ISPMとは？ITDRとの違いとID姿勢管理の仕組み・導入判断を実装者向けに解説【2026年時点】

ISPM（Identity Security Posture Management）は、休眠アカウントや過剰な権限、設定ミスといった「攻撃される前のアイデンティティの弱点」を継続的に洗い出して直していく予防の仕組みです。侵害をリアルタイムに検知するITDRとは守備範囲が異なり、権限や設定の状態＝姿勢を静的に評価する側に立ちます。この記事では、ISPMが集めるデータソースと検出するリスクの類型、ITDR・IAM・CIEM・IGAとの役割分担、そして受託開発で自社システムにID姿勢の可視化を組み込むときの設計指針までを、実装する側の視点で整理します。

まとめ：ISPMはアイデンティティの弱点を静的に洗い出す予防レイヤー

ISPMは、成熟したIAM（ID・アクセス管理）の上に「弱点の可視化と是正」を重ねる層だと捉えると位置づけを掴めます。IAMが認証と認可の入口を設計するのに対し、ISPMはその入口が過剰に開いていないか、使われないまま放置された鍵が残っていないかを点検する側です。侵害後の異常を捕まえるITDRが動的な検知なら、ISPMは攻撃される前の静的な棚卸しにあたります。

導入の判断は検索順位やベンダーの宣伝文句ではなく、自組織のIDがどれだけ散らばっているかで決めます。AWSやEntra ID、SaaS各社に人と機械のアカウントが分散し、権限の付与履歴が追えなくなっている組織ほど費用対効果が出やすい構造です。逆に、守るべきIDの母数が小さく既存の棚卸しで足りている段階では、専用製品より先にIAMの整備を優先したほうが投資が生きます。データ侵害の約8割がアイデンティティ絡みとされる現状で、姿勢の可視化は防御の土台になります。

ISPMの定義と保護対象＝アイデンティティ姿勢を可視化する枠組み

ISPMという略語は Identity Security Posture Management の頭文字です。ここでいうposture（姿勢）は、ある瞬間のID設定と権限の状態を指します。動いている攻撃を追うのではなく、静止した設定のスナップショットを評価する点が中身を理解する鍵になります。

ISPMという略語の意味と姿勢管理が評価する静的な対象範囲の定義

ISPMが評価するのは、認証イベントそのものより「認証と認可を成り立たせている設定」です。多要素認証が全アカウントに掛かっているか、退職者の資格情報が残っていないか、管理者権限が必要以上に配られていないか。こうした構成上の弱点を継続的に採点します。ITDRが「侵入されたかどうか」を見るのに対し、ISPMは「侵入されやすい状態になっていないか」を見る、と対象で分ければ位置づけは明快です。評価対象はオンプレミスのActive Directoryから、クラウドのIDプロバイダーまで広がります。

人のアカウントと非人間アイデンティティ（NHI）まで含む可視化の対象

姿勢の点検対象は、従業員のアカウントだけではありません。サービスアカウント、APIキー、トークンといった人が操作しない資格情報＝非人間アイデンティティ（NHI）も含めて棚卸しします。むしろ実務ではこちらが盲点になりがちで、発行したまま使われず放置されたトークンや、広い権限を持ったままの連携用アカウントが攻撃の足がかりになりやすい領域です。ISPMはこの人・機械の両方を一枚の台帳に載せ、誰が（何が）どこまでできるのかを俯瞰できる状態にします。

ISPMが集めるデータソースと検出できる代表的なIDリスクの類型

ISPMの中身を実装の目線で分解すると、「どこから設定を集めるか」と「どの状態を弱点と判定するか」の二層になります。製品ごとに採点エンジンは違っても、接続するデータソースと検出するリスクには共通項があります。

AWS IAM・Entra ID・OktaからAPIで集めるID情報の棚卸し

棚卸しの起点になるのは、各基盤が持つIDと権限の情報です。ISPMはAWS IAMのポリシーやロール、Entra IDのユーザーとアプリ登録、OktaやGoogle Cloud Identityのアカウントとグループへ、APIを通じて接続します。ディレクトリサービスやSaaSの権限設定も読み込み、散在するIDを一元的な台帳へ集約する構造です。この収集は認証のたびに走るのではなく、定期的なスキャンで設定のスナップショットを取り直す方式が中心になります。

