認、複数のMFA方式、どのデバイスも暗黙的に信頼されることがないゼロトラストセキュリティモデルを通じて、この種の攻撃を防ぐように設計されています。 これらの保護は、暗号化キーをユーザーの管理下に置くゼロ知識アーキテクチャ内で動作しています。

Keeperの無料トライアルで、Keeperの堅牢なセキュリティをご体験ください。ユーザーのボルトデータは、そのユーザーのみが管理するキーで暗号化されることをご確認いただけます。

シングルサインオン（SSO）とは、1回の認証でIdP（IDプロバイダー）がトークンを発行し、複数のSP（サービスプロバイダ）へのアクセスを一括で許可する仕組みです。本記事では、IdPとSPの間で実際に何が行われているのかを5つのステップに分けて図解で解説し、SAMLトークンを使った認証の仕組みと主要な認証方式の全体像を、IT担当者向けにわかりやすく整理します。

シングルサインオン（SSO）とは

SSOとは「Single Sign-On（シングルサインオン）」の略で、ユーザーが一度ログインするだけで、連携している複数のシステムやクラウドサービスに認証なしでアクセスできるようにする仕組みです。

日本では、こうした認証の一元化は、もはや「あれば便利」ではなく、事実上の標準になりつつあります。改正個人情報保護法（APPI）の技術的安全管理措置では、個人データを扱う事業者に対して適切な認証の仕組みとアクセス制御の実装が求められています。さらに経済産業省の「サイバーセキュリティ経営ガイドライン Ver 3.0」では、ゼロトラストに基づく認証強化と、クラウドサービス利用にあたっての多層防御が、経営層が把握すべき重点項目として挙げられています。SSOは、こうした要求事項を企業規模で実装するうえで、最も整理された手段のひとつです。

本記事では、SSOが実際にどのような仕組みで動作しているのか、認証フローの内側に焦点を当てます。シングルサインオンのメリット・デメリットを慎重に検討する必要はあるものの、認証を一元化することは、ID管理を本気で考える企業にとって今や標準的な選択肢となっています。

SSOの認証の流れを図解で解説

SSOの認証は、5つのステップで実現されます。

SSOには、認証を担う「IdP（IDプロバイダー）」と、サービスを提供する「SP（サービスプロバイダ）」という2つの役割があります。IdPは、いわば会社の入館証を発行する受付のようなもの。SPは、その入館証で入れる各部屋やフロアです。ユーザーは受付（IdP）で一度本人確認を行うだけで、受付（IdP）で一度本人確認を行えば、許可されたすべての部屋（SP）にアクセスできる。それがSSOの基本的な考え方です。

各ステップの詳細を以下で解説します。

ステップ1：アクセス要求

ユーザーが業務で利用したいサービス（SP）にアクセスしようとします。例えば、SlackやSalesforce、kintoneといったクラウドサービスにブラウザでアクセスする場面を想像してください。

ステップ2：認証リクエスト転送

SPはユーザーがログイン済みかどうかを自分では判断できないため、認証基盤であるIdPに認証リクエストを転送します。ユーザーのブラウザは自動的にIdPの認証画面へリダイレクトされます。

ステップ3：認証（ID／パスワードの確認）

IdPの認証画面で、ユーザーがIDとパスワードを入力します。IdPは入力された認証情報を確認し、本人であることを検証します。多要素認証（MFA）が設定されていれば、この段階で追加の認証が行われます。

認証が成功すると、IdPはSAMLアサーション（認証済みの証明書）を発行します。SAMLアサーションには、ユーザーの識別情報、有効期限、そしてIdPによるデジタル署名が含まれています。

ここで重要なのは、ユーザーのパスワードはSPには一切送られないという点です。SPに渡されるのは署名済みのトークンのみであるため、通信が傍受されても、ID・パスワードそのものが漏洩しにくい設計になっています。これはトークンベース認証の大きなセキュリティ上の利点です。

ステップ4：SAMLアサーションの検証

SPは、IdPから受け取ったSAMLアサーションのデジタル署名を検証します。署名の検証に成功することで、SPは「このトークンが正規のIdPによって発行されたものである」と確認できます。

この仕組みのおかげで、SPはアクセスのたびにIdPに問い合わせる必要がなく、トークンの内容と署名だけでユーザーの認証状態を信頼できます。これがSSOの効率性とセキュリティを両立させている技術的な土台です。

ステップ5：アクセス許可・ログイン完了

検証が完了すると、SPはユーザーへのアクセスを許可します。ユーザーは追加のログイン操作なしで、目的のサービスを利用できるようになります。

そして以降、同じIdPが発行したトークンが有効である間は、他の連携済みSPへのアクセスでも再ログインは不要です。1回の認証で、許可されたすべてのサービスにシームレスにアクセスできる。これがSSOの基本動作です。

仕組みを通じて実現されること

このように、ユーザーが意識しないところで、IdPとSPの間ではトークンの発行と検証が自動的に繰り返されています。ユーザーから見れば「1回ログインすれば、あとは何もしなくても各サービスが使える」というシームレスな体験ですが、その裏側では安全なトークンベース認証が常に動いています。

そしてパスワードをSPに直接渡さない設計こそが、SSOがもたらすセキュリティ上の最大の強みです。利便性とセキュリティを両立する仕組みとして、SSOが多くの企業で導入されている理由がここにあります。

SSOの認証方式の全体像

SSOには、いくつかの代表的な認証方式があり、どれが自社に合うかは「どこにシステムがあるか」で大きく変わります。クラウドSaaS中心で運用している企業なら、現代のクラウドサービスが標準で対応している「フェデレーション方式（SAML / OIDC）」が自然な選択肢になります。一方、オンプレミス中心の環境では、社内のディレクトリと相性のよい「エージェント方式」や「Kerberos / LDAP」が選ばれることが多くなります。SAMLに対応していない古いアプリにもSSOを広げたい場合は、「代理認証方式」や「リバースプロキシ方式」を使えば、アプリ自体に手を入れずに対応することが可能です。各方式の特徴は、以下の表で並べて確認できます。

SSOの理解の先に、Keeperで完成させるIDセキュリティ

ここまでSSOの仕組みを見てきて、SSOには得意な領域とそうでない領域があることが見えてきたと思います。SSOは「社員のログインを1回にまとめる」という点では非常に強力な仕組みですが、その恩恵を受けられるのは、SAMLやOIDCといった現代的なログイン規格に対応しているアプリだけです。もし社内でこれらに対応していないアプリを使っている場合、社員はそのアプリ用に別途アカウントを作り、別途パスワードを覚える必要が出てきます。SSOを導入しても、こうしたアプリの認証はSSOではカバーできない、というのが実情です。

実際の業務現場には、SAMLに対応していない古い社内システム、共有が必要なサービスアカウント、認証方式を現代化していない取引先ポータル、開発者がローカルで使うAPIキーなどの、SSOではカバーしきれない認証情報が必ず存在します。こうした認証情報も、どこかで安全に管理する必要があります。SSOを導入したのに、結局これらを社員の記憶や付箋に頼っていては、ID管理の本質的な目的は果たせません。

ここでKeeperが活きてきます。KeeperはSAML 2.0に対応したすべてのIdPと連携できるため、社員がSSOで認証した瞬間に、SSOでは届かないすべての認証情報を管理するボルトへのアクセスも開かれます。さらに、開発現場で扱うAPIキー、データベース認証情報、CI/CDトークンといった「コードやパイプラインに埋め込まれがちな機密情報」については、Keeper シークレットマネージャーがソースコードからの分離と安全なローテーションを担います。Keeper SSO コネクトと組み合わせることで、ID管理の全体像が完成します。新しいクラウド環境はフェデレーション認証で、日常的な認証情報はゼロ知識暗号化されたボルトで、開発者の機密情報はSecrets Managerで、それぞれ最適に管理される。これにより、エンドユーザーの体験はひとつのフローのまま、組織全体のID管理が抜け漏れなくカバーされます。

最も成功するSSO展開は「SSOだけでは全範囲をカバーできない」という前提から始まっています。SSOとパスワードマネージャーを最初から同じID戦略に組み込んでおくことが、導入から半年後にプロジェクトが頓挫する原因となる「認証情報の散逸」を防ぐ最も確実な方法です。SSOでは届かない認証情報をKeeperでどう管理できるかは、ビジネス向け無料トライアルで実際に試せます。組織規模に応じた価格を確認したい場合は、お見積りを依頼ください。

以下では、これらのデータベース管理ツールについて、それぞれの独自の機能や違いをご紹介します。

KeeperDBとは？

KeeperDBは、エンジニア、データベース管理者 (DBA)、データチーム向けに開発された、多機能でマルチプロトコル対応のデータベースクライアントです。 KeeperDBは、セキュリティ上の大きな課題を解決するために設計されました。その課題とは、従来のデータベースは、管理されていないツール、共有された認証情報、セキュリティ制御外の監視されていない接続を介してアクセスされているという問題です。 KeeperDBでは、Windows、macOS、Linux向けの無料のスタンドアロン型デスクトップアプリケーション版が提供されています。また最新のインターフェース、生体認証、および組み込みのAIエージェントを備えており、DBeaverやMySQL Workbenchといった従来のツールを置き換えるツールとなっています。

従来のデータベース管理ツールと比較して、KeeperDBが一線を画す理由は以下のような点です。

KeeperDBは、KeeperPAMの一部として導入されるとその機能が拡張され、Keeperボルト内で完全に管理された特権アクセスセッションが実現できます。 Keeperのワークフローでは、認証情報がユーザーに公開されたり、エンドポイントにローカルで保存されたりすることがありません。認証情報はKeeperゲートウェイ内で復号化され、暗号化されたチャネル経由で配信されるため、パスワードレスのアクセスが可能になります。 すべてのクエリとセッションは詳細な監査証跡に記録され、アクセスはジャストインタイム (JIT) プロビジョニングによって管理されます。またKeeperAI^®がアクティビティを継続的に分析し、疑わしいクエリやデータ漏洩の試みを検知します。 KeeperDBは、スタンドアロン型のクライアントとしても、KeeperPAM経由でも利用できます。さまざまなプロトコルや環境に対応した単一のツールでデータベースを操作できるため、複数のデータベースを管理する際にアプリケーションを切り替える必要がありません。

