Embed Size (px)
Citation preview
ホワイトペーパー
カスタマー・アイデンティティ・
アクセス管理（CIAM）ガイド
構築か購入か？
ソフトウェアの社内開発から既製ソリューションの購入まで、 導入オプションの長所と短所をご説明します
1構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
エグゼクティブサマリー
デジタルアイデンティティと顧客プロファイルは、あらゆる企業にとって、デジタル変革の要と言えます。今日の市場において、顧客のアイデンティティとそれに関連する個人データは、あらゆるエンタープライズの最も重要かつ貴重な資産であり、ビジネスの成功には不可欠です。
このようなデジタルアイデンティティを管理し（最初の登録やログインからその後の顧客関係に至るまで）、関連データからビジネス上の価値を引き出すことは複雑な作業です。一般的にこれらはカスタマー・アイデンティティ・アクセス管理（CIAM）と呼ばれています。
デジタルアイデンティティと顧客データの収集、管理、利用に必要な概念、プロセス、テクノロジーを導入しようとする企業は、2 つの基本的な選択肢に直面します。それは、CIAM を社内で開発するか、CIAM に特化したベンダーから専用ソリューションを購入するか、つまり構築か購入かという選択です。
このホワイトペーパーでは、ソフトウェアの自社開発と既製ソリューションの購入について、その長所と短所を検証します。また、オンプレミスの実装、コロケーション、およびさまざまなクラウド環境など、多様なオプションについて考察します。
こうした検証の結果、ほとんどのエンタープライズで、ほぼすべての状況において、「購入」の方が「構築」より有利であることがわかりました。市販のクラウドベースのソリューションは、ほとんどの企業にとって、それぞれの目標、ニーズ、リソースに適した望ましい選択肢です。特に、当初の実装だけでなく、長期的にソリューションを運用し維持していく労力も考慮すると、なおさら既製のソリューションが有利となります。変わり続けるテクノロジー、消費者、市場、規制に対応する必要があるからです。
このホワイトペーパーの対象読者は？技術分野の担当かどうかにかかわらず、組織に最適な CIAM の実装方法について十分な情報に基づいた判断を下す必要のある意思決定者の方は、ぜひこのホワイトペーパーをご覧ください。
2構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド 2構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
アイデンティティソリューションの重大度を考える社内構築も含めてアイデンティティ管理の実装オプションを検討する際には、最初に 作業の全体的な重大度を考えることをお勧めします。エンタープライズにはどの程度の関わりがありますか？そして、サービスに中断や不具合が発生した場合、ビジネスにどのような損害が生じますか？
3構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
カスタマーアイデンティはデジタルビジネスの基本的な前提条件カスタマーアイデンティティとリンクしたプロファイルデータは、この 10 年間にわたって価値が劇的に拡大し、今では企業の重要な成長要因の 1 つとなっています。顧客プロファイルデータは、顧客の行動やカスタマージャーニー（最初の連絡から購入決定までの長期間のブランドロイヤルティ）を分析し、理解し、予測するための基礎となるものです。
顧客データは重要であるだけでなく、基本的なマーケティングのパーソナル化やリアルタイムのパーソナル化など、あらゆる形式のパーソナル化の前提条件でもあります。リアルタイムのパーソナル化ではさらに高度な顧客ターゲティングが行われます。顧客が次に連絡する時に表示するメッセージをあらかじめ決めておくだけでなく、顧客とのやりとりの最中にデータに基づいて自動的に決定します。リアルタイムのパーソナル化を実装すれば、個人に共鳴するようにユーザー体験やコンテンツを調整できます。これは、Web サイト、モバイルアプリケーション、モノのインターネット（IoT）デバイスなど、さまざまなチャネルで実現します。
デジタルアイデンティティは、もっと基本的なレベルでも、あらゆるオンライン小売サイトやその他のトランザクションベースのアプリケーションの前提条件となっています。顧客がデータやサービスにアクセスして企業と取引するためには、事前にログインとセキュリティ認証が必要です。
簡単に言えば、もしもアイデンティティ管理システムの不具合で顧客がログインできなければ、ビジネスは中断し、収益に影響が生じる可能性があります。このような状況では、サポートの作業負荷が増大する可能性が高く、またフラストレーションを感じたユーザーがソーシャルメディアやレビューフォーラムに投稿して評価に影響が生じる場合もあります。
顧客体験：UI、パフォーマンス、信頼性
登録、アカウント作成、ログイン、ユーザー設定管理のプロセスやフローにおける顧客体験も、CIAM の重大性を知るために欠かせない要因です。ここで重要なのは、実際のユーザーインタフェース（Web
フォームなど）ではなく、パフォーマンスと信頼性です。調査の結果、読み込みに時間がかかると、コンバージョン率に大きな影響を及ぼすことがわかっています。さらに、Dynatrace や T-Mobile が実施した調査では、トランザクションジャーニーの早い時期の方が、訪問者はページ視聴のパフォーマンスに敏感であることが明らかになりました。1
デジタルアイデンティティは あらゆるトランザクションベース アプリケーションに不可欠です
？
4構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
登録、ログイン、認証プロセスは、カスタマージャーニーにおける最も早期のエンゲージメントポイントであり、これらの段階でユーザー体験の構築または破壊が容易に生じる可能性があります。取引が深まるにつれて、顧客はより忍耐強くなり、完了するまで関与するようになります。ページ読み込み時間は、デスクトップサイトとモバイルサイトの両方の Google 検索結果ランキングにも影響を及ぼします。2
顧客満足度とサポート
もちろん、ユーザー体験の問題はカスタマージャーニーのあらゆる段階で生じる可能性があり、アカウントが正常に作成された後でも発生する場合があります。パスワードを忘れるといったアカウント問題が顧客満足度に影響する可能性もあります。多くの場合、アカウントの離脱が生じ、ブランドロイヤルティが低下して、最終的にビジネスを失うことにもなりかねません。Chatbots Magazine によると、不満を感じた顧客の 91% は再購入や再利用をしなくなります。3