過剰権限や休眠アカウント・設定ドリフトを検出する評価ロジック

集めた台帳に対して弱点を判定します。代表的な検出対象を挙げると、業務に必要な範囲を超えて権限を持つ過剰権限、一定期間ログインのない休眠アカウント、ベースラインの構成から時間とともにずれていく設定ドリフトなどです。たとえば管理者グループに退職者が残っている、外部共有が既定で許可されたまま、といった状態を弱点として拾い上げます。単発の設定を見るのではなく「あるべき状態からの逸脱」として評価する設計が特徴です。

MFA未設定や認証ギャップなど姿勢の弱点をスコア化する仕組み

検出した弱点は、そのまま並べるのではなくリスクの重み付けをして採点します。多要素認証が未設定の特権アカウント、パスワードの有効期限が切れた連携用ID、広い権限を持つ休眠トークンなどに個別の危険度を付け、組織全体の姿勢スコアとして集約する仕組みです。2025年のVerizon Data Breach Investigations Reportでは、認証情報の悪用が不正侵害の22%に現れた最多の経路とされました。ISPMはこの経路になりうる弱点を、優先順位を付けて是正の順番に落とし込みます。

ITDR・IAM・CIEM・IGAとの違いとID防御での役割分担

ISPMは単独で完結する製品ではなく、既存のID防御層と組み合わせて効果を出します。似た略語が並ぶため、まず守備範囲を一枚の表で押さえます。

ITDRの動的検知とISPMの静的評価の守備範囲の違いと併用順序

ITDRは動いている脅威をリアルタイムに検知して対応するのに対し、ISPMは静止した設定を継続点検して弱点を減らします。下表のとおり見ている対象も起点も異なるため、片方があればもう片方が要らないという関係ではありません。予算が一つなら、まず攻撃対象そのものを減らすISPMから入り、監視すべきIDの重要度が高い組織が検知役のITDRを重ねる順序が現実的です。両者の位置づけは、動的な検知と対応を担うITDR（EDRとの違いと検知の仕組み・導入判断）の解説と対で読むと立体的に掴めます。

この分担は、誰も無条件に信頼しないというゼロトラストの考え方（境界型防御との違いとNIST7原則）とも重なります。ゼロトラストが検証を都度行う思想を示すのに対し、ISPMはその検証の前提となる権限や設定を健全に保つ役、と読み替えると設計に落とし込みやすくなります。

CIEM・IGAとの機能の重なりとISPMがカバーする範囲の線引き

CIEM（クラウドインフラ権限管理）はクラウドの過剰権限の分析に特化し、IGA（IDガバナンス・管理）はIDの付与承認や定期レビューといった統制の運用を担います。ISPMはこの両者と重なりつつ、人と機械のIDをクラウドとオンプレミスにまたがって横断し、姿勢を一枚で採点する点が持ち味です。実務では、CIEMやIGAを個別に持つ組織がISPMで全体像を束ねる、あるいはISPMを起点にどこへ投資するかを決める、という順で使い分けます。製品によっては機能が交差するため、既存資産と重複しない範囲で選ぶのが要点です。

受託開発でISPMを導入・内製する判断＝採用条件と見送りの線引き

ISPMは新しい領域のため、専用製品を買うべきか、自社システムに姿勢の可視化を作り込むべきかで迷いやすい対象です。判断は流行ではなく、自組織のIDの散らばり具合と是正の運用体制で決めます。

ISPMを採用すべき条件＝クラウドとSaaSに散ったIDの母数

採用の費用対効果が出るのは、IDが複数の基盤に散り、手作業の棚卸しが追いつかなくなった段階です。AWSとEntra IDに加えて業務SaaSが十数個あり、人・機械あわせて数百以上のアカウントが動いている、退職者や連携用IDの棚卸しに毎回数日かかる、といった条件が揃えば専用製品の価値が高まります。特に非人間アイデンティティが増え、誰も全体像を把握できていない組織では、可視化そのものが最初の成果になります。

