間違いなく、あなたの組織は過去数年間、ゼロ トラスト アーキテクチャを含む業界のベスト プラクティスの導入に熱心に取り組んできました。しかし、それでも、サイバーセキュリティ競争は激化するばかりです。
AI は急速に、脅威アクターによって悪用される強力なツールとなり、防御の最も小さな亀裂に侵入するために使用されます。彼らは AI を使用して、パスワード攻撃やフィッシングの試みを自動化して大規模に開始し、知り合いから送信されたように見える電子メールを作成し、人になりすましたボイスメールやビデオを作成し、通話に参加し、IT サポートを要求し、パスワードをリセットします。さらに、AI を使用して、ネットワークを侵害して通過するときに AI エージェントをその場で書き換えます。
に 来年も先を行くでは、アイデンティティ セキュリティ リーダーに次の 4 つの優先事項を推奨します。
- AI を活用した高速、適応性、容赦ない保護を実装します。
- AI とエージェントを管理、統治、保護します。
- 統合された Access Fabric セキュリティ ソリューションを使用して、ゼロ トラストの原則をあらゆる場所に拡張します。
- ID とアクセス基盤を強化して、セキュリティを開始し、セキュリティを維持します。
1. AI を活用した高速、適応性、容赦ない保護を実装します。
2026 年は、AI エージェントをワークフローに統合して、リスクを軽減し、意思決定を加速し、防御を強化する年です。
セキュリティ システムは多くのシグナルを生成しますが、そのデータを明確な次のステップに変換する作業は依然として手動すぎるため、間違いが発生しやすくなります。調査、ポリシーの調整、および対応アクションでは、複数のツールからの圧倒的な量のコンテキストをつなぎ合わせる必要があり、多くの場合、プレッシャーがかかります。サイバー攻撃者が AI の速度と規模で活動している場合、人間のみのワークフローは防御者の制約になります。
そこで、生成 AI とエージェント AI が登場します。AI エージェントは、インシデントに事後的に対応するのではなく、アイデンティティ チームがアクセスを積極的に設計、改良、管理できるように支援します。どのポリシーを作成する必要がありますか?それらを最新の状態に保つにはどうすればよいですか?エージェントはお客様と協力してポリシーのギャップを特定し、よりスマートで一貫性のある制御を推奨し、ユーザーに負担をかけることなく適用範囲を継続的に改善します。これらのエージェントとは、同僚と話すのと同じ方法で対話できます。これらは、サインイン パターン、既存のポリシー、および ID の状態を分析して、必要なポリシー、それらが重要な理由、およびそれらの改善方法を理解するのに役立ちます。
で 最近の研究、Microsoft Entra の条件付きアクセス最適化エージェントを使用している ID 管理者は、テストされたシナリオ全体で条件付きアクセス タスクを 43% 速く、48% より正確に完了しました。これらの利点は、サイバー攻撃者が悪用できる隙を減らして、アイデンティティ セキュリティ体制を強化することに直接つながります。 Microsoft Entra には、コンテキスト内のユーザー、アプリ、サインイン、リスク、構成を推論するための組み込み AI エージェントも含まれています。これらは、異常の調査、危険な動作の要約、サインインの変更の確認、リスクの修復と調査、アクセス ポリシーの調整に役立ちます。
AI を活用した保護の本当の利点は、速度、規模、適応性です。人間のみによる静的なワークフローでは、常に進化するサイバー攻撃に対応できません。 AI エージェントと連携することで、チームは継続的に態勢を評価し、アクセス制御を強化し、新たなリスクが侵害に至る前に対応できます。
さらに詳しく学べる場所: 始めましょう Microsoft Entra の Microsoft Security Copilot エージェント チームの日常業務や最も重要な複雑なシナリオを支援します。
2. AI とエージェントの管理、統治、保護
もう 1 つの重要な変化は、すべての AI エージェントを一流のアイデンティティにし、それを人間のアイデンティティと同じ厳密さで管理することです。これは、エージェントの一覧表を作成し、明確な所有権を割り当て、エージェントがアクセスできるものを管理し、すべての ID に一貫したセキュリティ標準を適用することを意味します。
かつて未承認の Software as a Service (SaaS) アプリがシャドー IT やデータ漏洩のリスクを引き起こしたのと同じように、組織は現在、エージェントのスプロール化、つまりデータにアクセスし、外部サービスを呼び出し、自律的に動作できる AI システムの爆発的な数に直面しています。従業員がこれらの強力で便利な生産性ツールを最大限に活用できるようにしたいと同時に、新たなリスクから従業員を保護したいと考えています。