DBeaverとは？

DBeaverはデータベース管理クライアントで、データ作業のための柔軟な環境を必要とする開発者やDBAに広く使用されています。 SQL、NoSQL、クラウドベースのデータソースを単一のインターフェースでサポートしているため、多様なデータベース環境を管理するチームから高い支持を得ています。 DBeaverには、多機能なSQLエディタ、スキーマの可視化、ER図、クエリのパフォーマンス分析、豊富なプラグインなど、生産性を高めるさまざまな機能が搭載されています。 100以上のデータベースシステムと幅広く互換性があるため、従来型のプラットフォーム、混合インフラ、ニッチなデータソースをまたがって作業するチームに有用なツールです。

DBeaverでは、汎用的なデータベース管理の基本機能を網羅した無料のオープンソース版「Community Edition」のほか、クラウド統合、シングルサインオン (SSO)、追加の開発者向けツールなどのより高度な機能を備えた有料版も提供されています。 DBeaverは柔軟性と効率性を優先して設計されていますが、どのエディションでも、生体認証やボルトベースの認証情報取得機能は提供されていません。

KeeperDBとDBeaverの機能を比較

KeeperDBとDBeaverはどちらもデータベース管理機能を提供していますが、それぞれ異なる基本原則と優先事項に基づいて設計されています。 具体的な相違点は以下の表をご参照ください。

日常作業のユーザーエクスペリエンス

KeeperDBは、最新のインターフェース、クエリエディタ、SQLノートブック、スキーマエクスプローラー、ER図、組み込みAIエージェント、リアルタイムのパフォーマンスモニターを完備しており、DBAが実際に使いたいと思うツールとなるように設計されています。 DBeaverは、充実した機能と成熟したプラグインエコシステムを提供しており、それが広く採用される理由の1つとなっています。 しかし、KeeperDBが視覚的に優れている点に加え、生体認証やボルトベースの認証情報取得機能を備えているのに対し、DBeaverは、デフォルトでは依然としてエンドポイントのローカルに認証情報が保存されます。これは、ほとんどの従来型のクライアントと同様です。

セキュリティとアクセス

KeeperDBでは、Face IDまたはWindows Helloで認証を行い、接続時にKeeperシークレットマネージャーからデータベース認証情報を取得するため、認証情報がエンドポイントの設定ファイルにプレーンテキストで残ることはありません。 KeeperDBがKeeperPAMで使用される場合、または既存のクライアントがKeeperDBプロキシ経由でルーティングされる場合、認証情報は決してエンドポイントに到達しません。すべてのセッションは記録され、パスワードレスのアクセスはゼロトラストのセキュリティポリシーによって管理されます。

DBeaverは、有料プランにおいてSSO、Kerberos、MFAに対応しており、特にUltimateプランでは、シークレットマネージャーを通じて認証情報の管理が可能です。 こうした機能は有用ですが、それらは生産性を最優先にするツールの単なる追加機能に過ぎず、デフォルトでは、認証情報は依然としてローカルに保存されます。 KeeperDBがKeeperPAMを介してデプロイされた場合、認証情報がエンドポイントに到達することはなく、すべてのセッションが記録され、アクセスはゼロトラストセキュリティポリシーによって管理されます。 DBeaverは有料プランでアクセス制御機能を提供していますが、認証情報のインジェクションやセッション録画機能は備えていないため、KeeperDBのセキュリティおよびガバナンスの水準には及ばないと言えるでしょう。

互換性とデータベースのサポート

KeeperDBは、PostgreSQL、MySQL、Microsoft SQL Server、Oracle、Amazon Redshift、SQLiteといった主要なエンタープライズ向けデータベースプラットフォームに対応しており、これらすべてで統一されたインターフェースを提供しています。 つまり、複数のデータベースを管理するDBAは、ツールを切り替える必要がありません。 一方、DBeaverはNoSQLを含む100以上のデータベースシステムに対応しており、一般的な用途に加え、主要なエンタープライズ向けプラットフォームの範囲外にある従来型のデータソース、ニッチなデータソース、多様なデータソースを扱うチームにとって有力な選択肢となります。

価格

KeeperDBは、無料のスタンドアロン型デスクトップアプリケーションとして使用でき、有料のサブスクリプションでは高度な機能も利用可能です。 KeeperPAMライセンスを持つ組織の場合、KeeperDBはプラットフォームに含まれており、管理された組み込みデータベースセッションとしてKeeperボルトから直接起動できます。 そのため、最新のスタンドアロン型データベースクライアントとしてKeeperDBを導入し、ニーズの変化に応じてKeeperPAMを活用した高度なセキュリティ機能に拡張するなど、柔軟性のある運用が可能になります。 KeeperDBと同様に、DBeaverも無料版と有料版の価格モデルを採用しています。 DBeaverのCommunity Editionは無料のオープンソースであり、ProやUltimateなどの有料版では、クラウド統合や追加のデータベースドライバなどのエンタープライズ向け機能が追加で利用できます。

KeeperDBとDBeaver、どちらのマルチプロトコル対応データベースツールがご自身に適しているでしょうか？

KeeperDBかDBeaverか、どちらかの選択を検討する際は、チームの優先事項、コンプライアンス要件、全体的なセキュリティ態勢を考慮してください。

次のような場合は、KeeperDBの方が適している可能性が高いでしょう。

• DBeaverやMySQL Workbenchなどの従来型のツールに代わる、視覚的に優れた最新の代替ツールを探している場合。
• 認証情報をローカルの設定ファイルに保存するのではなく、生体認証を使用し、Keeperシークレットマネージャーから認証情報を取得したい場合。
• 好みのLLMプロバイダを使用できる組み込みAIエージェントを求めている場合。
• FedRAMP、SOC 2、HIPAAなどのコンプライアンス要件を満たす必要があり、すべてのセッションの監視、記録、監査が求められている場合。
• すでにKeeperを使用しており、同じプラットフォームからデータベースにアクセスしたい場合、あるいは管理された特権アクセスへ拡張するオプションを将来的に検討したい場合。

次のような場合は、DBeaverの方が適している可能性があります。

• NoSQLを含む、多種多様あるいはニッチなデータベースタイプにわたって、幅広い互換性が必要な場合。
• DBeaverのエコシステム内の特定のプラグインや連携機能に依存している場合。
• 大きなコミュニティを持つオープンソースのクライアントが好ましい場合。

KeeperDBが現在サポートしていないNoSQLやニッチなデータベースタイプがお使いの環境に含まれている場合、そうした特定の接続において、DBeaverは妥当な選択肢となります。 しかし、KeeperDBプロキシを使用すれば、どちらか一方だけを選択する必要はありません。チームは使い慣れたDBeaverのインターフェースを引き続き使用しながら、Keeperによってバックグラウンドでセキュリティとガバナンスを管理できます。

KeeperDBプロキシで両方を使用するには

チームがDBeaverを使用しており、ツールを切り替える準備が整っていない場合でも、KeeperDBプロキシを使用すれば、開発者はDBeaverを含む使い慣れたデータベースクライアントを引き続き使いながら、Keeperを経由してすべての接続を安全にルーティングすることができます。 一元的なポリシーの適用、完全な可視性、Keeperのゼロ知識アーキテクチャはすべて、既存のワークフローを中断することなくバックグラウンドで維持されます。 KeeperDBプロキシは、DBeaverの柔軟性と、Keeperのセキュリティおよびガバナンスという二重の利点を提供します。

KeeperDBプロキシの詳しい仕組みについては、当社のドキュメントをお読みください。

KeeperDBでデータベースアクセスのセキュリティを最優先に

スタンドアロン型クライアントのKeeperDBは、従来のツールに取って代わる最新のツールです。チームの準備が整ったら、同じツールをKeeperPAMに拡張することで、パスワードレス認証、ボルトベースの認証情報取得、ゼロトラストガバナンスを実現できます。 DBeaverは、汎用的な用途からニッチな用途まで幅広く対応できる柔軟なツールではありますが、KeeperDBの日々の使い勝手の良さやエンタープライズレベルのセキュリティには及びません。

KeeperDBをダウンロードして、チームのデータベース処理を最新化しましょう。また、KeeperPAMの無料トライアルで、管理された安全なデータベースアクセスを実現する方法をぜひご体験ください。

以下では、ITセキュリティの詳しい解説と、企業がそれを実装する方法についてご紹介します。

重要なポイント

• ITセキュリティとは、組織のシステム、ネットワーク、データを不正アクセスやサイバー攻撃の脅威から保護する手段である。
• ITセキュリティ、情報セキュリティ、サイバーセキュリティは、よく同じ意味で使われるが、情報セキュリティは最も概念が広く、その中にITセキュリティとサイバーセキュリティという専門分野がある。
• 最も一般的なITセキュリティの脅威に、マルウェア、ランサムウェア、フィッシング、内部脅威があり、いずれも深刻な金銭的損失や業務への支障をもたらす可能性がある。
• 組織が実装できる最も効果的な防御策の例として、ゼロトラストセキュリティ、RBAC (ロールベースのアクセス制御)、PAMなどの強力なアイデンティティ管理が挙げられる。
• AIの普及によりサイバー犯罪者は、攻撃を自動化したり、説得力のあるフィッシングコンテンツを作成したりと、従来であれば多大なリソースと専門知識を必要とした作戦を大規模に展開できるようになったため、先手を打つセキュリティ対策がこれまで以上に重要である。

ITセキュリティ、情報セキュリティ、サイバーセキュリティの違い

ITセキュリティ、情報セキュリティ、サイバーセキュリティは同じ意味で使われることがありますが、それぞれの用語の意味は異なります。 主な違いについて、以下の表で説明します。

簡単に言うと、情報セキュリティとは、ITセキュリティとサイバーセキュリティを含む包括的な概念です。その中で、ITセキュリティとサイバーセキュリティはそれぞれ特定の領域に焦点を当てた分野です。 実際には、情報セキュリティは、サーバーや書類棚に保存されているファイルをカバーする企業のセキュリティポリシーのようなものです。ITセキュリティは、従業員のデバイス群に多要素認証 (MFA) を実施するIT部門のようなものです。サイバーセキュリティは、悪意のあるトラフィックが企業のアプリケーションに到達するのをブロックすることを指します。

ITセキュリティの3つの保護目標

あらゆるITセキュリティ戦略の中核に、CIAトライアドと呼ばれる、「機密性 (Confidentiality)」、「完全性 (Integrity)」、「可用性 (Availability)」という3つの基本的な目標があります。 これらの原則は、組織が導入するすべてのITセキュリティポリシーやセキュリティ対策の基盤となります。