さらに、ユーザー体験に関連した問題のサポートは、コスト面でも企業の大きな負担となります。コンタクト・センター・ソフトウェアのプロバイダーである Aspect Software の統計では、カスタマーサービスの電話でのやりとり 1 回に、35～ 50 ドルほどのコストがかかると推定されています。テキスト形式のチャットでのサポートでもセッションあたり 8～ 10 ドルのコストがかかります。4 IBM の推定では、毎年 2,650 億件のカスタマー・サポート・リクエストが発生し、その対応に企業が費やすコストは 1.3
兆ドルという途方もない金額に上っています。5
登録やログインに時間がかかると、コンバージョン率に深刻な影響が 生じる可能性があります。
35～ 50 ドルカスタマーサービスにおける 電話対応の推定コスト
2,650 億年間のカスタマーサポート依頼件数
91%不満を感じた顧客が二度と戻らない確率
$
企業はカスタマーサポートのリクエストに年間 1.3 兆ドルも費やしながら、顧客を失っています。
5構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
Akamai のお客様である世界的な大手小売企業の推定によると、ログイン後の離脱は 1 か月あたり平均約
200,000 件発生し、その結果失われた月間推定売上高は顧客あたり約 45 ドルとしています。こうした状況に加え、アカウントの回復を求めて企業のサービスホットラインに連絡してくる顧客に関連したコストも考慮し、このお客様はアイデンティティソリューションの自社開発から、Akamai の CIAM ソリューションである Identity Cloud に乗り換えました。
この企業の社内ソリューションには、顧客がソーシャルログイン、セキュリティの質問、SMS 通知などの代替認証手段でアカウントへのアクセス権を再取得できるようなセルフサービス機能がありませんでした。そのため、このような機能を既存の社内ソリューションに実装する場合、こうした機能がすぐに使える状態で提供される Akamai Identity Cloud への移行と比べ、開発に伴うコストとリスクがより大きくなると推定されました。
ケーススタディ
$9M$45
ログイン失敗のコストを計算できます。認証情報を回復するためのセルフサービス機能を構築するコストは Akamai Identity Cloud を導入するコストよりも高くなる可能性があります。
5構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
各ユーザーの 1 か月当たりの金額
売上の推定 損失額
= 2,000 ユーザー
ログインの失敗
ログイン
6構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
進化とイノベーションへの対応顧客満足度の高い体験がどのようなものかは常に変化します。 デジタル環境の拡大や新たな購入層の出現などに伴い、カスタマーアイデンティティ管理の進化のペースはますます速くなっています。
パスワードなしのログインなどユーザーの新たな期待や、顧客エンゲージメントポイント（Web、モバイル、IoT）の状況の変化に遅れることなく対応していく必要があります。今日の顧客の期待に応えるには、いつでもどこからでも、使用デバイスを問わずログインでき、常に同じ（またはほぼ同じ）ナビゲーションフローやパーソナル化を体験できるような真のオムニチャネルサポートが必要です。
アイデンティティ管理ソリューションは、急速に変化する新たな要件や傾向に対応できなければなりません。このような変化は予測が難しく、企業にとっては競争力が低下する要因にもなります。社内でアイデンティティソリューションを構築する場合は、最初の実装段階が終わっても、大きな資金、人材、専門知識を確保しておく必要があります。
コンプライアンスとセキュリティカスタマーアイデンティティは、企業だけでなく、それを所有する個人にとっても貴重な資産です。
私たちの生活に占めるデジタル領域が拡大するにつれ、慎重な取り扱いが必要とされる個人データでプロファイルデータが構成されるようになります。そこには、名前、住所、電話番号、性別、支払情報から、個人的な嗜好、買い物や閲覧の履歴などの行動データまで含まれます。企業がオンライン上に保存されている顧客データのセキュリティを確保し保護する必要性はますます高まり、世界の規制機関もこの状況に対応しつつあります。
規制遵守とセキュリティは、アイデンティティ管理を著しく複雑で重大なものにする主な要因です。 顧客データには個人を特定できる情報（PII）が含まれています。このような情報に関わる規制やプライバシー保護法は多岐にわたり、その多様性はますます拡大しています。
規制は地域や法域によって異なりますが、世界でビジネスを展開する企業は、自社のデジタルサイトがすべての適用法を遵守していることを確認できなければなりません。こうした規制の例としては、EU 一般データ保護規則（GDPR）、カナダの Personal Information Protection and Electronic Documents Act
（PIPEDA）、California Consumer Privacy Act of 2018（CCPA）などがあります。また、医療情報のリリースを制限する米国のプライバシー法など、業界固有の規制もあります。
顧客はデスクトップ、モバイル、IoT の いずれでログインしても、同じように パーソナル化された体験を求めます。
7構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
アイデンティティデータは悪用しやすいため、ハッキング攻撃の主要なターゲットとなっています。IBM
Security と Ponemon Institute が実施した調査、2018 Cost of a Data Breach Study では、対象組織の約半数（48 %）がデータ漏えいの根本原因は悪意のある攻撃または犯罪者による攻撃であるとし、漏えいしたアイデンティティレコードあたりの平均コストは約 157 ドルであることがわかりました。6 漏えいレコード数は数十万に上ることも多く（数百万規模もあります）、これによるコストは企業に深刻な影響を及ぼす可能性があります。しかも、このコストには、評判や顧客の信頼が損なわれることによる収益損失は含まれていません。
企業は自社だけでなく顧客をも守ることのできる最強のセキュリティ手段を適用する必要があります。顧客がアイデンティティ窃盗の被害者となり、経済的安全、職業的安全、身体的安全に大きな影響が生じるという最悪のケースでは、企業に対する賠償請求や集団訴訟が生じる可能性もあります。
上記のことから、多くの場合、ほとんどの企業にとって、カスタマーアイデンティティ管理の全体的な重大度は非常に高いと言えます。アイデンティティソリューションの選択と実装を担当する部署の方には、特定のケースでの重大度に関わる要因を綿密に特定し検証することをお勧めします。また、その結果を組織全体の関係者および意思決定者にも伝え、共通の理解と同意を確立する必要があります。これは、CIAM の実装を成功させるために十分な予算、リソース、優先順位を割り当てるためにも役立ちます。