専用製品より先にIAM整備を優先すべき見送りの場面と判断条件

逆に、見送るべき場面もはっきりしています。IDプロバイダーが一つに集約され、アカウント数が数十規模で、既存の権限レビューで弱点を追えているなら、専用ISPMは過剰投資です。土台となるIAMが未整備のまま採点ツールだけ入れても、あるべき状態の定義が曖昧で是正が回りません。この段階ではまずID基盤を一本化し、権限付与のルールと棚卸しの運用を固めるのが先で、ISPMはその上に載せる順序が現実的です。ツール導入を目的化しない、が見送り判断の芯になります。

受託開発で自社システムにID姿勢の可視化を組み込む設計の指針

自社サービスにID姿勢の可視化を作り込む場合、いきなり独自の採点エンジンを書くより、各基盤が持つ権限情報を定期的に取得する棚卸しから始めるのが堅実です。AWS IAMやEntra IDのAPIから権限とアカウントを引き、あるべき状態との差分を弱点として洗い出し、是正の担当と期限を業務側と握ってから自動化に広げる流れです。こうしたクラウドIAMの是正やID姿勢の可視化を含む設計・実装は、AWS・GCP・Azureのインフラ構築の受託開発として相談を受けています。攻撃対象を継続的に減らす発想は、脆弱性管理を超えた枠組みであるCTEM（脆弱性管理との違いと5つの段階）とも地続きで、姿勢の可視化を運用へ乗せる設計の材料になります。

よくある質問

ISPMの位置づけや他ソリューションとの違いについて、選定や実装の現場で挙がりやすい質問に答えます。

ISPMとITDRは何が違うのですか？

見ているものが違います。ISPMは権限や設定といった静的な状態を点検して「攻撃される前の弱点」を減らす予防側で、ITDRは認証イベントの異常を捉えて「侵入された兆候」を検知する対応側です。ISPMが攻撃対象そのものを縮小し、ITDRが突破された後を捕まえる、という補完関係にあります。両方を併せると、弱点を減らしつつ侵害も逃さない多層構造になります。

ISPMとIAMは別々に導入する必要がありますか？

役割が異なるため、IAMが前提でISPMを重ねる形になります。IAMは認証と認可を設計・付与する仕組み、ISPMはその設定が健全かを継続点検する仕組みです。IAMが未整備のままISPMだけ入れても、あるべき正規状態の定義が曖昧で採点の基準が定まりません。まずIAMを固め、その上にISPMで姿勢を可視化する順序が現実的です。

非人間アイデンティティもISPMの対象になりますか？

対象になります。サービスアカウントやAPIキー、トークンといった人が操作しない資格情報は、発行後に放置されやすく攻撃の足がかりになりがちです。ISPMはこうした非人間アイデンティティも人のアカウントと同じ台帳に載せ、過剰な権限や休眠状態を弱点として拾い上げます。数が増えるほど手作業の棚卸しが破綻するため、可視化の価値が高い領域です。

小規模な組織にもISPMは必要ですか？

必須ではありません。IDプロバイダーが一つに集約され、アカウント数が数十規模で既存の権限レビューが機能しているなら、専用製品より先にIAM整備を優先したほうが投資が生きます。クラウドとSaaSにIDが散り、棚卸しが手作業で追えなくなった段階から、採点を自動化する価値が高まります。

CIEMやIGAがあればISPMは不要ですか？

不要とは限りません。CIEMはクラウドの過剰権限、IGAはID統制の運用に軸足があり、対象や視点が部分的です。ISPMは人と機械のIDをクラウドとオンプレミスにまたがって横断し、姿勢を一枚で採点する点に違いがあります。既存資産と機能が重なる範囲を見極めたうえで、全体像を束ねる用途で選ぶと役割が生きます。

関連記事

• ITDRとは？EDRとの違い・検知の仕組みと導入判断を実装者向けに解説：ISPMが静的に弱点を減らす一方、動的な脅威をリアルタイムに検知して対応する対の仕組みです。
• CTEMとは？脆弱性管理との違い・5つの段階と企業の導入判断を解説：ISPMと同じく攻撃対象を継続的に減らす発想を、脆弱性管理を超えた枠組みとして整理した記事です。
• ClickFixとは？偽CAPTCHAでコマンドを実行させる手口と実装者向けの検知・防御：ISPMが弱点を減らして防ぐ、ID侵害の入口になる攻撃手口を防御側の目線で解説しています。