IAM
ID とアクセスの管理（Identity and Access Management）。組織の中で「誰が誰か」を管理し、それぞれに適切なアクセスを与え、見直し、取り上げる仕組み全体です。NIST の用語集は、NIST SP 800-175A を出典に、ID 管理（identity management）を「企業や
ネットワークなどのシステムの中で、個々の ID を管理すること」とし、企業の IT では利用者の役割とアクセス権限を定めて管理することだと説明しています。
CISSP ではドメイン5（ID とアクセスの管理）がこの領域を扱います。
IAM がやること
| 段階 |
内容 |
| 登録 |
入社・契約の開始に合わせて ID を作り、本人であることを確かめる |
| 認証 |
ログインのときに本人かを確かめる（認証、多要素認証） |
| 認可 |
役割や属性に応じて権限を与える（RBAC、ABAC） |
| 見直し |
異動や役割の変更に合わせて権限を付け替え、定期的に棚卸しする |
| 廃止 |
退職・契約の終了の日に、ID と権限を確実に取り上げる |
| 記録 |
誰がいつ何をしたかを残す（責任追跡性） |
つまずきやすい点
- 退職者のアカウントが残る：人事の手続きと ID の廃止がつながっていないと起きる
- 権限が積み上がる：異動のたびに権限が足されるだけで、外されない
- 共有アカウント：誰が操作したか追えなくなる
- ''人以外の ID''：サービスのアカウント、API キー、AI のエージェントの権限も、人と同じように棚卸しする
- シングルサインオンは諸刃の剣：ログインが1回で済む代わりに、その ID が乗っ取られると全部に入られる。多要素認証と組み合わせる
関連するページ
出典
確認日：2026年10月14日
最終更新：2026年10月15日 09:54