8構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
エンタープライズグレードのカスタマー・アイデンティティ・アクセス管理（CIAM）ソリューション
オムニチャネルユーザー体験 — 上記のタスクを Web、モバイル、IoT、およびその他のチャネルで実行する UI／ UX （Web 形式、インタフェース、フロー）
データの収集と保存 — 関連するすべての顧客データを、セキュリティが確保され、かつデータ保護およびプライバシー規制を遵守した方法で保存する必要があります
統合 CMS、CRM、ERP、ERP、マーケティングオートメーション、分析、セキュリティ情報およびイベント管理（SIEM）シス
テム
コンプライアンスおよび監査への対応 —
上記のすべてを、規制や業界標準を遵守し、かつ監査用の証拠を提供しながら実行する機能
拡張性と信頼性 — 上記のすべてを、大規模かつ広範位に、ピーク時にもパフォーマンスを低下させることなく、99.95%
アップタイムの SLA を提供しながら、 複数のチャネルおよびドメイン全体で、 数百万の同時ユーザーに対して安定して実現できる機能
登録、ログイン、認証 — 多要素認証
（2 つ以上の認証情報を要求してセキュリティを強化）を含みます
ソ ー シ ャ ル ロ グ イ ン — Facebook、Google、LinkedIn、またはその他のソーシャル・メディア・アイデンティティ・プロバイダーを通じた認証
シングルサインオン（SSO）および連携アイデンティティ — シングルログインで複数のサイトおよびシステムへのアクセスを提供します
アクセスコントロール— アクセスポリシーの導入と適用により顧客がサイトでできることとできないことを制御します
ユーザー設定の管理 — 顧客が自分の
アカウント内の一部の設定を表示し編集できます
同意管理 — ほとんどのプライバシー規制は、企業が顧客の個人データを取得する場合に、事前に顧客から明示的な同意を取得することを要求します。顧客が同意を表示、変更、または撤回できるようにする必要があります
必須機能
8構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
構築か購入か？
ビジネスおけるデジタルアイデンティティの価値および全体的な重大性を考えれば、 企業が独自のソリューションを開発し、完全に所有してコントロールしようとするのはごく自然なことに思えます。しかし、このホワイトペーパーに記載した複雑さを考えると、企業がその能力以上に無理をすることで、開発したカスタマー・アイデンティティ・ソリューションが最終的に（すぐには明らかにはならないことも多いのです）ビジネス、規制、または顧客の要求を満たすことができないという可能性も大いにあります。
9構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
10構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
アイデンティティ管理の実装を担当する部署は、不測の問題に直面する可能性があり、このようなプレッシャーは組織のモチベーション、生産性、実行力の大きな足かせとなります。その結果、期日超過、 商品化の遅滞、予算超過など、マイナスの影響が生じることもあります。
たとえ技術的な実装や運用が予定どおり進んだとしても、総所有コスト（TCO）、投資回収率、設備投資などのビジネス指標を考えると、社内開発が経済的に見合うものかどうかという疑問が残ります。さらに、機能、セキュリティ、可用性、拡張性に関する現在の要件を満たすだけでなく、市場の変化や拡大に遅れることなくソリューションを進化させる必要もあります。
中核業務ではない CIAM のような機能のアウトソースには、さまざまなメリットがあります。7
貴重な時間の 節約
コストの 削減
投資資金の 節約
イノベーションの 促進
利用速度の 向上
品質の 向上
中核業務への 集中
アウトソースの理由
11構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
構築オプション
78% のエグゼクティブ（経営および IT）は、プロジェクトの要件が自社の要件と一致していないことが「よくある」または「常にある」と述べて
います。8
25% の IT プロジェクトが完全な失敗に終わり、50% は重要な手直しが必要、20%～ 25% は投資効果があり
ません。9
52.7% のソフトウェアプロジェクトで遅延と予算超過が発生し、
31.1% は完全にキャンセルされています。10
CIAM ソリューションの構築と購入のいずれを選択しても、そのソリューションをどこでホストするかを決めなければなりません。ここでは、一般的なオプションを挙げ、それぞれの利点と課題を説明します。
オンプレミス・データ・センターとコロケーションCIAM ソリューションを自社のデータセンターにホストする場合、コンピューティングとストレージの物理リソースを所有し運用することになります。インフラストラクチャ全体を所有すれば、配置するサーバーモデルやネットワークスイッチの選択に至るまで、運用を完全にコントロールできます。
オンプレミス・データ・センターを利用するケースとしてよくあるのは、処理するデータの機密性が非常に高く、公衆ネットワークで伝送できない場合や、規制によりプライベートネットワーク以外でのデータ転送が禁じられている場合です。データボリュームがあまりにも膨大であるために、公衆ネットワークではデータ転送速度が遅すぎる場合も、ローカル・データ・センターが唯一の選択肢となります。
また、カスタマー・アイデンティティ・ソリューションの構築と運用が、社内リソースの最適な利用方法であるかどうかを判断することも重要です。
こうしたことをすべて考慮した結果、多くのエキスパートが、社内 IT プロジェクトは適切な代替のないビジネスクリティカルな機能のみに制限した方がよいと考えています。
12構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
ただし CIAM については、一般的に上記のいずれの条件にも該当しません。顧客がアクセスするデジタルサイトはインターネットに接続されていますし、そもそも顧客は自分のデータを公衆ネットワーク経由で提供します。CIAM ソリューションには、多数の厳格なデータ保護規制への遵守が求められますが、公衆ネットワークの利用を禁じる規制はありません。転送時や保存時のデータ暗号化にその他の安全策を組み合わせることで十分なセキュリティが確保されます。アイデンティティデータのボリュームが大きい場合もありますが、インターネットを使用した処理は可能です。顧客はインターネット上に存在し、インターネット上で企業のシステムにアクセスするのですから、インターネットを使用せざるを得ません。