幸いなことに、人間の従業員に適用されるのと同じゼロトラスト原則が AI エージェントにも適用されるため、同じツールを使用して両方を管理できるようになりました。また、より高度な制御を追加することもできます。たとえば、エージェントと外部サービスとの対話の監視、インターネット アクセス周りのガードレールの強化、不正な AI または SaaS アプリケーションへの機密データの流入の防止などです。
Microsoft Entra Agent ID を使用すると、使い慣れた Entra エクスペリエンスを使用してエージェントを登録および管理できます。各エージェントは独自の ID を受け取るため、セキュリティ スタック全体の可視性と監査可能性が向上します。エージェントのアイデンティティとライフサイクルを管理するために人間のスポンサーを要求することは、エージェントの孤立を防ぎ、エージェントとチームが進化するにつれて説明責任を維持するのに役立ちます。エージェントのオンボーディングと退職のためのライフサイクル アクションを自動化することもできます。条件付きアクセス ポリシーを使用すると、危険なエージェントをブロックし、最小限の権限でリソースにジャストインタイムでアクセスできるようにガードレールを設定できます。
従業員によるエージェントの使用方法を管理し、悪用を防止するには、Microsoft Entra Suite に含まれる Microsoft Entra Internet Access を利用できます。それは今では 安全なWebおよびAIゲートウェイ これは Microsoft Defender と連携して、未承認のプライベート アプリ、シャドウ IT、生成 AI、SaaS アプリの使用を検出するのに役立ちます。また、ネットワーク フィルタリングを Microsoft Purview 分類ポリシーと統合することで、プロンプト インジェクション攻撃から保護し、データの漏洩を防ぎます。
ネットワークを通過するあらゆるものを監視できるようになると、エージェントが組織のポリシーに沿って安全かつ責任を持って動作することを保証しながら、自信を持って AI を採用できます。
さらに詳しく学べる場所: Microsoft Entra Agent ID と Microsoft Entra Suite を使ってみましょう。
3. 統合された Access Fabric セキュリティ ソリューションにより、ゼロ トラストの原則をあらゆる場所に拡張します
ID システムが認識できる内容とネットワーク上で起こっていることの間には、多くの場合ギャップがあります。そのため、次の推奨事項は、ゼロ トラスト アーキテクチャの ID レイヤーとネットワーク アクセス レイヤーを統合して、統合ポリシー エンジンを通じて信号を共有し、互いの強みを強化できるようにすることです。これにより、すべてのユーザー セッションをより詳細に把握し、より細かく制御できるようになります。
現在、企業組織は、通常、複数のベンダーから提供される、平均 5 つの異なる ID ソリューションと 4 つの異なるネットワーク アクセス ソリューションを使い分けています。1 各ソリューションは、ID 層とネットワーク層全体の可視性を制限する非接続ポリシーを使用して、異なる方法でアクセスを強制します。サイバー攻撃者は AI を武器にしてフィッシング キャンペーンを拡大し、侵入を自動化してこれらのサイロ化されたソリューション間の継ぎ目を悪用しており、その結果、さらに多くの侵害が発生しています。2
ID、ネットワーク、エンドポイントからのコンテキストを統合するアクセス セキュリティ プラットフォームは、あらゆるデジタル インタラクションを囲み、組織リソースの安全性を維持するのに役立つ動的なセーフティ ネット (アクセス ファブリック) を作成します。 Access Fabric ソリューションは、クラウド、オンプレミス、エッジなど、どこで作業が行われても、すべての接続、セッション、リソースを一貫したインテリジェントなアクセス セキュリティで包みます。 ID、ネットワーク、デバイス、エージェント、その他のセキュリティ ツールからのコンテキストを考慮して推論するため、ID のみのシステムよりもアクセス リスクを正確に判断します。認証層とネットワーク層にわたる信頼性を継続的に再評価するため、最初のサインイン以降もリアルタイムでリスクベースのアクセス決定を強制できます。
