州政府および地方自治体におけるIAMのモダナイゼーション
州政府および地方自治体は、住民へのサービス向上を目的にデジタルサービスの近代化を急速に進めています。しかし、公共部門の機関がデジタル化を進める一方で、サイバー脅威と運用の複雑性も同様のスピードで増大しています。詐欺師はGenAIを活用し、ディープフェイクや音声クローンから、パーソナライズされたフィッシング、ログイン認証情報を盗む偽AIプラットフォームに至るまで、さまざまな手口を展開しています。不正による損失は急速に拡大する可能性があるため、不正防止はあらゆる組織の戦略において極めて重要な要素です。 その結果はどうなるでしょうか？ 不正による数十億ドル規模の損失、住民の不信感の高まり、そしてサービス提供目標を損なう摩擦の多いデジタル体験。しかし、より良い前進の道があります。
本ガイドでは、最新のアイデンティティおよびアクセス管理（IAM）ソリューションが、公共機関におけるデジタル体験の統合と保護、不正や悪用の削減、AI主導の脅威への防御、運用の効率化をどのように実現するかを解説します。住民、職員、パートナーに対して安全でシームレスなアクセスを提供しながら、信頼の構築、効率の向上、公共資源の保護を実現する方法をご確認ください。
不正防止を正しく実現するには？
- 変化する不正の状況と、それが不正対策戦略に与える影響
- 多段階の不正防止プロセスと、不正対策ツールボックスで利用可能な各種ツール
- 不正防止と住民およびサードパーティ体験との関係
- 動的な不正対策戦略への道筋
詐欺師はどのように政府機関を悪用するのか？
サイバー犯罪者は一様な集団ではありません。「詐欺師」という言葉からは、フードをかぶり不気味に画面に向かう人物像が思い浮かぶかもしれませんが、必ずしもそうとは限りません。詐欺師の年齢層は幅広く、世界中に存在します。単独で活動する者もいれば、国家や資金力のある大規模犯罪組織が運営する「詐欺リング」で活動する者もいます。完全にオンラインで活動する犯罪者もいれば、正規のサービス提供者を装って被害者から巧みに情報を引き出し、その情報を使ってアカウントにアクセスするカリスマ的な詐欺師もいます。そしてもちろん、多くの悪意ある攻撃者がデジタル技術を活用して攻撃の規模と範囲を大幅に拡大しています。
詐欺師が犯罪に使用するツール
州政府および地方自治体が不正を防止する方法
効果的な不正防止には、防御体制を強化するために不正行為に関する情報を収集することが不可欠です。
ユースケース：米国政府機関にサービスを提供する大規模ワイヤレスキャリア兼小売事業者
ユーザー、企業、政府機関向けにワイヤレスサービスおよびインターネットを提供するある企業は、セキュリティを向上させ、認定リセラーや従業員がより容易に業務を行えるようにするソリューションを求めてPingに相談しました。
お客様の課題：
- リセラーが使用するデバイスやネットワークの種類を管理できない
- MFA疲れがセキュリティとエクスペリエンスの双方を損ない始めていた
- 繰り返されるMFAプロンプトによる生産性および売上の低下
- 特に繁忙期におけるeコマース不正の増加
Pingのソリューション — 不正検知（PingOne Protect）：
- トラフィックパターンおよび行動を学習するために不正対策ソリューションを導入し、その後、高リスク状況でのみMFAを求めるリスクベース認証を実装
- PingOne Protectのリスクポリシーを最適化し、匿名ネットワークでMFAを設定
- ログをセキュリティツールと統合することで脅威インサイトを拡張
最終結果：
- 導入は3か月で完了し、30のPingFederateポリシーと200以上の接続を対象に展開。成功率は高く、失敗したアプリケーションは2件のみ
- MFAプロンプトを1日複数回から週1回へ削減
- 信頼された接続および社内従業員に追加の摩擦を生じさせることなく不正活動を削減
- 匿名および疑わしいネットワークに対して追加のセキュリティ対策を実施
不正対策ツール
不正者が手法を高度化しアプローチを洗練させる中、不正対策チームはそれに追随するために奔走しています。もはや手動レビューだけでは不十分であり、デジタル不正管理ツールが急増しています。これらのツールは一般的にいくつかのカテゴリーに分類され、前述の不正防止プロセスの各ステップのいずれか、または複数に広く対応しています。
決済不正防止
より多くのサービスがオンライン環境へ移行するにつれ、組織が不正によって被る損失は増大します。自動化された決済不正防止ツールは、不正検知の精度を向上させ、担当者が手動で問題に対処する必要性を低減します。決済不正防止ツールには、リスクルール、リスクスコアリング、リアルタイム監視、ベロシティチェックなどの機能が組み込まれており、不正な購入活動を検知・ブロックします。
ボット検知および管理