データセンターの設備を所有し維持するには、大きなコストと労力を要します。これには、実際のデータセンターの設備コストが含まれます。たとえば、不動産、ハードウェア（サーバー、ルーター、ファイアウォール、ロードバランサーなど）、空調、エネルギー、冗長配電、無停電電源、建物のセキュリティポリシーへの遵守にかかるコストなどです。さらに、インフラストラクチャを運用するための人件費も必要です。
コロケーション、つまりこれらの物理的なリソースの一部または全部をサードパーティから借りるという方法を選択する企業もあります。この場合は、比較的低コストで開始できます。しかし、リソース、サービスレベル、セキュリティ、そして運用モデルを緻密に定めて、ホスト側と円滑に連携する必要があります。つまり、管理費が生じます。
GDPR などのデータ保護規制では、ベンダーが規制を完全に遵守して個人データを処理するように徹底するのは企業の説明責任です。コロケーションプロバイダーを選ぶ際には、この点を考慮することが必要です。11
異なる地域に複数のデータセンターを必要とする企業の場合、これらすべての負担が大幅に増大します。これが当てはまると考えられるのが、地域や大陸にまたがるオーディエンスにサービスを提供しており、低遅延を維持することでデジタルサイトやサービスのパフォーマンスがユーザー体験にマイナスの影響を及ぼさないようにする必要がある場合です。これまで述べたとおり、信頼性の低さや速度の遅さが原因で顧客がデジタル体験に不満を感じると、直帰率や離脱率が高くなり、サポートコストも増え、ビジネスに影響を及ぼす可能性があります。
企業が複数のデータセンターやコロケーションを利用する大きな理由がもう 1 つあります。高可用性の要件です。ビジネス継続性や災害復旧対策の一環として、1 か所のデータセンターが何らかの理由で停止した場合に別のデータセンターへフェイルオーバーする機能が必要です。
社内 CIAM ソリューションでは、データセンターの増分コストが必要になる可能性があり、それが多額になることもあります。
13構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
プライベートクラウドプライベートクラウドは、基本的にオンプレミス・データ・センターか、または共有プールのクラウドコンピューティング方式によるコロケーションです。
クラウド環境は従来のインフラストラクチャよりも有利です。サービスをすばやく容易に設定でき、アプリケーションのデプロイも迅速です。また、アジャイル開発、継続的な統合と配信、DevOps、コンテナおよびマイクロサービスの利用など、ソフトウェア開発の新たなパラダイムやテクノロジーとの親和性もあります。
クラウドは、異なるサービスでリソースを共用できる設計なので、規模の経済によるある種のメリットももたらします。ただし、社内でのリソース共用には大きな制約があります。プライベート・クラウド・インフラストラクチャは、潜在的なトラフィックやワークロードのピークにも対応できなければなりません。CIAM システムでは、このようなピークが高くなる可能性があります。たとえば、ある企業が大規模な季節的マーケティングキャンペーンに成功した場合、ログインしてアカウントを作成し、デジタルサイトを利用する顧客の数が何倍にも増加します。同時ユーザー数が数千万規模に達することもあります。また、ログデータやイベントデータなど、システム関連の運用データの量も倍増します。
このように、演算能力やストレージのニーズが一時的に拡大した場合にも対応できるように、ハードウェアリソースを物理的に用意する必要があります。つまり、たとえ 1 年の他の時期には使われず、CapEx と TCO が増大して、投資回収率が低下したとしても、ハードウェアリソースは所有するか、借りる必要があるのです。
トラフィックピークに対応できる十分なバッファーを用意する必要があるため、クラウド環境は過剰プロビジョニング状態になりがちです。過少プロビジョニングにするのは危険です。低速の登録フォームからダウンタイムの合計時間まで、ユーザー体験に深刻な影響をもたらす可能性があります。皮肉にも、この状況が最も発生しやすいのは、それ以外の点ではサービス、製品、またはキャンペーンが非常に成功し、トラフィックと売上が急激に上昇する時です。最悪の場合、IT によってビジネスの成功が妨げられる結果となります。
異なる地域に複数のデータセンターがある場合、自社構築 CIAM のコストと複雑さはさらに増大します。
14構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
適切なプロビジョニングレベルを判断し、大規模なプライベートクラウド環境を構築、実装、運用するためには、十分な時間、手間、経験、専門知識が要求されます。意思決定者はこのことを十分に理解する必要があります。設計や運用が不適切であると、複雑なテクノロジーの層が追加され、多数の単一故障点が発生してしまいます。
自社のハードウェアやデータセンター施設を使用せずに、CIAM ソリューションをホストする場合は、 一般的に Amazon Web Services（AWS）、Microsoft Azure、Google Cloud などのパブリック・クラウド・ベンダーを使用します。
パブリッククラウドパブリッククラウドを使用する場合は、データセンターとハードウェアプラットフォームを所有し運用する必要はなくなります。これらはネットワークを通じてサービスとして提供されます。 このような Platform-as-a-Service（PaaS）や Infrastructure-as-a-
Service（IaaS）を利用すれば、社内開発の必要なく CIAM ソリューションをホストできます。パブリッククラウドは、必要に応じて、オンプレミスまたはコロケーションと部分的に組み合わせることもできます（ハイブリッドクラウド）。
パブリッククラウドを利用すると、データセンターのリソースの所有と運用にかかるオーバーヘッドがなくなるだけでなく、コスト効率の面でも大きなメリットがあります。クラウドインフラストラクチャは 1 社だけではなく、多くの企業が共用します。そのため、クラウドベンダーは、オンプレミスのプライベートクラウドでは到達できないレベルで規模の経済を実現できます。
さらに、ほとんどのパブリック・クラウド・ベンダーは「従量制」価格を採用しているので、請求されるのは、システムリソースを実際に利用したサービスの料金だけです。トラフィックボリュームが少なくてパブリッククラウド上のアプリケーションがほとんど使用されなければ、請求はほとんどまたは全く生じません。一方、トラフィックが拡大し、アプリケーションがサーバーのコンピューティングサイクルやストレージを消費すると請求額が上がります。
パブリック・クラウド・サービスで稼働する自社構築 CIAM ソリューションに、クラウドベンダーのセキュリティ、サービス、サポートが自動的に適用されることはありません。
15構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