• 機密性: 許可されたユーザーのみが機密情報にアクセスできるようにします。 この目標は、暗号化やMFAなどの対策を通じて、不正アクセスや誤用を防ぐことを目的にしています。 たとえば、医療機関は患者データを暗号化し、許可された医療従事者のみがアクセスできるようにする必要があります。
• 完全性: データの正確性と一貫性を維持し、権限のない第三者によってデータが改ざんされないようにします。 悪意によるものでも過失によるものでも、許可されていないデータの変更によりデータの完全性は損なわれてしまいます。 実際に銀行は、支払いが行われてから処理が完了するまでの間に、取引記録が改ざんされないことを保証するために、データの完全性に依拠しています。
• 可用性: システム、データ、ネットワークが、必要なときに、許可されたユーザーが確実に利用できるようにすることを保証します。 つまり、サービスの中断を未然に防ぐことと、万が一に備えて復旧計画を策定しておくことの両方を意味します。 たとえば、ハードウェア障害が起こってもオンラインプラットフォームがオンラインを維持できるよう災害復旧システムに投資している企業が挙げられます。

ITセキュリティの脅威: 最も一般的な攻撃の種類

最も一般的なサイバー攻撃の種類やITセキュリティの脅威を理解することは、組織がそれらに対する防御方法を学ぶうえで役立ちます。

マルウェアとランサムウェア

マルウェアとは、システムに侵入したり、損害を与えたり、不正アクセスしたりすることを目的に作られた悪意のあるソフトウェアです。 ランサムウェアは、マルウェアの種類の中でも最も被害が大きくなる部類です。サイバー犯罪者が組織のファイルを暗号化し、それらを利用できる状態に戻すための身代金を要求する攻撃です。 ランサムウェア攻撃が成功すれば、業務が混乱し、組織が重要なシステムから締め出され、深刻な金銭的損失を被るおそれがあります。

フィッシングとソーシャルエンジニアリング

フィッシング攻撃とは、信頼できる送信元になりすますことで、個人を騙してログイン認証情報などの機密情報を開示させる手口です。 フィッシングは、ソーシャルエンジニアリングの代表的な攻撃手法の一つです。ソーシャルエンジニアリングとは、セキュリティ上の脆弱性ではなく、人間の行動を悪用して不正アクセスを得る攻撃の分類を指します。 攻撃者は、人間の心理や行動にはソフトウェアのように簡単に修正プログラムを適用できないことを利用します。そのため、フィッシングは現在でもデータ侵害の最も一般的な侵入経路の一つとなっています。

内部脅威

内部脅威とは、現職または元従業員、契約社員、パートナーが組織のシステムやデータへのアクセスを悪用することを指します。 内部関係者はすでに機密情報や重要なシステムへの正当なアクセス権を持っているため、悪意によるものでも過失によるものでも、内部脅威は検出と封じ込めが特に難しい脅威です。

DDoS攻撃

分散型サービス拒否 (DDoS) 攻撃は、標的となったサーバー、ネットワーク、アプリケーションに大量のトラフィックを送り込んで機能不全に陥らせ、正規のユーザーが利用できないようにします。 この種の攻撃は、組織の評判を損なうことを目的として行われることが多く、また、別のサイバー攻撃を実行する間の撹乱作戦として使われることもあります。 顧客向けアプリケーションやオンラインサービスを提供する組織は、こうした種類の攻撃に対して特に脆弱です。

ITセキュリティの導入

現代のITセキュリティは、IDおよびアクセス管理 (IAM) に大きく依存しています。なぜなら、「誰が何にアクセスできるか」を管理することは、組織の攻撃対象領域を減らす最も効果的な方法の1つだからです。 従業員による社内アプリケーションへのログインであっても、管理者による機密データへのアクセスであっても、アイデンティティを確認し、きめ細かなアクセス制御を実施することは、システムやデータを安全に保護するための重要な要件です。 つまり、組織が最小権限の原則 (PoLP) を徹底し、MFAのような強力な認証方法を要求すると同時に、企業向けパスワードマネージャーまたは特権アクセス管理 (PAM) ソリューションで認証情報を保護する必要があります。

特権アクセス管理 (PAM)

PAMは、組織が最も重要なシステムやアカウントへのアクセスを制御し､監視できるようにするサイバーセキュリティソリューションです。 特権アカウントは、通常、管理者やDevOpsチームが使用し、高い権限が付与されています。これが侵害された場合、サイバー犯罪者に機密データやインフラストラクチャの広範囲のアクセスを与えてしまうことになります。 PAMを利用すると、最小権限アクセスを強制するほか、認証情報を自動的にローテーションし、セッション全体を可視化できるため、データ侵害や内部脅威のリスクを大幅に減らせます。

ゼロトラストセキュリティとRBAC

ゼロトラストセキュリティとロールベースのアクセス制御 (RBAC) は連携して機能し、ユーザーのアイデンティティとロールに基づいてアクセスを制限します。 ゼロトラストは「決して信頼せず、常に検証する」という原則に基づいて動作し、ユーザー、デバイス、システムのいずれにも初めからアクセスを許可せず、アクセスリクエストがあるたびに継続的に認証プロセスが行われます。 一方、RBACは、個人に対してではなく、ユーザーのロールに基づいて権限を割り当て、各ロールに業務上必要なアクセスのみを与え、ゼロトラストを補完します。 これら2つのアプローチが組み合わさることで、サイバー犯罪者がネットワーク内を水平移動したり、過剰にプロビジョニングされたアカウントを悪用したりすることが非常に難しくなります。

パスワード管理

企業向けパスワードマネージャーとは、組織内のさまざまなアカウントやアプリケーションの認証情報を安全に保存、管理し、自動入力を行うソリューションのことです。 従業員がパスワードを手作業で作成して管理すると、多くの場合、弱いパスワードが使用され、パスワードの使い回しも発生しますが、企業向けパスワードマネージャーは各アカウントに対し強力でユニークなパスワードの使用を強制し、それらを暗号化されたボルト (保管庫) に安全に保管します。 パスワードマネージャーを使用することで、データ侵害の最も一般的な原因の一つを排除でき、IT部門が組織全体の認証情報のセキュリティを管理できるようになります。

多要素認証 (MFA) およびパスワードレス認証

MFAは、アクセスを許可する前に、ユーザーに2つ以上の認証要素による本人確認を要求することで、アカウントのセキュリティを強化します。 たとえば、ユーザーが認証にパスワードと生体認証を使用する場合、たとえパスワードが漏洩しても、2つ目の認証要素がなければアクセスは成立しません。 さまざまな組織で従来のパスワード認証から完全に脱却しようとする取り組みが進んでおり、パスキーや生体認証といったパスワードレス認証方式がますます普及されつつあります。 これらのパスワードレス方式により、MFAが本来対処しようとしていた認証情報の脆弱性が取り除かれます。

シークレット管理

ITセキュリティにおいて、シークレットとは、アプリケーションやシステムが相互に認証しあい、通信するために使用する認証情報を指します。 例としては、APIキー、トークン、証明書などがあります。 人間のユーザーが使用する従来のパスワードとは異なり、シークレットは設定ファイルやコードリポジトリにハードコードされていることが少なくないため、見落とされがちですが、非常に悪用されやすい攻撃経路になっています。 シークレット管理ソリューションは、シークレットを安全に保管し、自動的にローテーションを行い、必要なシステムやサービスだけがアクセスできるようにします。

暗号化と安全なデータ送信

暗号化とは、データを判読不可能な形式に変換するプロセスを指し、正しい復号キーを持つ許可された人のみが読み取ることができます。 ITセキュリティの最も重要な技術の1つである暗号化は、データが傍受されたり、権限のないユーザーによってアクセスされたりしても、読み取ったり、使用したりできない状態に保ちます。 暗号化は、保存中のデータと通信中のデータの両方に適用されます。つまり、保存されたデータもネットワーク間で転送される情報も保護します。 Transport Layer Security (TLS) のような安全な通信プロトコルは、システムとユーザーの間でデータがやり取りされる際にデータを保護し、転送中の機密データが改ざんされたり傍受されたりすることを防ぎます。

AIはサイバー攻撃をどのように変えているのか

人工知能 (AI) により、サイバー犯罪者は、これまで以上に短時間で、大規模かつ高度な技術で攻撃できるようになっています。 AIは、高度なソーシャルエンジニアリングの手法を取り入れた、巧妙なフィッシングメールの作成にも利用されており、従業員には真偽を見分けることがますます難しくなっています。 こうした中で、IT部門とセキュリティチームは、高度に自動化され、知能化したサイバー攻撃の脅威からシステム、データ、認証情報を保護する対策を講じることが、これまで以上に求められています。 強力なアクセス制御、MFAやPAMなどのベストプラクティスを実践することは、AIを悪用したサイバー攻撃に対抗するために不可欠です。 Keeperは、企業向けパスワード管理、MFA適用、シークレット管理、PAMを組み合わせた統合型のアイデンティティセキュリティプラットフォームを提供しており、アイデンティティ、認証情報、システムを確実に保護するために防御策を講じる組織を支援しています。

組織のITセキュリティ戦略の強化に向けて、KeeperPAMの無料トライアルをお試しください。

脱PPAPとは？

脱PPAPとは、パスワード付きZIPファイルをメールで送信し、パスワードを別メールで送る運用（いわゆるPPAP）を廃止する取り組みです。2020年の政府廃止宣言をきっかけに、大手企業、金融機関、そして中堅・中小企業へと段階的に広がっています。

PPAPとは、Password付きZIPの送信（P）、Passwordの送信（P）、暗号化＝Angou-ka（A）、Protocol（P）の略称で、2000年代後半から多くの日本企業でファイル送信の事実上の標準として定着しました。一見すると暗号化によって安全に見えますが、実際にはファイルとパスワードが同じメール経路を通るため、その経路が傍受されれば両方が同時に漏洩します。これは運用上の問題ではなく、構造的な欠陥です。

脱PPAPの流れは以下のように進んでいます。

• 2020年：デジタル改革担当大臣が中央省庁でのPPAP廃止を宣言
• 2021年：文部科学省をはじめとする省庁がクラウドストレージへの移行を推進
• 2021年〜2022年：大手企業が相次いで脱PPAPを表明
• 2023年：日本企業の約70%がPPAPを使用していない、または見直し中と回答
• 2025年〜2026年：金融庁の要請を受け、金融機関がPPAPメールの受信拒否を積極的に推進

