クラウドとSaaSの浸透によって社内外を隔てる壁は形骸化し、代わってIDがセキュリティの境界の主体となった。生成AIの活用が進むにつれ、企業はAIエージェントなど非人間ID（NHI）を含むID管理に加え、認証後のデータアクセスと自律的な処理の統制が求められるようになった。重要なのは個別製品の導入ではなく、ID、データ、セキュア開発、インシデント対応を1つの運用体系で接続することである。本稿では、生成AI時代に求められるサイバーレジリエンスと社内ガバナンスを考察する。
クラウド／SaaSの普及とリモートワークの定着により、企業システムの構成は近年大きく変化している。社員が場所を問わずクラウドへ直接アクセスし、リソース自体も分散する中で、セキュリティの考え方が、従来のファイアウォールやVPNによる境界防御から、ゼロトラストアーキテクチャへ移行している。この変化を受け、あらゆるアクセスの起点として「誰が、何に対してアクセスしようとしているのか」を判別するIDが、新たな境界線として統制の中心に位置づけられるようになった。正規IDとその認証情報の管理不備は、システムの掌握に直結する致命的なリスクとなる。攻撃者が窃取した認証情報を用いて正規アカウントとして侵入する有効なアカウントの悪用は、正規の認証を経た通常操作と外形上の区別が難しく、システムによる検知が遅れやすい点に脅威の本質があるといえる。したがって、境界防御のように認証を一度のみとするのではなく、アクセスのたびに多要素認証（MFA）、デバイスの状態、場所、時間帯といったコンテキストを組み合わせて検証し続ける継続的な認証・認可と、権限を必要最小限に絞る最小権限の原則の徹底が、重要なセキュリティ要素となる。
クラウドコンソールは、IDが新たな境界線となった実態を象徴する存在である。クラウド／SaaSの普及とリモートアクセスの常態化に伴い、コンソールはインターネットを介して世界中のどこからでもアクセスできる開放性を前提とせざるを得ない。かつて管理者権限を行使するには、物理的なデータセンターへの立ち入りという制約が伴ったが、現在その制約は認証をクリアできるかどうかのみに置き換わっている。したがって、認証情報の管理不備や設定ミスは、インフラ全体を消去しうるほどの被害に直結するリスクを孕む。攻撃者にとって、正規の管理者IDの認証情報の窃取は、あらゆる技術的な侵入手法を迂回できる最短経路にほかならない。
また、認証情報の漏洩は、運用段階に限った話ではない。開発段階のソースコードやビルド環境にも、認証情報とコンポーネントが埋め込まれるケースは少なくない。国内企業でシステムの内製化（外部委託との併用によるハイブリッド型を含む）が進む中、こうした開発段階に起因するソフトウェアサプライチェーンリスクは重要性を増している。開発時に取り込んだOSS（オープンソースソフトウェア）などのサードパーティ・コンポーネントに内在する脆弱性や不正コードが自社システムへ混入し、最終的に利用者にまで影響が及ぶ恐れがある。