クラウドのコストをオンプレミスインフラストラクチャと比較するMicrosoft と Amazon は、オンプレミスと自社パブリッククラウド上にホストした場合の TCO を比較するオンライン計算ツールを提供しています。12 このホワイトペーパーの執筆時には、Google が提供している価格計算ツールには TCO の比較機能はありませんでした。Web 上には同様の計算ツールが他にもあります。
これらのツールでわかるのは、実際のコストの概算にすぎません。実際のコストはさまざまな要因の影響を受けるため、ケースバイケースで分析する必要があります。
クラウドベンダーのロックインのリスクパブリッククラウドの大手ベンダーはサービスの品揃えを増やしつつあります。この傾向は、1 つの大規模なクラウドプロバイダーにすべてを任せるアプローチにつながるものであり、ZDNet の Larry Dignan
氏が指摘しているように、大規模なエンタープライズソフトウェアが展開された時期に多くの CIO が選んだモデルと同様です。13 いったんアプリケーションとデータを 1 つのクラウドプラットフォームに移行すると、あとで移行をやり直そうとしても、作業が複雑になり、大きな費用がかかります。そのため、たとえ価格や最新のテクノロジーの面でもっと有利なクラウドベンダーがあっても、移行しにくくなる可能性があります。
マルチベンダークラウドを採用すれば、このような制約リスクは軽減しますが、CIAM ソリューションの設計に必要な労力とリソースが増えます。異なるベンダーのテクノロジーに関する専門知識を獲得し、それを維持する必要があるためです。
セキュリティ、サービスレベル、サポートパブリッククラウドの大手ベンダーは提供サービスのテクノロジー、インフラストラクチャ、セキュリティに大きな投資をしているので、大手ベンダー 1 社の大規模パブリッククラウドを利用する CIAM ソリューションはリソースの面で有利と言えます。こうしたベンダーは、サービスの多くで 99.5% の可用性を提供し、セキュリティ認定や業界の認定を多数取得しています。
16構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
そのため、自動的にセキュリティと信頼性が確保されるという錯覚に陥りがちです。しかし、パブリッククラウド上に構築されるソフトウェアプロジェクトの可用性とセキュリティは、そのままではどれも同じレベルになり、クラウドベンダーが自社サービスに取得した認定でカバーされることはありません。これは、CIAM ソリューションも同じであり、自社開発であろうと市販の商品であろうと関係ありません。
CIAM ソリューションの可用性とセキュリティを、基盤となるクラウドインフラストラクチャと同レベルにするためには、かなりの労力、専門知識、経験が必要とされます。
たとえば、Akamai Identity Cloud ソリューションは、多数の保証プログラムによる認定／コンプライアンス評価を受けています。これには、ISO 27001:2013, ISO 27018:2014 （クラウドの PII 防御）、SOC 2
Type II（5 つの Trust Principle すべて）、HIPAA（ヘルスケアデータの保存）、HITECH（ヘルスケアデータの伝送）、Cloud Security Alliance（CSA STAR）、U.S.-E.U.Privacy Shield Framework（TRUSTe によるレビュー）、TRUSTe プライバシープログラムなどが含まれています。社内構築ソリューションでこのレベルのセキュリティ認定やコンプライアンスを取得することは、通常、実現不可能であり、経済的にも合理的とは言えません。
16構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
17構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
フリー／オープンソースソフトウェア（FOSS）の活用： よくある基本的な誤り
独自の CIAM ソリューションを構築する組織は、ほとんどの場合、かなりの部分をフリー／オープンソースソフトウェア（FOSS）に依存することになります。現在では、ほぼすべてのインフラストラクチャやアプリケーションスタックに FOSS に基づく多様なコンポーネントが利用されています。企業はライセンスにより FOSS のソースコードの取得、共有、変更が許可されます。よく知られている FOSS の例としては、Linux オペレーティングシステム、Apache ウェブサーバー、OpenSSL（安全なデータ暗号化のツールキット）などを挙げることができます。FOSS の開発には通常、コントリビューターのオープンコミュニティやコミュニティベースの審査プロセスが関わります。該当コードへのコントリビューションや変更がメイン・ソース・ツリーに採用されるかどうかは、こうしたコミュニティやプロセスによって決まります。
特定の FOSS コンポーネントがエンタープライズグレードの社内プロジェクトの選択肢として有効かどうかを判断する際には、こうした基本事項を念頭に置くことが重要です。DevOps チームは FOSS
コンポーネントの実際の機能や品質のみに注目しがちです。たとえば、必要な機能が適切に実行されるか、というような点です。このような基準で見れば、多くの FOSS コンポーネントが簡単に評価を通過すると思われます。豊富な機能を備え、高品質で、幅広く利用されているソフトウェアプロジェクトのなかには、FOSS として開発されているものもあります。
ただし、FOSS については誤解も多く、大規模な商用プロジェクトのアプリケーションやインフラストラクチャスタックの一部として
FOSS コンポーネントを使用する場合、労力やコストの想定を誤りがちです。こうした誤解は上記のフリーソフトウェアの基本的な特性に関連しています。
「フリーソフトウェア」はコストがゼロではない
通常、こうしたソフトウェアは無料でダウンロードして利用できますが、FOSS コンポーネントを稼働させるには、労力とリソースが必要となり、コストがかかります。実際、「フリー」という言葉は本来「無料」を意味するものではありません。これについては、Free Software Foundation の Richard Stallman 氏が次のように説明しています。「フリーソフトウェアとは、ユーザーの自由とコミュニティを尊重するソフトウェアを意味しています。おおまかに言えば、ユーザーはこのようなソフトウェアを自由に実行、コピー、配布、調査、変更、改善できるという意味です。したがって、フリーソフトウェアで問題とされているのは、価格ではなく、自由なのです。これは、フリースピーチとフリービールのフリーの違いを思い浮かべればよくわかると思います。」14
FOSS コミュニティから新たなアップデートがリリースされるたびに、テストや展開にかなりのリソースを費やす必要があります。また、依存している機能や互換性が変更されないという保証はありません。
検討事項
17構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
