データセキュリティプラットフォームに非人間ID(NHI)およびAIエージェント管理機能を追加する動きとして、Cyeraは今月初め、Oasis Securityを現金と株式合わせて約10億ドルで買収する計画を発表しました。
CyeraによるOasis Security買収は、企業がNHI対応力の強化を図る中で相次いでいる業界再編の最新事例です。エージェントが無制限のアクセス権を持たないようにするため、各組織は特権アクセス管理(PAM)とID・アクセス管理(IAM)の見直しを迫られています。最近の買収事例としては、CiscoによるAstrix買収、CrowdStrikeによるSGNL買収、そしてPalo Alto Networksによる250億ドル規模のCyberArk買収などが挙げられます。
両社の発表によると、CyeraとOasisの統合により、データとIDが単一のコントロールプレーンに集約され、特権アクセスは静的な役割ではなくビジネスコンテキストを基準に再定義されるといいます。Oasis Securityは、サービスアカウントやAPIキー、サービスプリンシパルをはじめとするマシンIDなど、非人間IDおよびAIエージェントのライフサイクル管理とセキュリティを専門としています。
Cyeraの最高戦略責任者(CSO)であるJason Clark氏は、次のように述べています。「顧客から一貫して聞かされてきたのは、データとIDは表裏一体の関係にあるということ、そしてIDの管理は非常に断片化していて、非常にレガシーな状態にあるということです」
エージェントに無制限の権限を与えないために
業務・技術プロセスを自動化するエージェントの台頭により、権限管理のあり方も様変わりしたとClark氏は指摘します。「人間は過剰な権限を与えられがちですが、実際に使用しているのは付与された権限のわずか4%程度です。一方エージェントは100%の権限を使い切ります。だからこそ、私たちはその権限の範囲を絞り込む役目を担う必要があるのです」と同氏は付け加えます。
Clark氏の指摘を敷衍する形で、Oasisの共同創業者兼CEOであるDanny Brickman氏は、エージェントは従来型のIAM/PAM製品が前提としてきた信頼モデルを根底から崩すと語ります。従来のモデルは、役職や役割、そして自らの行動に説明責任を負う人間の存在を前提としていますが、そのいずれもエージェントには当てはまらないためです。
「エージェントは人間ではありません」とBrickman氏は述べます。「振る舞いが違いますし、貪欲ですし、動き方そのものが人間とは異なります。エージェントの登場によって信頼モデルが崩壊したのは、彼らには責任もなければ説明責任もなく、そもそも役職というもの自体が存在しないからです。つまり、役割ベースのアクセス制御という考え方自体が、もはや成り立たないのです」
特権アクセスの概念も、エージェント時代に合わせて再定義する必要があります。「これまで私たちは、特権アクセスが明確に定義された世界に生きていました」とBrickman氏は語ります。「しかし今日では、機微な情報が第三者からアクセス可能な状態にあれば、それは伝統的な意味でそうラベル付けされていなくても、特権アクセスとみなすべきなのです」
Clark氏は、統合後の新会社が採用する5段階モデルを説明しています。データディスカバリー、OasisによるIDデータの把握、Cyeraによるデータの理解、行動ではなく意図に基づく認可、そしてリアルタイムで通常の範囲を逸脱した挙動が検知された際の対処(人間の関与、あるいは監査・フォレンジックを通じて)です。
「IDは最も重要な統制ポイントです。あらゆる行動へのアクセスは、そこで制御されるからです」とClark氏は述べます。「あるIDが何を閲覧でき、何を実行できるかは、すべてID権限を通じて決まります。とはいえ実際の統制は、エンドポイント、ゲートウェイ層、インフラ層といった各所にフックを設けることで実現しています」
Brickman氏は、ユースケースを2種類に分けて説明しました。ひとつは、認証情報のローテーションや休眠アカウントの廃止、データのクリーンアップといった近い将来に対応すべき従来型のプロセス。もうひとつは、エージェントの実際の意図とアクセス対象データの機微度合いに基づいて、きめ細かくリアルタイムに執行するエージェント特有のシナリオです。
「あるIDがアクセスすべきでないデータにアクセスしていると判断すれば、私たちはその場で、即座に接続を遮断できます」と同氏は述べます。
両社は今四半期中の取引完了を見込んでおり、成立後は統合後の新会社として、データ側の是正措置(暗号化や未使用データのクリーンアップ)と対をなす形で、ID側の是正措置の支援に注力していく方針です。
より長期的には、リスクの可視化、フォレンジック・インシデント対応、そしてエージェントの行動に対するジャストインタイムでの認可(セッション途中での権限剥奪など)を実現するため、データとIDを統合したアクセスグラフを開発する計画だとClark氏は語ります。例えば、調査目的で保存済みの認証情報を使用しているエージェントであれば、WorkdayやSalesforceへの書き込み権限を保持し続けるべきではない、とClark氏は指摘します。
CyeraとOasis、共通の歩み
CyeraとOasisは、ビジョンと背景の両面で似通っています。両社はそれぞれ2021年と2022年にテルアビブで創業チームがスタートし、現在は本社をニューヨーク市に置きつつ、研究開発拠点をイスラエルに構えています。従業員数はCyeraが1,500人、Oasisが150人と、Cyeraの方がかなり規模が大きい状況です。Clark氏の見立てでは、統合後の会社は今暦年末までに従業員数2,000人を超える見込みだといいます。
両社はまた、Sequoia Capital、Accel、Cyberstartsといった共通の出資者を持つ点でも足並みが揃っています。これまでに累計20億ドルを調達してきたCyeraは、6月に6億ドル規模のレイトステージ成長ラウンドを実施し、市場評価額は120億ドルに達しました。Oasisは3月にシリーズBで1億2,000万ドルを調達しています。
「私たちには共通の投資家が多く、取締役会もほぼ同じような顔ぶれです。ですから、最初から互いに近い関係にあったと言えます」とClark氏は述べます。
両社の創業者は、かつてイスラエル国防軍(IDF)でともに従軍した間柄です。「私たちが出会ったのは17歳の頃、若くて向こう見ずな時期でした。それから長年にわたって、軍で一緒に成長してきました」とBrickman氏は振り返ります。「そしてある日、私たちはそれぞれ別の会社を立ち上げることを決意したのです。ご存知の通り、エネルギーが噛み合い、組み合わせが完璧なときには、物事は自然と起こるものです」
