セミナー情報情報システム担当者を悩ませる「人間が使わないID」の管理
情報システム部門でID管理というと、従業員のアカウントを思い浮かべる人が多いでしょう。入社時に発行し、人事異動があれば権限を見直し、退職時に削除する、という流れです。
そんな中、「NHI（非人間アイデンティティ）」の管理が注目されています。つまり、人間がアクセスするときに使うものではないIDです。
具体的にどのような使われ方をしているのか、そしてどういう管理が必要なのかについて解説します。
なぜ今、NHIが問題なのか
これまでのIDはシステムへのログインに使われることが一般的でした。IDとパスワードの組み合わせで認証や認可を制御する方法です。最近はパスキーなどを使うことも増えましたが、それでも人間がログイン操作をしています。
ところが、システム構成の変化によって、状況が変わってきています。多くの人が複数のクラウドサービスを使うようになると、SaaS間の連携や自動化の要望が出てきます。これにより、システム同士が直接通信する場面が増えてきたのです。
その通信の1つ1つに認証が必要ですが、ログインに必要なIDやパスワードをそのまま渡すのは問題です。そこで、連携するためにAPIキーやアクセストークン、証明書などが使われるようになっています。これは、人間が使うのではなく、プログラムがシステムにアクセスするときに使うIDだといえます。
このようなIDのことを「NHI（Non-Human Identity）」といいます。日本語では、「非人間アイデンティティ」と呼ばれることが多いものです。
そして、これを人事部や情報システム部門が発行するのではなく、開発者や利用者が必要に応じて次々と発行しています。また、クラウドサービスのシステムから自動的に発行されることもあります。
こうなると、情報システム部門が全体像を把握できないまま、増え続けてしまいます。さらに、多要素認証などは使えず、APIキーのように一度発行されると何年も更新されないまま放置される可能性があるものもあります。
担当者が退職しても、それを誰が管理するのかが明確になっておらず、延々と動き続ける例もあります。つまり、責任者が割り当てられておらず、発行から失効までのライフサイクルが定められていないのです。
さらに、検証用に作られたトークン、ソースコードにハードコード（直接記述）されたシークレットなど、適切な管理とはいえないものがたくさん存在します。これが漏洩すると、攻撃者にとって格好の侵入口だといえるでしょう。
具体的なリスクと対策
これまでのIDやパスワードと同じように、本人が適切に管理できていれば、NHIが存在しても問題ないと考えられるかもしれません。しかし、問題なのは組織としての管理ができていないことです。
たとえば、どこに、何のために、どんな権限を持つNHIが存在するのかを、本人以外が把握できていない状況があります。つまり、組織として保有するNHIを一覧として確認できません。このような状況では、監視も無効化もできません。
このため、まずはどのような業務でNHIを使っているのかを把握し、定期的に棚卸しをすることが必要です。手作業では限界があるため、CIEM（Cloud Infrastructure Entitlement Management）やNHI管理専用のツールを使って、設定や権限を管理する方法も考えられます。
また、開発時に管理者と同様の権限を付与して、そのままになっている例もあります。この場合、そのNHIが盗まれると、攻撃者が管理者権限を得ることになります。このため、最小権限の原則はここでも必要です。
最近では、パスワードを定期的に変更することは避けるべきだという考え方が広まってきましたが、それは不審なログインがあった場合にはすぐに変更することが前提です。
APIキーなどは本来、ローテーションすべきものですが、変更されないまま放置されがちです。そして、ログイン履歴などを確認する習慣もないため、一度漏洩してしまうと、長期間にわたって悪用される恐れがあります。
これに対しては、ソースコードや設定ファイルに直接指定するのではなく、シークレット管理ツールなどを使う方法や、Workload Identity 連携などの仕組みを使い、有効期限の短い一時的な認証情報を使う方法があります。また、シークレットスキャンツールなどを用いて、ハードコードされたことを検出する仕組みもあります。
その他、OWASPが2025年に発表した「OWASP NHI Top 10」のような、NHIに関する資料も参考にするとよいでしょう。
AIエージェントの影響
最近は、単なる対話型のAIを使うのではなく、Claude CodeやCodex、OpenClawをはじめとするAIエージェントを使うことも増えてきました。これが、NHIの管理をさらに難しくしています。
人間が問題なく管理しているつもりでも、AIエージェントが勝手に読み込んで、外部に送信するようなリスクもあります。そして、人が指示していないにも関わらず、勝手にNHIを作成し、設定していることもあります。これにより、人間が発行するIDと比較し、桁違いに量が多く、増加のスピードも速くなっています。
こうなると、管理にかかる時間やコストが現実的に追いつかない状況が発生します。とはいえ、完璧を目指してすべてを止めるのは、AIを活用することがトレンドとなっている世の中から取り残される可能性もあります。
まずは自組織にどれだけのNHIが存在するかを可視化し、運用を考えることから始めてください。そして、ルールの策定や従業員への通知、継続的な見直しを含めて、着実に進めることが求められています。
増井 敏克氏（ますい としかつ）増井技術士事務所代表。技術士（情報工学部門）、情報処理技術者試験にも多数合格。
ビジネス数学検定1級。
「ビジネス」×「数学」×「IT」を組み合わせ、コンピューターを「正しく」「効率よく」使うためのスキルアップ支援や各種ソフトウェア開発、データ分析などをおこなっている。
著書に『図解まるわかり セキュリティのしくみ』『図解まるわかり プログラミングのしくみ』『図解まるわかり アルゴリズムのしくみ』『IT用語図鑑』『IT用語図鑑［エンジニア編］』『Pythonではじめるアルゴリズム入門』『プログラマ脳を鍛える数学パズル』『プログラマを育てる脳トレパズル』（以上、翔泳社）、『プログラマのためのディープラーニングのしくみがわかる数学入門』『プログラミング言語図鑑』（以上、ソシム）、『基礎からのプログラミングリテラシー』（技術評論社）、『RとPythonで学ぶ統計学入門』（オーム社）などがある。