18構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
開発とバグ修正のすべてをコミュニティに頼ることはできないソフトウェアプロジェクトが、たった 1 人またはごく少数の人の利害に左右されることがないということは、コミュニティベースの開発モデルの利点の 1 つです。開発者のコミュニティは、いつでも自由にリリース間の整合性を破ったり、API、インタフェース、またはデータ構造を根本的に変えたり、機能の削除や追加を行ったりすることができます。しかも、多くの商用ユーザーのニーズによって変更の速度が抑制されることはありません。商用ユーザーにとって、こうした変更への対応は難しく、その実装には大きなコストがかかります。
俊敏な変更はイノベーションサイクルを大きく前進させます。しかし、FOSS コンポーネントを使用している企業が大規模な商用ユーザーである場合は、アプリケーションスタックを構成するコンポーネントのアップデートおよび新バージョンのリリースやテストに大きなリソースを投じる必要があり、最終的に問題が生じることもあります。アプリケーションの他の部分との整合性を崩す大掛かりなコード変更の導入をコミュニティが決定した場合、スタックの修正（再設計の可能性もあります）にかかるコストと労力は甚大なものとなる可能性があります。もしも、このような変更が重大なセキュリティ修正の一環として導入されたとしたら、企業は、アップデートの実装を待つこともできない状況に陥る可能性があります。当分の間、サイトと顧客データを脆弱な状態にしておくリスクを受け入れることになるからです。
FOSS コンポーネントの新バージョンが出るたびにアップグレードすることはできないかもしれません。しかし、コミュニティが提供したコードパッチやアップグレードバージョンを長期間無視していると、やがて緊急のセキュリティ修正やその他のバグ修正を古いバージョンに適用できなくなる日が来ることは間違いありません。
ライセンスコンプライアンスこのホワイトペーパーの執筆時点では、Open Source Initiative に承認されたオープン・ソース・ライセンスは 83 種類ありました。このほかに、同団体に承認されていないライセンスの数は数百にのぼります。15 FOSS コンポーネントを使用している企業はこれらのライセンスを確実に遵守し、その義務を理解しなければなりません。特にオープン・ソース・ソフトウェアを再配布する場合は自社の知的財産に関係する可能性のある事項を理解することも必要です。
オープン・ソース・プロジェクトは方向転換や終了の可能性もあるオープン・ソース・プロジェクトはさまざまな理由で変更される可能性があります。当初に開発動機となったニーズや要件が変化したためにプロジェクトの方向性の変更が決まる場合もあれば、コミュニティ内で方向性、テクノロジー、ライセンスに対する意見の相違が生じて分裂し、ソースコードに新たなプロジェクトや分岐が作成される可能性もあります。アイデンティティ管理ソリューションに特有の例としては、OpenDS と OpenSSO のプロジェクトを挙げることができます。これらは、元々 Sun Microsystems によって作成され、ForgeRock が提供する製品のベースとして使用されました。ライセンスの変更後、 分岐してコミュニティが分割されました。16
18構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
19構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
購入オプション
従来の IAM ソリューション専用の商用アイデンティティソリューションは 2 種類あります。
• 従来型のアイデンティティアクセス管理（IAM）
• カスタマー・アイデンティティ・アクセス管理（CIAM）
CIAM に必要なテクノロジーは従来の IAM と同じであるという誤解をよく耳にします。従来の IAM ソリューション（エンタープライズまたは従業員 IAM と呼ばれることもあります）は、従業員または企業の既知のビジネスパートナーのみを企業ネットワークとそのリソースにアクセスできるようにする IT システムです。
一般的に従来の IAM は十分に確立されているため、「社内にはすでにこのテクノロジーがあるのだから、これを顧客に拡張することは難しくないはず」という誤った臆測をする企業もあります。このような考え方をしてしまうのは、従業員向けの IAM と顧客向けの IAM の違いや、公開している企業のデジタルプロパティに対するカスタマーアイデンティティ管理の複雑さを極端に過小評価しているからです。CIAM
の要件は、従業員 IAM とはまったく異なり、はるかに厳しいものです。そのため、従業員向けの IAM ソリューションを再利用すると問題が生じる可能性があります。
従来の IAM は、従業員が社内システムに便利にアクセスできるように設計されているため、ユーザーが誰であるかについての知見は提供できません。実際、アイデンティティは想定されていて、高度なデータ（ユーザーがとるアクションや、デジタルの世界でユーザーのジャーニーや行動を左右するものなど）の追跡はできません。しかし、企業は顧客を理解し、デジタル市場での競争力を得るために、この種のデータ知見を必要としています。
セキュリティの面から見ると、このようなアイデンティティの想定はリスクをもたらします。IAM システムのユーザーはその企業の既知の社員であり、アクセス権は通常人事または IT 部門が決定します。 一方、CIAM ソリューションを採用しているアプリケーションやプログラムは、未知のユーザーがインターネットを通じて登録するので、アイデンティティの想定は不可能であり、すべきではありません。悪意あるユーザーは比較的簡単に不正なアカウントを作成できます。また、悪意のないユーザーであっても偽りのデータを使用して登録する可能性があります。アイデンティティ管理システムは、この違いを認識できなければなりません。
カスタマー IAM ソリューションの 機能と要件は、従業員向け IAM ソリューションとは根本的に 異なります。
20構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
従来の IAM システムと CIAM システムには、もう 1 つ重要な違いがあります。それは拡張性です。最大規模の企業でも、従業員 IAM システムで管理しているアイデンティティの数は数万程度と考えられます。しかし、大量の商品を扱うブランドでは、数千万または数億規模の顧客アカウントを同時に処理する必要があります。
カスタマー IAM ソリューションAkamai Identity Cloud のような専用 CIAM プラットフォームは最初から膨大な規模のカスタマーアイデンティティを処理できるように設計されているので、企業はカスタマー・プロファイル・データから最大限の価値を得ることができます。
