Okta Japanレポートから見るAIツールの利用動向と管理：「AIエージェント」の存在と権限を整理する視点

解説

近年の業務におけるAIツールの導入が進むにつれ、セキュリティやアクセス管理に関する課題も増えています。特に、人間からの指示を必要とせず複雑なタスクをこなす「AIエージェント」という新しい主体が登場したことで、従来の管理手法では対応しきれない状況になってきています。

企業側は、単一のAIプロバイダーに依存するのではなく、複数のプラットフォームを組み合わせる動きが加速しています。この「適材適所」のアプローチは効率的ですが、利用しているツールが増えるほど、セキュリティガバナンスの管理は複雑化します。

そのため、従来のID管理に加え、「AIエージェント」という新しいデジタル主体に焦点を当てた、統合的なアクセス制御の仕組み（アイデンティティーレイヤー）が必要だと指摘されています。自社環境においても、この新たな課題に対応した見直しが求められます。

ポイント

• Oktaは広範なデータ分析に基づき、企業のAIツール利用の高度化と多角化が進んでいることを報告した。
• AIツールの主流が「チャット型」から「人間からの指示不要のAIエージェント型」へ移行し、導入スピードが加速している。
• 企業は複数のAIプロバイダーを併用する傾向が強まっており、管理者は「アイデンティティーレイヤー」による統合的な統制が必要とされている。

情シスへの影響

【ID・アクセス管理の高度化】

従来のユーザーアカウントだけでなく、「AIエージェント」という新たな主体をデジタルワーカーとして扱い、その存在（どこにいるか）、接続できるリソース（何に接続できるか）、実行可能な権限（何ができるか）を把握し、制御する仕組みが必要となります。

【マルチベンダー・分散管理の複雑化】

企業が複数のAIプラットフォームやプロバイダーを並行して利用するため、単一のID管理基盤では対応しきれなくなり、より広範囲にわたるアイデンティティー管理（IdM）レイヤーの構築・強化が求められます。

【セキュリティガバナンス要件】

AIツールを利用した業務における情報漏洩リスクや権限逸脱のリスクが高まります。特にエージェントは人間による意図的な操作と見なされにくいため、アクセスログの監視やプロンプトレベルでの利用規約策定など、高度なセキュリティ統制が必要となります。

影響範囲

全社的なアプリケーション連携（SaaS/クラウド）

対象：全てのAIツール（Anthropic, OpenAI, Google Workspaceなどを含む）、およびこれらを活用する業務プロセス。

影響範囲：ID管理システム（OktaなどのIdMソリューション）、アクセス制御ポリシー、セキュリティ監視体制。

確認事項：「アイデンティティーレイヤー」が適用される領域の特定と、エージェントアカウント、サービスアカウントに対する最小権限原則の再定義。

重要度

★★★★☆

対象者

• M365管理者
• Entra管理者
• セキュリティ担当者
• ネットワーク管理者
• ヘルプデスク担当

優先度

早めに対応

優先度の理由

AIエージェント型ツールの利用が加速しており、これが単なるトレンドではなく、すでに具体的な運用課題（どこにいるか、何ができるか）を生み出している段階です。対応を先延ばしにするとセキュリティリスク管理において大きな盲点となり得るため、「早めに対応」で統制の検討を開始すべきです。

確認手順

• 現在のID管理基盤が、エージェントやサービスアカウントなど非人主体のアカウント増加に伴い対応できるキャパシティと機能を評価する。
• 利用中のAIツールについて、アクセス権限を付与されているプロセス（例: API連携、サービスアカウント）の一覧を作成し、必要最小限の原則に基づきレビューを実施する。
• クラウドプラットフォーム上のログ監視体制を見直し、ユーザーによる操作だけでなく、「エージェント」によるアクションやAPIコールパターンを検知・監査できるか確認する。
• 複数のAIツールを利用している業務フローについて棚卸しを行い、それぞれのツールの利用目的と権限付与の根拠を文書化する。