なぜ今、脱PPAPが急務なのか？

脱PPAPは、単なるセキュリティ改善の取り組みではなくなっています。PPAPメールを受け取らない取引先が増える中、対応の遅れがファイル送受信の失敗、つまり業務そのものの停止につながるリスクが高まっています。

受信側の変化

これまで脱PPAPの議論は、送信側が自主的にPPAPをやめるかどうかが中心でした。しかし現在は、受信側、特に金融機関がPPAPメールの受信そのものを拒否する動きが広がっています。金融庁の2025年の要請により、業界全体がPPAP廃止に向かっています。取引先がPPAPを受け付けなくなれば、送信側の業務フローも止まります。

マルウェアリスク

パスワード付きZIPファイルは暗号化されているため、ほとんどのマルウェア対策ツールがその中身をスキャンできません。つまり、悪意のある添付ファイルが検知をすり抜けて従業員に届く可能性があります。Emotetはその代表例で、感染した組織のメールデータを窃取し、取引先への拡散に利用することで知られています。情報処理推進機構（IPA）は、Emotetの特定のキャンペーンがウイルス対策を回避する手段としてパスワード付きZIPを悪用していたことを警告しています。PPAPでは、暗号化そのものが攻撃者にとって都合の良い隠れ場所になってしまうのです。

コンプライアンス圧力

金融庁だけが圧力の源ではありません。総務省のテレワークセキュリティガイドラインでもPPAPの見直しに言及しています。現代の情報セキュリティはゼロトラストの考え方に移行しています。これは社内外を問わず、あらゆるアクセスをその都度検証するモデルです。単一経路の暗号化送信で十分とするPPAPは、このモデルと根本的に相容れません。

業務効率の低下

2通のメールを送る運用自体が効率を下げます。モバイル端末では開封が困難なケースが多く、受信側にパスワード入力の負担がかかり、社内では非公式なパスワード管理が常態化しやすくなります。こうしたコストは目に見えにくいものの、確実に蓄積されていきます。

無事故は安全を意味しない

これまで問題が起きていないから大丈夫だと考える組織は少なくありません。しかし、これはセキュリティ上の根拠にはなりません。PPAPの構造的な欠陥は変わっておらず、被害がないのは偶然であって安全の証明ではありません。攻撃者の手法も年々進化しており、過去の安全が将来の安全を保証するものではないのです。

脱PPAPの主な代替策とは？

脱PPAPの代替策は大きく4つのカテゴリに分類されます。データの機密性、組織の規模、既存のIT環境に応じて最適な方法を選ぶことが重要です。

1. クラウドストレージ共有リンク型

すでに利用しているクラウドサービスにファイルをアップロードし、有効期限やアクセス権限を設定したリンクを共有する方法です。

既存のプラットフォームを活用できるため、移行コストが低く抑えられます。ファイルのバージョン管理や権限の取り消しも柔軟に対応できます。ただし、サービス提供者（クラウド事業者）が暗号鍵を管理するため、原理上はサービス提供者がファイル内容にアクセスできる構造です。これが「ゼロ知識ではない」という意味です。受信者側にアカウントが必要な場合もあります。日常的な社内外の共有に適していますが、高度な機密データを継続的に扱うには不向きな面もあります。

2. ファイル転送サービス型

専用のファイル転送サービスにファイルをアップロードし、一時的なダウンロードURLを発行して相手に送る方法です。

大容量ファイルへの対応と、登録不要で利用できる手軽さが魅力です。一方で、無料プランではセキュリティ機能や監査ログが不十分なケースが多く、継続的な共有には向きません。社外への単発の大容量ファイル送信に適しています。

3. メールセキュリティ製品による添付ファイル自動変換型

メールに添付されたファイルを自動的に暗号化されたダウンロードリンクに変換する製品を導入する方法です。

ユーザーのメール送信操作がほとんど変わらないため、数千人規模の組織でも限られた再教育で展開できます。ただし、製品提供者（ベンダー）が暗号鍵を管理するため、これは厳密な意味でのエンドツーエンド暗号化（送信者と受信者のみがコンテンツを閲覧でき、途中の誰もアクセスできないモデル）ではありません。ベンダーが暗号鍵を保持することを許容した上で、運用変更を最小限に抑えたい大規模組織に適しています。

4. エンドツーエンド暗号化型セキュリティプラットフォーム

パスワード、認証情報、ファイルをゼロ知識暗号化で統合的に保護するプラットフォームです。ゼロ知識暗号化とは、ユーザー自身のデバイス上でデータが暗号化され、暗号鍵がユーザー側にのみ存在する仕組みです。この構造により、サービス提供者自身もユーザーデータを閲覧できません。

このカテゴリは最も高いセキュリティレベルに対応します。機密情報を扱う組織、規制産業、パスワード管理や特権アクセス管理（システム管理者などの高権限アカウントの管理）も同時に解決したい企業に適しています。Keeperはこのカテゴリに位置づけられます。

以下は4つのカテゴリの比較です。

*セキュリティレベルは、鍵管理モデルとマルウェアスキャン能力をPPAPとの比較で評価したものです。いずれの選択肢もPPAPより大幅に安全です。

自社に合った脱PPAP対策の選び方

脱PPAPを「PPAPを別のツールに置き換えるだけ」と捉えてしまうのはよくある落とし穴です。ファイル送信の方法だけを変え、パスワードやアクセス管理の負担をそのままにすると、形を変えた新たな脆弱性を生む可能性があります。

自社に合った方法を見つけるには、以下の点を整理する必要があります。

4番目のポイントは見落とされがちです。ファイル共有の仕組みだけを変えると、管理すべき認証情報（クラウドのログイン、ダウンロードリンクのパスワード、外部連携の資格情報など）がかえって増え、新たな管理上の問題が発生するケースが少なくありません。

脱PPAPを「送信方法の入れ替え」ではなく、セキュリティ体制全体を見直す機会と捉えることで、長期的な運用コストとビジネスリスクの両方を低減できます。

Keeperで脱PPAPを実現する方法

Keeperのパスワードマネージャーは、ゼロ知識暗号化とゼロトラストの原則に基づいて設計されたセキュリティプラットフォームです。PPAPが解決しようとしていた課題（パスワードとファイルを外部の相手と安全に共有すること）を、適切なエンドツーエンド暗号化で正しく解決します。

ワンタイム共有

ワンタイム共有は、時間制限とデバイスロックを組み合わせた1回限りの共有リンクです。デバイスロックにより、リンクは受信者の特定のデバイスに紐づけられるため、仮にリンクだけが第三者に漏洩しても、別のデバイスからは開けません。受信者がKeeperアカウントを持っている必要はなく、メールや別の経路でパスワードを送る必要もありません。また、双方向ワンタイム共有リンクを使用すれば、受信者側からドキュメントをアップロードしてもらい、そのファイルをKeeper利用者のボルト内に安全に保存することも可能です。

安全なファイルストレージ

機密文書はユーザーのデバイス上で暗号化されてからアップロードされ、暗号化ボルト（専用の暗号化ストレージ領域）内に保存されます。保存から共有まで一貫してエンドツーエンドで保護されるため、クラウド上に保管されたファイルであっても、Keeper自身を含む第三者が閲覧することはできません。

チーム・部門間の安全な共有

14カテゴリにわたる80以上の権限設定により、社内チームや社外の協力者のアクセスをきめ細かく制御できます。ファイルや認証情報へのアクセスを部門やプロジェクト単位で区分することで、各メンバーが業務に必要な情報だけにアクセスできる体制を構築できます。最小権限アクセスと呼ばれるこのアプローチが、理想論ではなく実運用として機能します。

監査証跡とアラート

誰がいつどの情報にアクセスしたかの完全な監査証跡を保持できます。SIEM（組織全体のセキュリティログを統合・分析するシステム）との連携にも対応しており、コンプライアンスへの対応や不審なアクセスの早期検知に必要な可視性を提供します。

脱PPAPを超えた統合管理

Keeperはパスワード、パスキー、認証情報、特権アクセスを一つのプラットフォーム上でカバーし、多様なセキュリティ課題に対応します。脱PPAPをきっかけとしつつ、同じプラットフォームで組織全体のセキュリティ体制を引き上げることが可能です。

国際認証

KeeperはISO 27001、ISO 27017、ISO 27018（日本の企業パートナーや監査法人に最も広く認知されている国際標準）の認証を取得しています。加えて、FedRAMP High認証（米国連邦政府機関向けの厳格なクラウドセキュリティ認証）、SOC 2、PCI DSSにも対応しています。

多くのクラウドストレージやファイル転送サービスでは、サービス提供者側が暗号鍵を保持しています。つまり、サービス提供者は原理上データにアクセスでき、万が一その提供者が侵害された場合、暗号鍵とともにファイルが漏洩するリスクがあります。Keeperはゼロ知識暗号化を採用しているため、Keeper自身すらユーザーデータを閲覧できません。これが、PPAPが解決しようとしていた2つの課題（安全なファイル共有と安全なパスワード共有）を、Keeperが一つのプラットフォームで解決できる理由です。

脱PPAPの次のステップ

脱PPAPは、セキュリティ上の推奨事項から、事業継続のための要件へと変わりつつあります。PPAPメールを拒否する企業が増える中、対応を先延ばしにすることは業務中断のリスクを直接的に高めます。

代替策はクラウドストレージの共有リンクからエンタープライズ向けのエンドツーエンド暗号化プラットフォームまで多岐にわたります。最適な選択はデータの機密性、組織の規模、既存のIT環境によって異なります。機密データを扱う組織や規制産業では、パスワード管理と安全なファイル共有をゼロ知識プラットフォーム上で統合的に解決するKeeperパスワードマネージャーが有力な選択肢となります。まずは無料トライアルでお試しください。

以下では、CMMCレベル2の詳細、それが研究大学にとって重要である理由、KeeperがCMMCへの準拠をどのように支援するかについてご紹介します。

CMMCレベル2とは

CMMCには複数の認証レベルがありますが、米国国防総省の資金提供を受ける研究に携わる機関は、CMMCレベル2の要件を求められることが多くあります。CMMCレベル2は、CUIを保管、処理、共有する組織に適用され、機密性の高い政府情報が潜在的なサイバー攻撃の脅威や不正アクセスから確実に保護されることを目的としています。 CMMCレベル2は、米国国立標準技術研究所 (NIST) の特別刊行物800-171に規定されているセキュリティ制御と整合しています。同刊行物は、連邦政府以外の組織がCUIを保護できるよう支援することを目的としたフレームワークです。 そこで定められている110のセキュリティ制御は、アクセス制御、認証、インシデント対応、データ整合性を含んでおり、幅広いサイバーセキュリティ対策を網羅しています。