多くのボットは悪意を持って設計されていますが、すべてのボットが悪いわけではありません。たとえば、Googleは検索結果でWebページをインデックス化およびランク付けするために有益なボットを使用しています。ボット検知および管理ツールは、良性ボットと悪性ボットを区別し、どのボットがWebサイトにアクセスできるかを判断することを目的としています。この機能は極めて重要です。悪性ボットをブロックすることが重要であるのと同様に、Webサイトの可視性と関連性を確保するために良性ボットを許可することも重要です。これらのツールは、人間、良性ボット、悪性ボットの訪問者を区別し、機械学習や脅威インテリジェンスを活用して不正活動を検知します。クレジットカード不正、在庫の買い占め、クレデンシャルスタッフィングなどの活動を防止する上で効果的です。
行動バイオメトリクス
不正者がますます高度化する中、PINなどの従来のセキュリティ対策は効果が低下しています。行動バイオメトリクスは、人間とボット、あるいは認可された人間ユーザーと未認可ユーザーを区別するためのツールとしてますます普及しています。指紋のような変化しない身体的特徴を取得する身体バイオメトリクスとは異なり、行動バイオメトリクスは人間のインタラクティブな動作を測定します。たとえば、スマートフォンの持ち方、スクロールパターン、キーストロークの圧力や速度といったマイクロジェスチャーは個々に固有です。デジタルツールは、特定ユーザーの行動が過去のWebサイト上での行動と一致しない場合や、ボットの行動に類似している場合に不正活動としてフラグを立てるため、これらの生体データを活用し始めています。
デバイスID
デバイス識別はユーザーではなくデバイスに焦点を当てます。デバイスの種類、IPアドレス、ローカルタイムゾーン、ブラウザ言語などの情報はデバイスの「フィンガープリント」を形成し、企業の不正検知に役立ちます。たとえば、特定の1台のデバイスが5つの異なるアカウントに関連付けられ、Webサイトで購入を試みている場合、デバイスIDツールは潜在的な不正活動として記録します。デバイスIDツールの利点として、個人のユーザーデータを必要としないことや、過去に使用しようとしたデバイスに基づいて再犯の不正者をブロックできることが挙げられます。
本人確認および本人保証ツール
以前は、オンライン上の本人確認はユーザー名、メールアドレス、パスワードによって行われていました。現在では、これらの対策だけでは不十分です。提供するサービスの性質に応じて、組織はユーザーが主張する身元と実際の身元が一致していることを確認するために、さまざまな本人確認ツールを使用する必要があります。本人確認ツールの一要素として、公的および民間の情報源から収集したユーザーの過去の取引データを迅速にスキャンする方法があります。これは知識ベース認証（KBA）として知られ、摩擦を生みやすい旧来型の手法と見なされることがよくあります。より現代的な方法には、ユーザーの身体的特徴の評価が含まれます。コンピューターのカメラ越しにパスポートや運転免許証を提示させるといった手動チェックを行う組織もあれば、コンピューターのカメラで顔写真を撮影して本人確認を行う顔バイオメトリクスツールを使用する組織もあります。
ペイメントオーケストレーションツール
組織は、複雑な取引プロセスを単一のハブでオーケストレーションすることでペイメントオーケストレーションツールを活用します。これらのツールは、決済プロセスのさまざまな部分にデジタル脅威が侵入するのを防ぎます。ペイメントオーケストレーションプラットフォームはデータを収集・共有し、潜在的な不正者には摩擦ポイントを追加しながら、認可されたユーザーにはスムーズな取引プロセスを提供できるよう支援します。特に取引不正の防止に有効です。
認可ツール
ユーザーを認証した後、組織はWebサイト内でさまざまなレベルのアクセス権を付与できます。認可ツールは、セキュリティチームが設定した設定やパラメーター、およびアクセストークンを使用して、ユーザーに権限を付与または拒否します。認可のみに特化したツールもあれば、認証と認可の機能を組み合わせたツールもあります。認可ツールを活用することで、組織は外部ユーザーおよび社内メンバー双方のアクセスと権限を決定するインフラストラクチャを確立します。
動的認可ツール（attribute-based access control：ABAC または externalized authorization management：EAM とも呼ばれる）は、あらゆるデータセットを評価し、そのデータに基づいて許可されるアクションをポリシーベースで決定・適用する能力を組織に提供することで、従来の認可ツールを大きく超える機能を実現します。
不正および金融犯罪ハブ
不正および金融犯罪ハブ（ディシジョニングハブと呼ばれることもあります）は、意思決定プロセスを簡素化および自動化するために使用されます。これらは多くの場合、一定のオーケストレーション機能を備えた認可ツールです。これらのツールの目的は、不正ロジックと意思決定を一元化することで不正管理を簡素化することです。最大の利点は、手動レビューの必要性を大幅に削減できる点にあります。
不正およびリスクチームの役割
eコマースの増加とそれに伴うオンライン不正の増加により、ほとんどの企業にとって、自動化ツールの支援なしに手動で不正を監視・防止することはより困難になっています。しかし、一部の企業は不正検知および防止を人間のチームのみに依存しています。この判断は、人間の担当者が各ケースを個別に精査することで、より正確に不正を特定し、誤検知率を低減できるという考えに基づいていることが多いです。これらの担当者は、自社固有の知識を活用して、企業独自の状況に合わせた不正防止アプローチを構築します。
