背景
現在、サイバー攻撃の3分の1が従業員アカウントの侵害を含むようになり、保険会社と規制当局はアイデンティティポジション（IDポジション）にますます重きを置いています。しかし、多くの組織にとってこれらの評価は依然として不明確です。
パスワード衛生管理、権限管理、多要素認証（MFA）の範囲など、これらの要因がサイバーリスクと保険料をどのように評価するかに影響を与えています。組織はこれらの評価におけるアイデンティティ中心の要因を理解し、リスク暴露を低減してより有利な保険条件を得るために努力しています。
IDポジションが保険契約決定に与える影響
データ侵害の平均コストが2025年に440万ドルに達したことを受け、多くの組織はサイバーリスクを管理するためにサイバー保険を利用しています。英国では、カバレッジ率が2023年の37%から2025年の45%に増加しました。
しかし、上昇するクレーム数により、保険会社はより厳しい契約条件を設けています。資格情報の侵害は攻撃者がアクセスを得る最も信頼性のある方法であり、強力なIDコントロールが単一の侵害されたアカウントから広範囲にわたる混乱やデータ損失につながる可能性を低減します。
保険会社が求めるアイデンティティセキュリティ
パスワード衛生管理と資格情報の露出：
- パスワードの再利用、特に管理者やサービスアカウント間での再利用は、侵害された資格情報が広範囲にわたるアクセスをもたらす可能性を高めます。
- NTLMなどの古い認証プロトコルは依然として一般的であり、資格情報を収集するために悪用されることが多いです。
- 活動していないアカウントには有効な資格情報が残されており、監視されないエントリポイントとなり得ます。
MFAの範囲：
- MFAは一貫して全重要なシステムとアカウントで実装されている必要があります。MFAが完全に導入されていない場合、保険会社は組織に対して高額な保険料を課す可能性があります。
組織のIDサイバースコアを向上させるための4つのステップ
- 弱いパスワードと共有パスワードの排除：管理者やサービスアカウント間でのパスワード再利用を制限し、パスワード衛生管理を強化します。
- MFAの範囲拡大：リモートアクセス、クラウドアプリケーション、VPN、およびすべての権限アカウントでMFAを実装します。
- 永続的な権限アクセスの削減：管理者権限が常にオンである場合、侵害された資格情報による影響を直接低減できます。
- 定期的なレビューと認証：ユーザーおよび権限アカウントのアクセス権を定期的にレビューし、現在の役割に合わせて調整します。
元記事: https://thehackernews.com/2026/02/identity-cyber-scores-new-metric.html