CIAM ソリューションはシームレスでフリクションのない顧客体験を実現するので、ログイン、認証、設定管理などのタスクによってアクティビティが妨げられたり、消費者を競争相手にとられたりすることはありません。さらに、CIAM テクノロジーは、公衆ネットワーク全体で個人データのセキュリティを確保するという重要なニーズにも対応します。世界でビジネスを展開する企業は、CIAM を使用することで、頻繁に変化するさまざまなプライバシー要件を遵守することができます。
オンプレミス「構築」オプションと同様、商用 CIAM ソリューションは、オンプレミスのデータセンター内の自社ハードウェア上で稼働させることができます。このオプションでは、実際の CIAM 機能を開発する必要はありませんが、前述したとおり、ハードウェアと施設の所有および運用に関連したコストと労力は残ります。また、 ビジネス継続性／災害復旧、信頼性、潜在的なパフォーマンスと遅延の問題も解決されません。トラフィックのフェイルオーバーや分散に対応するには物理的データセンターが不十分であるためです。
ホステッド（疑似クラウド）CIAMクラウドベースの商用 CIAM ソリューションを選択すれば、前述のような労力は不要になり、さらに複雑さも軽減されます。ただし、ベンダーがホステッド CIAM の説明で「クラウドベースである」、「サービスとしてアイデンティティを提供する（IDaaS）」と主張している場合、その意味を細かく検証し、 正確に把握する必要があります。
Akamai Identity Cloud は、膨大な規模のカスタマーアイデンティティを処理できるように、そして利用企業がカスタマー・プロファイル・データから最大限の価値を得ることができるように、エンジニアチームによって基礎から設計されています。
21構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
多くの CIAM ソリューションは従来型の IAM から進化したものです。通常、このようなソリューションの元々のアーキテクチャは、購入した企業が自社オンプレミスハードウェアにアプリケーションをインストールして稼働させる必要がある従来型の柔軟性の低いアプリケーションと同じです。
こうしたソリューションを「クラウド化」するため、多くのベンダーはクラウド内のサーバーでソリューションをホストするという単純な方法を採っています。この考え方には、ソフトウェアをオンプレミスでも、またプライベートクラウドやパブリッククラウドでも稼働できるというメリットがあります。ただし、このような CIAM ソリューションの本来のアーキテクチャには、最新のクラウド環境のメリットを完全に活かす機能はありません。 このアプローチには、トラフィックピークに対応したり、インスタンス間やリージョン間で即座にフェイルオーバーするといった柔軟な拡張機能もありません。
このような「疑似クラウド」ソリューションでは、多くの場合、クラウドにおけるリソース共有の経済的メリットも完全には活用できません。これらのアーキテクチャは、高度にモジュール化した分散マルチテナント環境で稼働するような設計にはなっていないのです。多くの場合、クラウド向けのネイティブ設計ソフトウェアでの共有に対応するため、多数の重複した機能コンポーネントが使用されています。
クラウドベース（クラウドネイティブ）CIAM
最新のクラウドで稼働するように設計されている CIAM ソリューションは、クラウド環境の共有リソースモデルや規模の経済を十分に活用できます。ただし、多くの場合、プライベートクラウド環境でのオンプレミス構成には対応できません。
このような「クラウドネイティブ」モデルを採用する企業は、ハードウェアやデータセンターのリソースを提供せずに済み、またクラウドプロバイダーの選択に悩む必要もありません。高レベルの効率化や最適化も可能となります。
アーキテクチャの問題クラウドネイティブソリューションであっても、ベンダーからアプリケーションの詳細な説明を受ける必要があります。拡張性、信頼性、セキュリティを達成するための手段、SLA の一環として提供される可用性、過去 12～ 36 か月に達成した実際の可用性を明確に知ることが重要です。
次の事例について考えてみてください。2016 年、オーストラリアのブリスベンからニューサウスウェールズ州サウスコーストにかけて、猛烈な台風が襲い、週末に広範囲の洪水と海岸浸食が発生しました。あるパブリック・クラウド・ベンダーの地域サーバーがホストされているデータセンターにも被害が及び、多くのクラウドサービスが停止して、顧客に影響が生じました。
ホステッド CIAM ソリューションはクラウドソリューションとは異なります。トラフィックピークやインスタンス間およびリージョン間の迅速なフェイルオーバーに対応できるだけの拡張性がない場合もあります。
と
22構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
オーストラリアの Akamai のお客様で、その地域最大の B2C ブランドの 1 つは、顧客がアクセスする同社サイトのほとんどに、このパブリック・クラウド・ベンダーを使用していたため、停電によってシステムが大きな影響を受けました。そのクラウドベンダーは約 6 時間後に復旧しましたが、このブランドの自社サイトが完全に復旧するには数日かかりました。
しかし、この台風の影響をほとんど受けなかったサービスが 1 つありました。それが Akamai Identity
Cloud だったのです。Akamai がすぐに回復し、データ損失もなかったのは、グローバルな可用性を最大限に考慮して構築されたクラウドネイティブアーキテクチャを採用しているためです。
Identity Cloud は自動的に他の地理的地域へのフェイルオーバーを開始し、トラフィックの引き継ぎとリルートを行いました。さらに、バックアップリージョンに切り替えるだけでなく、バックアップシステムの障害に備えて、他のまだ機能しているリージョンをフォールバックとして指定しました。このお客様のカスタマー・アイデンティティ・データは Akamai の通常のデータバックアップ手続きの一環として、フェイルオーバー先リージョンで利用可能になっていました。
Akamai Identity Cloud は、複数の地域でデータセンターの停止や停電が発生するような大規模な障害が発生しても、機能を維持し、パフォーマンス SLA を満たすように設計されています。リージョン間のフェイルオーバーシナリオやデータバックアップについては、定期的にテストを実施し、独立した監査機関による機能の確認が行われています。
このお客様は、オーストラリアでの台風の後、システムを再設計して今後同様の被害が生じないようにするために、Akamai にガイダンスを依頼しました。
地理的分散の重要性オーストラリア南部を大型台風が襲い、あるパブリック・クラウド・ベンダーのデータセンターが被害を受けた時、Akamai Identity Cloud は即座にバックアップして稼働し、データ損失は生じませんでした。