CMMCレベル2が研究大学にとって重要な理由

政府機関を標的としたサイバー攻撃の脅威が増加し続ける中、政府機関はゼロトラストのセキュリティ原則を採用しつつありますが、CMMCの要件は、従来の防衛関連請負業者だけに限定して適用されるわけではありません。 政府資金による多くの研究プロジェクトには、機密性の高いデータ、研究成果、試験結果、その他の形態のCUIが含まれているため、研究大学にとってCMMCレベル2は特に重要です。 各機関がCMMCレベル2の認証を取得するには、CUIのライフサイクル全体を通じて適切なセキュリティ制御措置が講じられていることを実証する必要があります。

米国国防総省の契約においてCMMCを義務付ける施行規則 (48 CFR) は、2025年11月10日に発効しました。現在国防総省の契約には、段階的なスケジュールに従ってCMMCの要件が適用されています。 第1段階では、ほとんどの要件はレベル1またはレベル2の自己評価の形式をとりますが、一部の契約では、第三者評価機関 (C3PAO) によるレベル2の認証がすでに義務付けられています。 レベル2 C3PAO認証に関する広範な要件は、2026年11月10日より施行されます。 具体的な要件は契約の詳細や取り扱う情報によって異なります。 現在または将来、米国国防総省の資金提供を受けるプロジェクトに携わる研究大学は、今すぐセキュリティ態勢を評価して、認証に向けた準備を開始しなければなりません。

研究大学がCMMC準拠のために実施すべきこと

CMMCレベル2の準拠に向けた準備を行うにあたり、研究大学は、自組織の環境内でCUIがどこに存在しているかを把握し、現在のセキュリティ制御の評価を行い、継続的なコンプライアンスへの取り組みを支援する必要があります。 CMMCレベル2の準拠に積極的に取り組むことで、組織はセキュリティ上の課題を早期に特定し、機密データを保護するためのより強固な基盤を構築することができます。

CUIの所在を特定

セキュリティ制御措置を実施する前に、研究大学は、CUIが組織全体でどこに保存され処理されているかを理解する必要があります。 CUIは、研究データベース、研究室システム、クラウドプラットフォーム、教員や研究者が使用するデバイスに存在しています。 大学は多くの場合、複数の学部やプログラムにまたがって運営されているため、機密情報を完全に把握するのが困難な場合があります。 またCUIは多くの場合、メールメッセージ、共有ドライブ、教員所有のデバイスなど、専用の研究環境以外にも存在する可能性があります。 これらのデータソースを特定することは、どのユーザーとシステムを追加のセキュリティ制御の対象にするかを決定する上で、重要な第一歩となります。

徹底したセキュリティギャップの評価を実施

CUIが特定されたら、研究大学は、現在の自校のセキュリティ施策がNIST SP 800-171で規定されている要件と比較して、どのように異なるかを評価する必要があります。 これには、既存のアクセス制御、監視機能、インシデント対応計画、監査プロセスの見直しが含まれていなければなりません。 また特権アカウントも把握し、アクセス権限を精査して、ユーザーのロールに必要な範囲を超えてアクセスが許可されていないかを判断する必要があります。 多くの機関は既にセキュリティ対策を講じているものの、それらの対策が学部やプログラム全体で一貫して実施されているとは限りません。

安全な研究環境を実装

研究環境においては、CUIへのアクセスは、許可されたユーザーとシステムのみに制限するように構築する必要があります。 アクセスを制限することで、データの漏洩を減らし、機密情報の不正開示を予防できます。 IDおよびアクセス管理 (IAM) ソリューションは、職務の遂行に必要な権限のみをユーザーに付与することで、大学が最小権限アクセスを適用するのに役立ちます。 またCUIが含まれるシステムにアクセスするすべてのアカウントには、多要素認証 (MFA) を義務付けることが求められます。リモートアクセス環境も例外ではありません。 強力なアイデンティティ管理とアクセス制御を実施することは、内部脅威を最小限に抑え、IDと認証に関するCMMCレベル2の要件を満たすのに役立ちます。

SSPとPOAMを文書化

正確なシステムセキュリティ計画 (SSP) および行動計画とマイルストーン (POAM) を維持することで、将来の評価作業を簡素化し、CMMCレベル2の要件への準拠を実証できます。 SSPは、組織のセキュリティ制御を文書化し、その実施方法と管理方法を定義するものです。 またPOAMは、セキュリティギャップとそれに対処するために必要な対策を特定します。 システムや研究環境が時間の経過とともに変化する中で、こうした情報は、常に正確であり続けなければなりません。そのため大学は、この文書化を一度限りの作業ではなく、継続的なプロセスとして扱う必要があります。

C3PAOによる監査に備える

CMMCレベル2の認証を目指す研究大学は、C3PAOによる評価を受けることが求められます。 これらの評価に備えるには、セキュリティ制御を実施するだけでなく、それらの対策が適切に機能していることを証明しなければなりません。 そのため、セキュリティ対策の有効性を裏付ける証拠を保管する必要があります。これには、詳細な監査証跡、アクセスレコード、セキュリティポリシー、トレーニングレコードが含まれます。 こうした情報を事前に収集しておくことで、評価プロセスを効率化し、正式な審査に向けた準備の負担を軽減できます。

Keeper^®がCMMC 2.0への準拠を支援する方法

CUIを扱う組織には、強力なアクセス制御、ユーザーアクティビティの完全な可視性、セキュリティ制御が効果的に機能していることを証明する能力が求められます。 CMMCレベル2への準拠を達成するには、人、技術、プロセスを組み合わせることが必要であり、Keeper Security公的機関向けクラウド (KSGC) を導入することで、組織はCUIを保護し、CMMC準拠に向けた取り組みをサポートする複数のセキュリティ制御を強化することができます。 FedRAMP High認証取得プラットフォームであるKeeperによって、研究大学は、機密情報を保護し、特権アクセスを制御し、環境全体で監査対応可能な可視性を維持するためのツールが手に入ります。

研究大学がCMMC 2.0の準拠に向けて取り組むにあたり、KSGCを活用すると以下のことが可能になります。

Keeperを活用して、CMMCレベル2準拠に備えましょう

研究大学が米国国防総省の資金提供を受ける研究に引き続き携わる中で、機密情報を保護し、将来の研究参加資格を維持するには、CMMCへの準拠がますます重要になっています。 CMMCレベル2は、特にCUIの保護に重点を置いているため、各機関は、コンプライアンスが義務化されるまで待つのではなく、できるだけ早く自組織のセキュリティ態勢の評価に着手する必要があります。ぜひデモをお申し込みいただき、KSGCが、アクセス制御の強化、CUIの保護、CMMCレベル2への対応準備をどのようにサポートするかをご体験ください。

以下では、KeeperDBがどのようにデータベースアクセスを保護し、それが現代のエンタープライズセキュリティにおいて重要な理由をご紹介します。

データベースアクセスの保護が重要な理由

データベースは、組織の機密データを保存する最も重要な資産の1つです。 データベースアクセスのセキュリティが特に重要なのは、次のような理由からです。

• 価値の高い攻撃対象: データベースには大量の機密データが含まれているため、金銭的または戦略的な利益を求めるサイバー犯罪者にとって価値の高い標的となっています
• 不十分な可視性: 多くの組織は、リアルタイムのセッション監視やデータベースアクティビティの記録を行っておらず、不正アクセスや疑わしい行動を検知できていません
• コンプライアンスリスク: 適切な監査が行われない場合、組織はSOC 2、HIPAA、ISO 27001などの規制フレームワークの要件を満たせなくなる可能性があります
• 認証情報に基づく攻撃: サイバー犯罪者がシステムに侵入するために使用する最も一般的な攻撃経路は、侵害された認証情報、再利用された認証情報、管理が不十分な認証情報です

組織がこれらの課題に対処するには、データベースアクセスを完全に可視化し、制御する必要があります。 それには、ゼロトラストセキュリティの適用、クライアントレベルでの認証情報の管理、詳細な監査証跡の維持が含まれます。KeeperDBは、Face IDやWindows Helloを通じた生体認証を使用することで、パスワードレスのログインを実現します。 またKeeperDBは、Keeperシークレットマネージャーと直接連携しているため、データベースの認証情報は、接続時にKeeperボルトから取得されます。これにより、エンドポイント全体に認証情報が拡散したままになるのを防止できます。

ここでは、KeeperDBがデータベースアクセスの保護を実現する7つの方法をご紹介します。

1. パスワードレスアクセスにより、認証情報の保存を排除

保存されたデータベースの認証情報は、組織にとって大きなセキュリティリスクとなります。 多くの環境では、パスワードは設定ファイルに保存されたり、スクリプトに埋め込まれたり、チーム間で共有されたりしています。 こうした慣行によって複数の漏洩ポイントが作られると、サイバー犯罪者がフィッシング攻撃やマルウェアを通じて認証情報を盗むことが容易になります。 盗まれた認証情報は、システム間で水平移動したり、特権を昇格させたりするのに再利用される可能性があります。

KeeperDBは、プレーンテキストの設定ファイルからデータベースの認証情報を除外することで、このリスクを排除します。 Keeperシークレットマネージャーに統合されたスタンドアロンのデスクトップアプリであるKeeperDBを使用すると、認証情報は接続時にボルトから取得されるため、ローカルの設定ファイルに保存されることはありません。また、生体認証がマスターパスワードに完全に取って代わります。 KeeperDBがKeeperPAMを介してデプロイされた場合、認証情報がエンドポイントに到達することはなく、アクセス時にお客様が管理するKeeperゲートウェイ内でのみ復号されます。 そこから、認証情報は暗号化されたチャネルを介してメモリ上のKeeperDBに渡され、セッションが終了すると即座に消去されます。

セッションは、Keeperのリモートブラウザ分離 (RBI) 機能によって完全に分離され、KeeperDBは完全に隔離されたセッション内でユーザーのブラウザにストリーミングされます。 認証情報がエンドポイントに一切書き込まれないため、一時的なものとなり、かつ管理された状態が維持され、データベースとエンドポイントの間の厳格な分離が確保されます。 シークレットの保存を排除することで、認証情報が盗難されるリスクが軽減され、インフラストラクチャ全体での水平移動が制限されます。

