【Oktane24】基調講演: The future of Identity security 現地レポート

はじめに

皆様こんにちはこんばんは、Oktaneをこよなく愛するNextmodeのおはらふです

今年のキーノートのテーマは「The future of Identity security」でした
テーマの通り、将来どういった未来を作りたいのか、Oktaのビジョンを感じることができるセッションでした

そんなキーノートの様子をお届けしたいと思います
全てを紹介すると凄い量になるので、新しい概念である “IPSIE” など、重要だと感じたポイントを中心にお届けします

キーワード

Oktane, Oktane24, キーノート, Todd McKinnon, IPSIE

会場の様子

会場は各種キーノートが行われる、メインのセッション会場です
正面でDJが良い感じの音楽を爆音で流してくれています。アメリカ感があってとても好きです

The future of Identity security

まずはOkta CEOのTod McKinnonの登場です
ラスベガスの広い会場に興奮したのか、登場とともに端から端まで全力でステージを走るTodが可愛かったです

まずは業界の現状の話からスタートです

セキュリティ侵害の80％は、何らかの形で侵害されたアイデンティティが関与しています
IDはテクノロジーの基盤であり、セキュリティの鍵となっていると述べています

すなわち、アイデンティティはセキュリティであるとも言えます
“Identity is security”
このワードは、この後やその他のセッションでも繰り返し出てくるキーとなるメッセージでした

そんなキーとなるIdentityですが、Oktaはひと月に30億回以上の攻撃をブロックしているとのことです

IDベースの攻撃の戦いにおいては4つの重点分野を決めています

IDベースの攻撃が無くなるまで、Oktaは進化を止めないと強く宣言していたのが印象的です

IPSIE

今回のキーノートでの一番の目玉は “IPSIE” だったのではないでしょうか
そんなIPSIEはキーノートの前半で登場します

少し話は変わって、Okta社内のインフラで幾つのアプリケーションがあるか？という問いの答えは「1,300以上」とのことです

1,300以上のアプリケーションをインテグレーションするのは、Oktaとしても非常に苦労したとのことです
その難しさ1番の理由として、「各アプリケーションとの連携が標準化されていない」ことが課題であり
標準化を行うことで、Identityに関する様々な課題が解決すると述べています

確かに実務をしていると、SAMLやSCIM等のプロトコルは標準化されているものの、権限の設定などの仕様が各SaaSで違うことはすぐに感じられる課題ではないでしょうか

標準化されていないことにより、左のSSOからセッション終了までの流れと、
右側にあるSaaSやオンプレアプリ、デバイス等のIdentity管理は掛け算となり、複雑な環境が現状生まれていると課題提起しています

このような複雑かつ標準化がされていない環境を、シンプルかつ効率的にするために、Oktaは標準化の方式としてIPSIEを提唱しました
IPSIEは、Interoperability Profile for Secure Identity in the Enterpriseの略です

IPSIEは「素早く完全にエンド to エンドの可視化をする」ことをメッセージとして上げていました
ここでのエンド to エンドは、2つ前のスライドにある以下の5つのことを言っています

• SSO（ログインやそのポリシー）
• Lifecycle Management（オンボ、オフボ等のプロビジョニング）
• Entitlements（権限管理）
• Risk Signal Sharing（製品をまたいだリスク情報の共有）
• Session Termination（脅威を検知したユーザーの強制ログアウト）

Workforce Identity Cloud

従業員向けのソリューションであるWorkforce Identity Cloud (WIC) のキーノートは、CPOのArnab Boseにより行われました
ちなみに Chief Pizza Officerとしても有名？です

近年AIが発達しビジネスの加速にとても役立つ状況が生まれているが、同時にAIが攻撃に使われるケースも増えています
例えばディープ・フェイクによる本人のなりすまし等巧妙な手段で攻撃してきており、去年に比べて180％攻撃が増えたデータもあります
また、攻撃の発見から対応までは290日以上かかっているとのことです

そういった攻撃に対応するため、IPSIEの考えを通じ、事前とログイン時、事後の3つのフェーズで対策を強化していくとのことです

簡単に紹介すると、それぞれのフェーズにおける対処として

事前は、ISPMといったパスワードの強度や不要なアカウント確認等の作業により、事前に脅威を排除するようにします
ログイン時は、パスワードレスによる認証の強化や、強い権限を持つログインにはPAMを使うなどがあります
事後は、ITDRのように継続的に脅威がないかを常にモニタリングし、検知した際にはログアウトさせたりします

Before, During, Afterのそれぞれの細かいアップデートについては、Workforce Identity CloudのキーノートとRoadmapで紹介します

おわりに

今年の目玉は業界の標準化を目指す “IPSIE” でした

去年まではOktaの内部を拡張する、OIGやUniversal Logoutといった具体的な機能がメインでした
今年はOktaを超えて業界そのものの変革を目指す標準化（IPSIE）を中心に、それに合わせた製品アップデートが多いとてもワクワクするようなキーノートでした

IPSIEについてはアップデートがあり次第色々紹介できたらと思います！