それでも、詐欺対策専任チームを設けることにはデメリットがあります。企業にとってコストが高いこと、繁忙期と閑散期でチームに求められる業務量が大きく変動すること、さらに自動化ツールと比較して不正の検知・防止に時間がかかり、結果としてユーザーの不満につながる可能性があることです。
多くの組織は部分的な自動化アプローチを採用しており、詐欺・リスクチームが一部の手動レビューを実施しながら、自動化ツールから得られるデータに基づき、より広範な不正防止戦略にも注力しています。
不正防止における加算的アプローチ
不正の手口は高度化し、急速に進化しているため、不正対策も継続的な適応が求められます。これは、不正対策戦略の策定、開発、実装に多大な労力を費やしている企業にとっては大きな負担となり得ます。特定のツールやテクノロジーの活用に重点を置くのではなく、不正対策に割り当てる財務的・人的リソースの決定といった一般原則に焦点を当てるべきです。さらに、企業は既存の対策を置き換えるのではなく、強化するために新しい不正対策テクノロジーを導入する必要があります。加算的なアプローチを取ることで、不正対策の有効性を高めると同時に、サイバーセキュリティへの投資を最適化できます。
アイデンティティチームについて
これまで不正対策チームはサイロ化して運用されることが多くありましたが、現在では変化が始まっています。不正検知、本人確認、アクセス管理における新たなテクノロジーの登場により、アイデンティティチームは不正対策チームと連携し、組織全体にとっての価値を高めることが可能になりました。不正防止の焦点が個々の取引の保護からエンドツーエンドのユーザージャーニーの保護へと移行する中、アイデンティティと不正対策ツールをシームレスかつ安全なユーザーフローに統合することで、両チームがそれぞれの目標指標を達成しやすくなります。
統合の必要性を示す：不正防止とユーザージャーニー全体
不十分なUXがもたらすコスト
州政府や地方自治体は従来の意味で顧客獲得を競っているわけではありませんが、エクスペリエンスは依然として重要です。デジタルサービスが利用しにくい、分かりづらい、あるいは過度に煩雑である場合、住民は単に「利用率」が下がるだけでなく、コールセンターや対面窓口に頼ったり、利用自体を先延ばしにしたりします。政府サービスにアクセスする際、市民は一定水準のセキュリティを期待していますが、過度な摩擦は導入の障壁となり、信頼を損ないます。一貫性を欠く、またはストレスの多い体験は、最終的により非効率なチャネルへの流入を招き、運用コストを増大させ、デジタル施策の効果を制限します。
セキュリティとシームレス性：バランスの確立
市民やサードパーティは、セキュリティ、利便性、プライバシーを重視しています。すべての組織に当てはまる完璧な公式は存在しませんが、不正防止とユーザーアイデンティティを統合的に捉えることで、適切なバランスを実現できます。重要なのは、ユーザーセッションを継続的に不正の観点から評価し、必要な場合にのみ対策を開始して摩擦を生じさせることです。
適切なツールの統合
ユーザージャーニーは、組織のあらゆる取り組みの中心にあり、不正防止はその重要な要素です。単体の不正検知ツールは、収集した情報がユーザージャーニー全体に組み込まれなければ効果を発揮できません。不正対策チームとアイデンティティチームは連携し、信頼を中心に据えたジャーニーをオーケストレーションすべきです。
進化し続ける不正対策戦略
もちろん、前述のモデルであっても固定的であり続けることはできません。不正行為者は強い動機を持ち、高度な技術力と尽きることのない創意工夫を備えています。新たな攻撃手法は絶えず出現し、不正対策チームは通常、その変化に対応する立場に置かれます。この分野は非常に変化が速いため、組織が戦略を定義し、合意し、実装する頃には、その戦略を無効化する新たな脅威が出現している可能性があります。
効果的な不正対策戦略は、実装の詳細ではなく、より高次の原則に焦点を当てる必要があります。これにより、企業は不正の検知、防止、管理に最適なアプローチについて、より賢明な意思決定を行えるようになります。特定のツールや手法に固定的にコミットするのではなく、明確に定義された不正対策戦略は、テクノロジーを通じて対策を採用・維持・強化するための一般原則を示すべきです。重要な点は、これは軍拡競争であるということです。不正行為者が新たな攻撃手法を生み出すたびに、研究者やソフトウェア企業は新たな対抗策を開発します。現実的な不正対策戦略では、新技術への継続的な投資と、それを活用できるスキルを持つ人材への投資を通じて、常に最新の状態を維持する必要性を強調します。不正行為者が立ち止まることはないため、不正対策チームも現状に満足する余裕はありません。自社とユーザーを守り続けるためには、不正防止戦略の継続的な見直しと定期的な更新が不可欠です。
しかし、適切なツールを備えていれば、急速に変化する不正環境に柔軟に対応する俊敏性を確保できます。