2. すべてのデータベースセッションでゼロトラストセキュリティを適用

KeeperDBがKeeperPAMにデプロイされると、Keeperゲートウェイを介して認証済みかつエンドツーエンドで暗号化された接続が確立されるため、ゼロトラストアクセスが実現できます。 データベースは、インバウンドのファイアウォールを通じて外部に公開されることはなく、VPNも必要ありません。 代わりに、安全なアウトバウンド専用の接続を通じてアクセスが仲介されるため、攻撃対象領域が大幅に削減されます。

またKeeperDBはジャストインタイム (JIT) アクセスにも対応しており、組織は必要な場合のみ、時間制限付きのデータベースアクセス権を付与することができます。 アクセス権は、Slack、Jira、ServiceNow、Microsoft Teamsなどの統合機能を通じて、リクエストを開始し、承認できます。 アクセス権は使用後に自動的に取り消され、スタンディング特権は排除されます。 ゼロトラストセキュリティとJITアクセスを組み合わせることで、KeeperDBは不正アクセスの可能性を軽減しながら、運用効率を維持します。

3. Keeperボルトから安全なセッションを直接起動

チームでKeeperPAMを使用している場合、ユーザーは、KeeperDBによって直接Keeperボルトから安全なデータベースセッションを開始できるようになるため、VPNや手動での設定が不要になります。 セッションはKeeperのRBI環境内で実行され、すべてのアクティビティは、完全に隔離されたセッション内でユーザーのブラウザにストリーミングされます。 認証情報はエンドポイントに到達せず、ローカルに保存されることもないため、この分離レイヤーによってゼロトラストセキュリティが強化され、ユーザーエクスペリエンスが向上します。

KeeperDBのワークフローでは、ユーザーはボルト内のデータベースレコードを選択し、KeeperDBを起動して、埋め込みインターフェースを通じて即座に接続できます。 認証情報をコピー＆ペーストしたり、接続ファイルを設定したり、別のツールを管理したりする必要はありません。 ローカルに保存されたシークレットや手動による設定に依存する従来のワークフローとは異なり、KeeperDBではアクセスが一元化され、プロセスにおける手間がなくなります。 このアプローチによって、エンジニアやセキュリティチームの安全なアクセスが簡素化されると同時に、すべてのセッションに対する完全な制御を維持できます。

4. データベースアクティビティをリアルタイムで監視、記録、監査

KeeperDBには、スタンドアロンのデスクトップアプリケーションと組み込み型PAMデプロイメントの両方で動作するリアルタイムのパフォーマンスモニターが備わっています。 このモニターには、アクティブなプロセス一覧、ブロッキングチェーン、ロック分析、ワンクリックでのセッション終了など、運用上の主要なインサイトが表示されます。 データベースの速度が低下した場合、チームは長時間実行中のクエリやブロックされているクエリをすばやく特定し、セッションを終了してパフォーマンスを回復させることができます。

KeeperPAM内でKeeperDBをデプロイすると、すべての特権セッションが記録され、あらゆるSQLアクティビティがログに残されるため、従来型のクライアントの多くでは実現できなかったガバナンスがさらに強化されます。 クエリレベルのログ記録により、すべてのコマンドがタイムスタンプ、セッションコンテキスト、実行ステータスとともに追跡可能になります。 これらの操作は、詳細な監査証跡に統合され、データベースアクセスの完全なレコードが得られます。 このレベルでの可視性を達成することでセキュリティとコンプライアンスの両方が強化され、SOC 2、HIPAA、ISO 27001などの規制フレームワークに対応した明確なレコードが維持できます。 KeeperDBによってリアルタイムの監視と包括的な監査の両方が実現されるため、データベースのあらゆる操作が可視化され、説明責任が確保されます。

5. KeeperAI^®を活用してデータベースの操作を安全に自動化

KeeperDBにはKeeperAIが統合されているため、きめ細かなアクセス制御を維持しながら、データベースのワークフローの効率化が可能になります。 ユーザーは自然言語を使用してデータベースを操作でき、SQLクエリの作成とトラブルシューティングにかかる時間を短縮できます。 KeeperAIは、以下のような複数の制御モードで動作します。

• 自然言語によるクエリ: 完全なスキーマコンテキストを使用してSQLの生成と説明を行います
• 読み取り専用の自動化: ユーザーの介入なしにクエリを実行し結果を分析します
• 承認ベースの書き込み: 破壊的な操作を防ぐため、DMLまたはDDLの変更に対して実行前に明確な承認を要求します

KeeperPAM内でKeeperDBが使用されると、KeeperAIによってセッションのアクティビティが継続的に分析され、異常やデータの不正持ち出しの試みが検知されるとともに、セッションを自動的に終了させる機能が提供されます。 これにより、チームはデータベースの変更を完全に制御し、データの整合性を維持しながら、トラブルシューティングとレポート作成を迅速に行うことが可能になります。

6. トンネルとKeeperDBプロキシを使用した安全な接続

従来のデータベースアクセスは、多くの場合VPNや踏み台サーバーに依存していますが、KeeperDBはこれらを、Keeperゲートウェイを介した安全かつアウトバウンド専用の接続を提供するゼロトラストトンネルに置き換えます。 トンネルにより、ユーザーからは、リモートデータベースがローカルにあるかのように見えるようになります。インバウンドのファイアウォールルールを開放したり、データベースを直接公開したりするのではなく、トラフィックは暗号化されたままKeeperのゼロトラストアーキテクチャを経由してルーティングされます。

KeeperDBプロキシは、このモデルをデスクトップワークフロー向けに拡張したものです。 PAMデータベースレコードでプロキシが有効になっている場合、プロキシが仲介者の役割を果たし、ユーザーに代わって認証を処理します。 KeeperDBプロキシは、Keeperゲートウェイを介してボルトから認証情報を安全に取得し、データベースプロトコルのハンドシェイクに直接挿入することで、ユーザーが認証情報を見たり扱ったりすることがないようにします。 トンネルとKeeperDBプロキシを併用することで、インフラストラクチャのオーバーヘッドを解消し、リモートまたは内部データベースへの不正アクセスのリスクを最小限に抑えることができます。

7. 認証情報管理の一元化とローテーション

手動による認証情報管理は、データベース環境において大きなリスクをもたらします。特に、チーム間でパスワードが共有されたり、再利用されたり、一貫性のない方法でローテーションされたりする場合、そのリスクはさらに高くなります。 KeeperDBは、Keeperのゼロトラスト、ゼロ知識アーキテクチャ内で認証情報を一元的に管理することで、この課題に対処します。 すべてのデータベース認証情報はKeeperボルトに安全に保存され、ユーザーに開示されることはありません。

KeeperPAMを活用することで、組織はワークフローを妨げることなく、認証情報を定期的に更新する自動ローテーションポリシーを適用できます。 パスワードがローテーションされると、認可されたユーザーは、Keeperボルトを通じて更新された認証情報に自動的にアクセスできるようになります。 このアプローチにより、エンドポイント、スクリプト、共有ドキュメントからパスワードが排除されるため、認証情報の拡散が大幅に削減されます。 またKeeperDBは、ボルトへのアクセスを取り消し、認証情報がライフサイクル全体を通じて確実に保護されるようにすることで、オフボーディング処理を簡素化します。

KeeperDBでデータベースアクセスを最新化

DBeaverやMySQL Workbenchといった従来型のデータベースツールは、機能性を重視して開発されており、大規模な環境におけるセキュリティを考慮して設計されたものではありません。 そのため、ローカルに保存された認証情報に依存し、セッション録画機能も備えておらず、コンプライアンスフレームワークでは許容されない監査上の盲点を生み出します。KeeperDBは、こうしたツールとは異なる方法で設計されています。 KeeperDBは、スタンドアロンのデスクトップアプリとして、生体認証、ボルトベースの認証情報取得、最新のAI搭載インターフェースを提供し、時代遅れのツールの強力な代替品となっています。 組織の準備が整い次第、KeeperDBをKeeperPAMに拡張することで、ゼロトラスト型の特権アクセス、セッション録画、ジャストインタイム (JIT) プロビジョニングを実現し、データベースのセキュリティを組織の成長に合わせて強化することができます。

KeeperDBをダウンロードして、チームのデータベース処理を最新化しましょう。KeeperPAMの無料トライアルで、安全なデータベースアクセスを実現する方法をぜひご体験ください。

多くの組織は依然としてシャドーAIをデータ漏洩の問題として捉えていますが、実際にはIDガバナンスの問題になりつつあります。 許可されていないAI統合により、従来のアクセス制御を超えて動作する新しいアカウント、認証情報、IDが目立たない形で作成されることとなります。 組織は、可視性を取り戻し、ガバナンスを実施し、全体的なセキュリティリスクを軽減するために、システムに接続されているすべての人間および非人間ID (NHI) にID優先のセキュリティ管理を拡大する必要があります。

シャドーAIが実際に生み出すもの

現代のAIツールはほとんど、あるいは全く設定を必要としないため、シャドーAIは急速に規模を拡大します。 従業員は、IT部門の介入なしにアプリケーションを接続したり、ワークフローを自動化したり、データをほぼ瞬時に処理したりすることが可能となります。 ツール自体が問題になることはほとんどありません。 リスクは、従業員がツールをどのように関連付けるかに起因します。 AIプラットフォームがSaaSプラットフォーム、クラウド環境、内部データベースにアクセスできるようになると、ほとんどのセキュリティチームがその存在に気づかないまま、管理すべきフレームワークもない認証情報やIDが導入されることとなります。

承認されていないAI連携が導入されるたびに、誰にも監査されていない新たなアイデンティティや認証情報が生み出されます。 増え続けるアカウント、アクセスポイント、およびシークレットの一覧に加わることとなり、IT部門によるプロビジョニングもなく、取り消すこともできません。 従業員がAIツールのアカウントを作成すると、独自のアクセス範囲、データ権限、セッション履歴を持つ識別情報が作成されます。 こうしたデータは急速に数を増やします。 IT部門は、外部プラットフォームに分散した未管理IDという、目に見えないクラスターを抱えることとなります。アクセスが許可されている範囲の可視性も、使用状況を監査する方法もなく、従業員が退職した際のデプロビジョニングプロセスも存在しません。