Microsoft Entra は、統一されたゼロ トラスト ポリシー エンジンである Microsoft Entra 条件付きアクセスの下で ID とネットワーク アクセス制御を統合することにより、AI および SaaS アプリ、インターネット トラフィック、プライベート リソース全体にわたる統合されたアクセス セキュリティを提供します。ユーザーとネットワークのリスクレベルを継続的に監視します。これらのリスク レベルのいずれかが変化すると、リアルタイムで適応するポリシーが適用されるため、ユーザー、アプリ、さらには AI エージェントのアクセスを、損害が発生する前にブロックできます。
セキュリティ チームは、中央の 1 か所でポリシーを設定し、Entra を信頼してどこにでもポリシーを適用できます。同じ適応制御により、人間のユーザー、デバイス、AI エージェントがどこに移動しても保護され、アクセス セキュリティのギャップを埋めながら、複数のツールにわたる複数のポリシーを管理する負担を軽減します。
4. ID とアクセス基盤を強化して、セキュリティを開始し、セキュリティを維持します
最新のサイバー脅威に対処するには、フィッシング耐性のある資格情報と強力な ID 証明に基づいた安全なベースラインから始める必要があります。これにより、認証と回復の各段階で適切な人だけが環境にアクセスできるようになります。
ベースライン セキュリティ モデルは、ID、アクセス、強化、監視のための最小限のガードレールを設定します。これらのガードレールには、次のような必須のコントロールが含まれています。 セキュリティのデフォルト、 Microsoft が管理する条件付きアクセス ポリシー、 または Microsoft 365 のベースライン セキュリティ モード。このアプローチには、パスワードなどの簡単に侵害される資格情報から移行し、セキュリティと高速で使い慣れたサインイン エクスペリエンスのバランスをとるためのパスキーの採用が含まれます。同様に重要なのは、政府発行の ID と生体認証の一致を組み合わせて、悪意のある者や AI になりすました者がアクセスできないことを保証する、信頼性の高いアカウントの回復とオンボーディングです。
Microsoft Entra を使用すると、これらのベスト プラクティスを簡単に実装できます。環境にアクセスするすべてのアカウントに対してフィッシング耐性のある資格情報を要求し、リスクと規制のニーズに基づいてパスキー ポリシーを調整できます。たとえば、規制の厳しい業界の管理者やユーザーは、物理セキュリティ キーや Microsoft Authenticator などのデバイスにバインドされたパスキーの使用を要求される一方で、他の従業員グループは、よりシンプルなエクスペリエンスと簡単な回復のために同期されたパスキーを使用できます。少なくとも、Microsoft Entra ID に含まれるフィッシング耐性のある資格情報を使用して、すべての管理者アカウントを保護します。新入社員が何かにアクセスする前にパスキーの設定を要求することもできます。 Microsoft Entra Verified ID を使用すると、本人確認を追加し、オンボーディングとアカウント回復の両方で政府発行の ID を検証できます。
アクセス コントロール ポリシーとデバイス コンプライアンス、脅威検出、および ID 保護を組み合わせることで、基盤がさらに強化されます。
Microsoft で ID とネットワーク アクセスの優先順位をサポートします
2026 年の計画は単純です。AI を使用して迅速かつ大規模に保護を自動化し、チームが生産性を向上させるために使用する AI とエージェントを保護し、Access Fabric ソリューションでゼロ トラスト原則を拡張し、アイデンティティ セキュリティ ベースラインを強化します。これらの対策により、組織は妥協することなく迅速に行動するために必要な回復力が得られます。脅威は進化し続けますが、ますます巧妙化するサイバー攻撃に対して有利に展開することができます。
Microsoft セキュリティ ソリューションの詳細については、当社の Web サイトをご覧ください。セキュリティに関するブログをブックマークして、セキュリティ問題に関する専門家の最新情報を入手してください。また、LinkedIn でフォローしてください (マイクロソフトのセキュリティ) と X (@MSFTセキュリティ) サイバーセキュリティに関する最新ニュースと更新情報をご覧ください。
1AI レポート時代における従業員の安全なアクセス、マイクロソフト。
2マイクロソフト デジタル ディフェンス レポート 2025。
#年の #を活用した #とネットワーク #アクセス #セキュリティの #つの優先事項