アイデンティティ管理システムが、今企業の中でどんな位置にいるのかを考えてみました。(とあるコンサルティング・ファームの人とお話をしていて、とっさにホワイト・ボードに書いた図がウケたので、気分を良くしてそれをスライドにしてみました。)



本当にいろいろな切り口があるのですが、大きく分けて4つの方面からの要求があるのではないかと思います。

1. コンプライアンス
   個人情報保護法や、サーベンス・オクスレー (SOX) 法、そして 2008年 3月期には施行されると言われている日本版 SOX (J-SOX) 法。これらの法規制への遵守 (コンプライアンス) のために、「誰がどのシステムにアクセス可能な (アクセスした)のか？」「なぜアクセス可能で、誰が承認したのか？」を監査し続けるアイデンティティ管理システムは、職務の分掌を徹底し顧客情報や財務データの情報漏洩や改竄を防止する、全般統制の重要な基盤となります。
   
   この要求に関する企業内でのビジネス・オーナーは、財務や法務部門になります。
   
   
2. HR連携
   いわゆる「Employee Lifecycle Managment」(従業員のライフサイクル管理)です。ほとんどの企業は人事システムをホストシステムから、オープン系のパッケージ製品 (SAP, Oralce, PeopleSoft など) に移行しています。HR システムの見直しにより、鮮度の高くなった従業員情報を、いかに効率的にかつ自動的に情報系システムへ受け渡してあげるか。ここでアイデンティティ管理システムが必要になります。HR の情報はあくまでも従業員情報であり、そのままでは情報システムの ID としては使い物になりません。アイデンティティ管理システムがその間の架け橋になってあげることで、不足している属性やロールを付加し、"使える" ID を生成してあげるわけです。また人事システムの連携によりリアルタイムのデプロビジョニング (アカウントの削除、権限の剥奪) が全てのシステムで可能になります。
   
   ここでのビジネス・オーナーは、主に人事部門になります。
   
   
3. サービス統合およびサービス連携
   昨今はやりの SOA やビジネス・インテグレーションの世界でも、ID 管理は必須になります。企業内外のサービスやアプリケーションを疎結合する際のセキュリティ基盤となるからです。数年前にもてはやされた Web Services が実導入に至らなかったのも、基盤の基盤としてのアイデンティティ・サービスが未整備でありその重要性が軽視されていたからというのも要因であったと思います。サービス連携における ID 管理の成功例として GM のケースは非常によい例と言えます。約 1,600 の社内アプリケーションを抱える GM では、福利厚生など自社のコア・コアコンピタンスではないアプリケーションについては、全て外出しにしており、外部の ASP によってサービスを受けています。そのサービス数は 400 にも及ぶのですが、フェデレーション (Liberty / SAML) によって、ASP と自社ポータル間のシングル・サインオンを実現しています。さらにその後、認可情報に基づいて SOAP で外部サービスを呼び込み、それらをあたかも自社のサービスであるかのように社内ポータルに統合し、ユーザに提供しています。それによりユーザ体験も格段に向上しています。
   
   この分野でのオーナー、要求者は、当然 IT 部門も絡みますが、根本的にはユーザ部門、業務部門になるのではと思います。
   
   
4. 従来型のニーズ
   最後はなんのこっちゃない、ごく当たり前のニーズなのですが、アイデンティティ管理を導入するうえで一番大きいビジネス・ドライバーとなる従来型ニーズです;
   
   
   • 認証処理の集中化や ID 情報の管理の一元化によるセキュリティの向上
• 自動化やセルフサービス化によるアカウント/パスワードの管理コストの削減
• シングル・サインオンによる生産性の向上

ここらへんのお話はやはり、IT 部門からお話を頂くことが多いですね。

アイデンティティ管理システムの要求はこのうちどれか一つだけから来るわけではなく、これら一つ一つの要求が相互に絡み合ってっていうか政治的にも予算的にもかなり複雑にこんがらがって導入に至るというのがほとんどです。