従業員がさらに進んでAIツールを内部システムに接続すると、組織環境にサービスアカウントが導入されることとなります。 これらのNHIは通常、ライフサイクル管理、認証情報のローテーション、およびアクセスガバナンスの対象外で運用されます。 統合はAPIキー、トークン、シークレットなどの認証情報を生成しますが、こうしたデータはしばしばセキュリティ境界の外にあるブラウザ拡張機能や設定ファイルに保存されてしまいます。 これらの認証情報が更新・監査されることはほとんどありません。

生じるIDガバナンスの問題

従来のIDセキュリティは、人間のユーザー、IT部門がプロビジョニングしたアクセス、および定義されたネットワーク境界向けに構築されていました。 シャドーAIは、これら3つの想定事項をすべて同時に覆します。

多くの企業環境では、NHIはすでに人間のIDを数で上回っています。 AIエージェントが本番データベースにアクセスできることは、同等の権限を持つ人間の管理者と同じレベルの特権アクセスリスクを意味します。しかし、多くの場合、同様の厳密な精査なしでプロビジョニングされており、同水準の一貫した監視は行われず、同じ手順でプロビジョニング解除されることもありません。

当社独自の調査でも、このことが裏付けられています。 Keeper Securityのレポート『マシンスピード時代におけるアイデンティティセキュリティ』によると、世界中のサイバーセキュリティの意思決定者の43％が、AI関連のNHI管理を、自社のIDガバナンスプログラムにおける最大の課題として挙げています。 このギャップを認識している組織は、依然として未認識の組織よりも優位に立っています。

組織が異なる方法で取り組むべきこと

シャドーAIに対しては、ポリシーの厳格化や禁止事項の拡大とは異なる対応が必要となります。 AIツールが作成するすべてのID (人間とマシンの両方) に対応するID優先のセキュリティ制御を拡張し、ガバナンスを定期的ではなく継続的なものにすることで対応が可能となります。

AIの利用状況を完全に把握

見えないものを管理することは不可能です。環境全体で稼働しているすべての認可済みおよび未認可のAIツール、エージェント、自動化、統合を継続的に把握する必要があります。 ネットワークを監視することで、組織はアプリケーションの使用状況を追跡し、未承認のAIツールを制限するための制御機構を発展させながら、ITを通じてプロビジョニングされなかった未承認AIツール作成のNHIをすべて特定できます。 特定にとどまらず、組織はAIを活用したワークフローを完全に可視化し、定期的な事後レビューではなく継続的な監査を行うために、リアルタイムの特権セッション監視および記録を実装する必要があります。

人間とマシンの両方にIDセキュリティを適用

すべてのNHIは、人間のIDと同じ認証、認可、およびライフサイクル管理の対象となるべきであり、最小権限アクセス、自動化された認証情報のローテーション、および関連する人間の所有者またはワークロードのライフサイクルに結び付けられた定義されたデプロビジョニングが必要です。 特権のある人間のアカウントに適用されるのと同じ制御を、それらと共に動作するAIエージェントとサービスアカウントに適用する必要があります。

従業員に実現可能な道筋を示す

シャドーAIに関与する従業員は、セキュリティを回避しようとしているのではなく、管理された代替手段が存在することを知らないためにそうしていることが多いです。 どのツールが、どのようなユースケースで、どのような条件下で承認されているかについての明確なガイダンスと、アクセス可能で承認された代替手段を組み合わせることで、症状ではなく根本原因に対処することができます。

シャドーAIを管理するためにIDセキュリティを強化

従来のセキュリティモデルは、人間のユーザー、IT部門がプロビジョニングしたアクセス、および定義されたネットワーク境界向けに構築されていました。 シャドーAIは、従業員が承認されていないAIツールをインフラに接続するたびに、クラウドやSaaS環境全体に未管理マシンID、認証情報、および連携機能を導入することで、こうした前提を覆します。 シャドーAIを単なるデータ漏洩問題と捉える組織は、その根底にある危険性、すなわち制御不能なIDの拡大を見落とすことになります。 影のAIをより効果的に管理するために、組織はAIを活用したアクセスへの完全な可視性、人間とマシンの両方のIDに対するガバナンス、および認証情報と特権アクセスの自動化された制御を備える必要があります。 組織がAIを活用した環境向けにIDセキュリティ戦略をどのように適応させているかを学ぶには、最新レポートをご覧ください。

この現状を受け、企業は今すぐに準備体制を整える必要性に迫られています。 紛争地域との近さに関係なく、あらゆる組織が標的にされており、政府機関だけが危険にさらされているという思い込みは、ますます危険なものとなっています。 サイバー攻撃対象領域が拡大し、戦術は進化し続けており、企業のセキュリティ態勢もそれに合わせて進化する必要があります。

サイバー戦争が企業に及ぼす影響

現代のサイバー戦争を推進する戦術は、もはや国家政府機関だけを標的とするものではありません。 国家主体は、サプライチェーンへのアクセス、機密データの持ち出し、相互接続されたインフラ全体への付随的被害の引き起こしなど、より広範な混乱への足がかりとして、企業を標的にするケースが増えています。 同時に、犯罪者による脅威は独立して拡大を続けています。 AIによる自動化により、高度な攻撃の実行コストが低下し、実行速度も向上しました。また、RaaS (Ransomware-as-a-Service) プラットフォームの登場により、かつては多大なリソースを必要としていた攻撃手法が、誰でも手軽に利用できる事態となっています。 AI生成のフィッシングキャンペーンや自律型攻撃ツールは、例外ではなく標準的なものとなっています。 企業は両方の脅威に同時に直面しており、それらに対処するために必要な防御策は大きく重複しています。

サプライチェーンの存在は、特にリスクを高める要因となっています。 たった一つの情報漏洩により、関連するすべての企業が影響を受ける可能性があり、自社が標的になるとは想定していなかったという場合が多いです。 こうした前提事項こそが、攻撃者が付け入る隙となります。 企業は傍観者ではなく、大規模な攻撃が成功する経路として悪用されることが多いです。 企業ネットワークへのアクセスは、顧客、パートナー、機密データ、および財務システムへのアクセスを意味します。 複雑なサプライチェーンに組み込まれた組織は、攻撃ベクトルとして利用される可能性があります。

個人情報が攻撃対象領域に与える影響を過小評価する企業

大規模なサイバー攻撃の多くでは、個人情報の侵害が主な被害となります。 サイバー攻撃者は、パスワードスプレー攻撃や認証情報の収集などの手法を用いて、医療や金融サービスを含むさまざまな業界の組織に侵入します。 多くの場合、侵入経路は侵害されたIDに遡ることができ、非人間アイデンティティ (NHI) には、サービスアカウントやAIエージェントなどが含まれます。

Keeper Securityの調査レポート『マシンスピード時代におけるアイデンティティセキュリティ』は、前述の傾向を裏付けるものです。従来のツールや管理なきAIの導入が、多くの組織が対処しきれないほどのペースでIDを標的とした攻撃を加速させていることを明らかにしています。 実際、世界中で調査対象となった3,200人のサイバーセキュリティ意思決定者のうち、43％がAI関連のNHI管理をアイデンティティガバナンスにおける最大の課題として挙げています。 サービスアカウントの古い権限、コードリポジトリに埋め込まれたAPIキー、確立されたガバナンスプロセスの外でプロビジョニングされたAIエージェントはすべて、サイバー攻撃者が悪用するギャップであり、ほとんどの組織は自社の環境にこれらのギャップがいくつ存在するかを明確に把握していません。

環境向けに設計されていないレガシーPAM

ほとんどの企業は、オンプレミス環境や人手による管理者、設定されたネットワーク境界を前提とした従来型のアーキテクチャを用いて、特権アクセスを管理しています。 このモデルは、もはや現代の企業の実際の運営方法を反映していません。 組織は現在、クラウドネイティブ環境、分散化した働き方、サードパーティとの連携、AI主導のワークフローに対応する必要があります。こうした変化により、従来の特権アクセス管理 (PAM) ソリューションが前提としていた境界はすでに失われています。 しかし、AIエージェントやサービスアカウント、その他のマシンアイデンティティは、こうした管理の対象から漏れがちです。

ギャップは技術的なものだけでなく、構造的なものでもあります。 過去3年間にPAMアーキテクチャを見直していない組織は、実際の特権アクセスフットプリントのほんの一部しか管理できていない可能性があります。

企業がセキュリティを維持するために何を変える必要があるか

ほとんどの企業にとって、現在のセキュリティ態勢と脅威環境とのギャップは、見た目よりも大きいです。 そのギャップを埋めるには、ゼロトラストセキュリティ、PAM、最小権限アクセスにより一層注力する必要があります。

ゼロトラストセキュリティの採用

ゼロトラストセキュリティは、ネットワーク境界の内側か外側かを問わず、いかなるユーザー、デバイス、システムも暗黙的に信頼しないという原則に基づいています。 アクセスは、本人確認、状況確認、リスク評価を継続的に行うことで許可され、検証に失敗した場合は直ちに取り消されます。 企業が正当な認証情報を使用して環境内を横断する攻撃者に直面している場合、ゼロトラストは、すべての認証判断を継続的に検証することで、より強力なセキュリティモデルを提供します。

PAM を NHI に拡張

人間のユーザーを対象とするPAMは、すべての特権アクセスを管理するわけではなく、その一部のみを管理します。 AIトレーニングデータ、デプロイメント環境、重要な生産システムへの管理者およびマシンレベルのアクセスは、権限のある人間のアカウントと同じレベルの制御で管理する必要があります。 実際には、前述の管理制御はすべてのサービスアカウントとAIエージェントに固有の検証可能なIDを持ち、アクセス境界を強制し、ゼロスタンディング特権を適用することを意味します。

最小権限アクセスの徹底

過剰許可は、定期的なアクセスレビューを通じて遡及的に対処されることが多いです。その代わりに、最小権限アクセスを初期段階から開発およびデプロイメントのパイプラインに直接組み込むことが必要となっています。そうすることで、人間およびマシンのIDには、特定のタスクに必要なアクセス権のみが割り当てられ、それ以上の権限は一切与えられないようになります。 プロビジョニングの時点での不正アクセスを防ぐことは、事後にサプライチェーンの侵害を封じ込めようとするよりもはるかに効果的です。

