従業員アイデンティティ・内部脅威エンジニアリング: 採用した本人がログインしているかを確かめる仕事

身元確認は長らく顧客側の話だった

セキュリティエンジニアリングでアイデンティティといえば、長らく顧客側の話だった。ログイン、ソーシャル認証、アカウント乗っ取り対応。社員アカウントは人事が作り情報システム部門が配る管理業務に近く、エンジニアが設計する対象とは見なされてこなかった。

リモート勤務が前提になってこの区分が崩れた。2026 年 8 月、FBI は米連邦機関でリモート勤務していた IT 人材を北朝鮮籍と見て捜査を開始した(TechCrunch)。米司法省の調査によれば、こうした人材は盗用・合成した身分で書類を通過し、米国内に置いたラップトップファームとプロキシホスト経由で接続して国内在住者のように見せていた(DOJ)。

ここで露呈したのは採用担当者のミスではない。書類選考、ビデオ面接、バックグラウンドチェックはそれぞれ別のものを検証する設計であり、そのどれも「接続中のアカウント」と「実在の人物」を結びつけていない。この結びつけをシステムとして作り、継続的に監視する作業が独立したエンジニアリング課題として現れた。

市場側の信号も同じ方向を指す。アカウントの不正利用を検知・対応する ITDR 分野は 2026 年に 34 億 2,000 万ドル規模と推定され、2031 年まで年平均 25.17% の成長が見込まれる(Mordor Intelligence)。同資料ではアジア太平洋が最も伸びる地域とされている。日本では業務委託・副業での参画が広がったことで、正社員向けに設計された権限管理が契約形態の多様化に追いついていない状況が同じ問いを生んでいる。

土台は IAM で、その上に行動分析が乗る

土台は IAM である。SSO と多要素認証、入社・異動・退職に権限が自動追従するアカウントライフサイクル、特権アクセス管理を、概念ではなく実装レベルで扱えること。Okta や Microsoft Entra ID を API から操作した経験が実務の入口になる。

次が検知エンジニアリングだ。不可能な移動経路、トークンの再利用、異常な権限昇格、普段と異なる時間帯の認証といった信号をルールとクエリに落とす作業である。ここで効いてくるのは検知そのものより誤検知の管理だ。正当な出張と認証情報の窃取はログ上で似て見えるため、どの組み合わせのときだけ人を呼ぶかを決める判断が実力差になる。

その上に、SIEM と SOAR を接続してアラートから対応までを自動化する力、Active Directory とクラウド IdP とエンドポイントのログを一つのアイデンティティ軸で相関分析する力が乗る。ログ解析のためのスクリプティング、ゼロトラストと最小権限を実際のアーキテクチャに落とす設計感覚も求められる。

技術以外のスキルを一つ挙げる。この職務は同僚を監視対象として扱うシステムを作る。どこまで見てどこは見ないか、アラートが出たとき誰がどの順で確認するかを人事・法務と決める必要がある。日本では個人情報保護法と労働者のモニタリングに関する論点が同時に絡むため、この調整ができないと良い検知ルールも本番に出ない。

IAM 運用かセキュリティ監視から出発する

初期段階は IAM 運用かセキュリティ監視から始まることが多い。アカウント払い出しの自動化、アクセス権の定期棚卸ツールの構築、IdP ログ収集パイプラインの整備が最初の課題として来る。バックエンドエンジニアからの転向も一般的で、社内認証サービスや権限システムを作った経験がそのまま生きる。

中間段階では検知ルールを自ら設計し、対応手順を自動化する。この区間で差がつくのはインシデント対応の経験だ。実際のアカウント侵害を調査してタイムラインを復元した人と、ルールだけ書いた人ではその後の伸びが違う。関連資格としては CISSP や情報処理安全確保支援士、クラウドベンダーのアイデンティティ関連資格が参考になるが、日本の中途採用では資格より構築・対応の事例をまとめた資料が先に見られる。

リーダー段階は二方向に分かれる。一つは組織全体のアイデンティティアーキテクチャを担う方向で、人事システムから本番環境の権限までを一つの流れとして設計する。もう一つは製品側だ。ITDR が急速に伸びる市場であるため、この問題を経験したエンジニアがセキュリティ製品ベンダーに移り機能を作る経路が開いている。

参入を準備するなら、今いるチームで始められることがある。退職者のアカウントが何日で実際に閉じられるかを数え、業務委託と正社員で権限付与の経路がどう違うかを図にすることだ。この二つを文書にするだけで、この分野の面接で話せる材料ができる。