すべての活動を監視・監査

サイバー攻撃者が、侵害されたが正当な認証情報を使用して環境内で活動できる場合、完全な可視性を確保することは選択肢ではなく必須事項となります。 すべての特権セッションおよび自動化されたワークフローにおいて、人間および非人間ID (NHI) の活動を継続的に監視・記録し、ログに残す必要があります。 インシデントがエスカレートしてより広範な被害を引き起こす前に、特権の不正使用、データ漏洩、不審な行動を検出することが目標となります。

サプライヤー保証を要求

企業のセキュリティ態勢は、サプライチェーンの最も脆弱な部分と同程度にしか強固ではありません。 データ、ソフトウェア、または連携を通じて社内インフラストラクチャにアクセスできるベンダーはすべて、攻撃者の侵入経路となり得ます。 自己申告だけでは不十分です。 サプライヤーは、独立した評価および検証可能な管理を通じて、法令遵守を示すことが求められます。

サイバー戦争による巻き添え被害に備える

企業がサイバー戦争に巻き込まれるのは今に始まったことではありません。 以前と異なるのは、サイバー攻撃の背後にある自動化のレベルと、攻撃の実行規模の大きさです。 企業が見過ごされると考える現実的な理由はありません。 組織は、現在のセキュリティ戦略が現代のサイバー攻撃の脅威に耐えられるかどうかを評価する必要があります。 組織でクラウドネイティブ環境や大規模なNHI向けに設計されていないツールをまだ使用している場合、IDアクセスおよびサプライチェーンのセキュリティにおけるガバナンスのギャップは、見た目よりも大きい可能性があります。KeeperPAMは、そのギャップを埋めるために構築されています。

ナショナル・テクノロジー・ニュース (National Technology News) が主催するナショナル・テクノロジー・アワードは、英国のテクノロジー分野全体において、卓越性、革新性、変革を推進する組織やテクノロジーリーダーを表彰するものです。

この賞は、ゼロトラストとゼロ知識アーキテクチャに基づいて設計された統合プラットフォームを通じて、組織のサイバーセキュリティ強化を支援するKeeperの取り組みが評価されたものです。

審査員のコメント

審査員は、Keeper Securityを次のように評価しました。

複雑な業界における課題に、効果的かつ影響力をもって対処するために設計された、極めて革新的なツールセット。

ますます複雑になるサイバーセキュリティの脅威に組織が直面する中、エンタープライズ対応の統合セキュリティプラットフォームに対するニーズはかつてないほど高まっています。 認証情報ベースの攻撃や特権アクセスのリスクから、コンプライアンスに関する圧力やハイブリッドな職場環境まで、ITおよびセキュリティチームは、ビジネスの速度を緩めることなく重要なシステムを保護するという課題に直面しています。

Keeper Securityは、アイデンティティおよびアクセスセキュリティを簡素化すると同時に、チームに高い可視性と制御性を提供するプラットフォームを通じて、こうした課題の解決に貢献しています。そうした取り組みが評価され、今回の受賞につながりました。

現代の組織のための革新的なツールセット

Keeper Securityは、企業全体におけるアクセス管理と保護のための統合ツールを提供しています。これには以下のものが含まれます。

• 企業向けパスワード管理
• 特権アクセス管理
• シークレット管理
• エンドポイント特権管理
• AIによる脅威検知と対応

世界中の組織から高い信頼を得ているKeeper Securityは、サイバーリスクを軽減しながら、高い生産性と日々の業務効率の向上をサポートします。

拡張性と使いやすさを重視して設計されたこのプラットフォームにより、組織は、エンドユーザーやITチームに不必要な負担をかけることなく、最小権限アクセスを適用し、重要なインフラを保護し、アイデンティティセキュリティを管理することができます。

ナショナル・テクノロジー・アワードでの受賞は、現代のサイバー攻撃の脅威から組織を保護するための革新的なサイバーセキュリティソリューションを提供するという、Keeper Securityの継続的な取り組みが評価されたものです。

今すぐデモを予約して、サイバーリスクを軽減し、企業全体でアクセスを保護するのにKeeper Securityがどのように役立つかをご体験ください。

ただし、MSSPへの外注には独自のリスクが伴います。複数の顧客環境にまたがる重要システムへの管理者アクセスを集中的に管理するためです。 つまり、1か所で侵害が発生しただけでも、複数の組織に被害が同時に広がっていく恐れがあります。 そのため、MSSPを利用する場合は、セキュリティ強化が必須命題となります。

以下では、MSSPに関する詳しい情報、サポート手段、Keeper^®が環境保護に役立つ方法についてご紹介します。

MSSPが提供するサイバーセキュリティ機能

MSSPは顧客のIT環境を保護するために、ネットワーク監視からアクセス制御まで、 多様なセキュリティサービスを提供しており、リスク軽減、脅威の早期検知、システム全体でのコンプライアンス確保に役立ちます。

ネットワークセキュリティの監視

MSSPはネットワークトラフィックを継続的に監視して、異常なパターンや脅威の兆候を特定します。 各種環境とシステムで観察される行動・挙動を分析することで、不正アクセスの試みやデータ漏洩などの不審な活動を検知して、侵害の悪化を食い止めます。 こうした早めの対応は、複数の顧客環境を同時に保護するうえで不可欠なものです。

IDおよびアクセス管理 (IAM)

MSSPが提供するサービスの1つに、データとシステムへのアクセス権限管理があります。 例えば、ユーザーIDの管理、権限付与、環境全体でアクセスポリシーの一貫適用が挙げられます。 IDおよびアクセス管理 (IAM) 手順の有効性が高い場合、不正アクセスリスクの軽減、認証情報の濫用の制限、最小権限の原則の確実な適用が促進されます。

エンドポイント管理

ノートPCやサーバーなどのエンドポイントの保護もMSSPのサービスの一環であり、脅威の監視や脆弱性の特定に加え、組織が強力なセキュリティ構成を維持する支援をします。 脆弱性とパッチ管理サービスを提供する業者もいます。

脅威検知とインシデント対応

MSSPは脅威の早期発見に取り組むことで、損害の広がりに歯止めをかける役割を担います。 例えば、アラート監視、異常行動の調査、セキュリティインシデントへの初期対応といった活動を遂行します。 早期検知は極めて重要ですが、脅威の影響を完全に修復するには、MSSPと顧客、および深刻なケースではインシデント対応専門チームとの相互協調が不可欠です。

コンプライアンスとレポート機能

多くの組織は規制要件を満たす義務を負います。SOC 2、HIPAA, PCI DSS、CMMC (訳注: PCI DSSは国際、それ以外は米国の規制) はその代表的なものです。 MSSPはこの分野において、詳細な監査証跡の維持、レポート生成、セキュリティ統制手段の検証といったサービス・機能を提供します。 ただし、コンプライアンスを確保する責任はあくまでも顧客にあり、MSSPは可視性、レポート作成、文書化機能を通じて手順を簡素化することで顧客を支援します。

MSSP向けの顧客環境の保護策

MSSPが顧客の環境を効果的に保護するには、認証情報の管理と特権アクセスに関して厳格なセキュリティ対策を講じる必要があります。 特にさまざまなシステムで特権アクセスを持つことが多いため、セキュリティ上のわずかな欠陥でも破滅的な被害に発展する危険性があります。 そこで、顧客のリスク軽減策としてMSSPにお勧めの方法を以下に紹介します。

MSSP向けサイバーセキュリティ上位ツール

MSSPは、顧客のID、認証情報、インフラを保護するために複数のサイバーセキュリティツールを利用しています。 次のようなツールを組み合わせることで、すべての管理環境にわたって、リスクの軽減、アクセス制御、環境可視化を図っています。

パスワード管理ツール

パスワードマネージャーを利用すると、チームやクライアントは認証情報を安全に保管・共有し合うことができます。 その手段として、スプレッドシートのような安全でない方法はMSSPにはお勧めしません。代わりに、ボルトで一元的に管理すれば、安全であるうえ、必要なときにアクセスできます。 強力なパスワード管理ツールは、パスワードの使い回しを防止し、認証情報を悪用した攻撃リスクを大幅に減らします。

特権アクセス管理 (PAM) ツール

特権アクセス管理 (PAM) ツールには、重要なシステムや機密データへのアクセスを制御、監視する目的があります。 ジャストインタイム (JIT) アクセスを有効にすれば、必要なときにのみ昇格された権限を付与し、不要になったらアクセス権を取り消すことができます。 PAMツールはセッションの監視と記録機能も備えており、特権を使った活動を完全に可視化できます。

シークレット管理ツール

シークレット管理ツールには、APIキーやサービスアカウント、他の非人間アイデンティティ (NHI) などの機密データを保護する目的があります。 シークレットが一か所にまとめて保護されるため、シークレットの散逸を防ぎ、スクリプト、コード、インフラ内で露見するリスクを軽減できます。そのため、DevOps環境で特に重要なツールとなります。

エンドポイント特権管理ツール

このツールは、デバイスのローカル環境で管理者権限を管理する役割を果たします。 エンドポイント単位で最小権限アクセスが適用されるため、より効率的に不正な特権昇格を防止し、攻撃対象領域を削減でき、運用上の必要性に厳密に基づいたユーザーとアプリケーションへの権限割り当てが徹底されます。

MSSPにKeeper^®がお勧めの理由

Keeperの統合IDセキュリティプラットフォームには、MSSPが顧客の環境を保護するために必要な、上記の基本ツールが揃っています。 パスワード管理、特権セッション管理、シークレット管理、エンドポイント管理の全ツールが一か所で使えるため、MSSPが管理下にあるすべてのクライアント環境で、セキュリティを簡素化および強化するのに役立ちます。 MSSPにとってKeeperが特に有用な点を以下に挙げます。

KeeperMSPで顧客環境を保護

MSSPは、組織が現代のサイバー脅威から自衛するうえで、重要な役割を果たします。 複雑なインフラ管理とシステム監視、環境全体でのアクセス制御の代行サービスを提供することで、組織が人員負担を軽減しつつ、安全を確保できるようにします。

ただし、MSSPがこうした役割を果たすには、それ自体が強力なアクセス制御、安全な認証情報管理、ユーザー活動の完全な可視化能力を持つことが不可欠です。 Keeperの統合IDセキュリティプラットフォームは、自社のセキュリティ態勢強化を目指すMSSPに最適です。 基本的なサイバーセキュリティツール群が1つに統合されているため、顧客の環境保護とセキュリティリスクの軽減に確信を持って取り組めます。

今すぐKeeperMSPの無料トライアルを開始して、アクセス制御の強化、認証情報の保護、顧客環境の保護に取り組みましょう。