23構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
結論商用 CIAM ソリューションには、重要な利点がいくつかあり、社内の IT 部門が独自にソリューションを構築しようとする場合よりも有利です。サードパーティベンダーを利用すれば、グローバルな可用性や拡張性から SLA による保証やセキュリティ認定まで、大きな能力とリソースを得ることができ、継続的な調査と開発も可能となります。これにより、社内の IT チームはビジネスに重要な他の計画に注力できます。
最新のクラウドの機能を活用してリソースを共有し、柔軟な拡張性を提供し、マルチリージョンのフェイルオーバーや災害復旧に対応できる CIAM ソリューションは、多彩な機能を備えた IDaaS を提供し、社内開発では実現が困難なレベルのセキュリティを達成できます。同時に、データセンターの設備やハードウェアを所有し運用する必要性もなくなります。
アイデンティティ管理の自社構築は実現可能なように思えるかもしれません。しかし、市場の要件や消費者の期待の変化に対応しながら、ソリューションをサポートし、維持し、進化させるには、かなりの労力や資金、そして長期的な社内リソースと専門知識が必要となります。こうした要件を過小評価するリスクがあるのです。商用 CIAM ベンダーは、テクノロジー、消費者、市場、規制による変化への対応では有利な立場にいます。なぜなら、提供する商品の競争力を維持し、販売できるものにするためには、サービスを進化させざるを得ないからです。
ほとんどのケースで、「構築」オプションよりも「購入」オプションが推奨されます。さらに、ほとんどの企業にとって、クラウドネイティブな既製のアイデンティ管理ソリューションが目的、ニーズ、リソースに適した望ましい選択肢と言えます。とは言え、企業はそれぞれの状況に応じて選択肢を評価し、 自社のケースにはどちらが有利であるのか判断する必要があります。
詳細については、 akamai.com/ciam または Akamai の「購入者向けチェックリスト： CIAM ソリューション選択時の 10 の検討事項」をご覧ください。
23構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
24構築か購入か？カスタマー・アイデンティティ・アクセス管理（CIAM）ガイド
出典
1) https://www.dynatrace.com/news/blog/how-fast-is-fast-enough-tmobile/
2) Google：Using page speed in mobile search ranking（モバイル検索ランキングでのページ速度の使用）、2018 年 1 月
3) https://chatbotsmagazine.com/how-with-the-help-of-chatbots-customer-service-costs-could-be-reduced-up-to-30-b9266a369945
4) https://blogs.aspect.com/web-chat-faq-average-costs-vs-handle-time-and-efficiency/
5) https://www.ibm.com/blogs/watson/2017/10/how-chatbots-reduce-customer-service-costs-by-30-percent/
6) https://www.ibm.com/security/data-breach
7) Gonzalez など「Information Systems Outsourcing Reasons and Risks（情報システムをアウトソースする理由とリスク）」2010
8) https://www.wrike.com/blog/complete-collection-project-management-statistics-2015/
9) Improving IT Project Outcomes by Systematically Managing and Hedging Risk（リスクの系統的な管理とヘッジで IT プロジェクトの成果を改善）、
Dana Wiklund および Joseph C. Pucciarelli による IDC レポート
10) The Standish Group：CHAOS レポート、2016
11) GDPR、Art. 22：「Any processing of personal data in the context of the activities of an establishment of a controller or a processor in the Union
should be carried out in accordance with this Regulation, regardless of whether the processing itself takes place within the Union.（欧州連合内での
コントローラーやプロセッサーの確立活動に関連した個人データの処理は、その処理が欧州連合内の地域で実行されるかどうかに関係なく、この規
制に従うものとする。）」
12) Microsoft：Total Cost of Ownership（TCO）Calculator（総所有コスト［TCO］カルキュレーター）、AWS：Total Cost of Ownership (TCO)
Calculator（総所有コスト［TCO］カルキュレーター）
13) https://www.zdnet.com/article/enterprises-learning-to-love-cloud-lock-in-too-is-it-different-this-time/
14) Free Software Foundation：What is free software?（フリーソフトウェアとは？）The Free Software Definition（フリーソフトウェアの定義）、
https://www.gnu.org/philosophy/free-sw.en.html
15) Open Source Initiative：Licenses by Name（名称別ライセンスリスト）、https://opensource.org/licenses/alphabetical
16) http://www.timeforafork.com/
Akamai は世界中の企業に安全で快適なデジタル体験を提供しています。Akamai のインテリジェントなエッジプラットフォームは、企業のデータセンターからクラウドプロバイダーのデータセンターまで全てを物理的に網羅し、企業とそのビジネスを高速、スマート、そしてセキュアなものにします。マルチクラウドアーキテクチャの力を拡大させる、俊敏性に優れたソリューションを活用して競争優位を確立するため、世界中のトップブランドが Akamai を利用しています。Akamai は、意思決定、アプリケーション、 体験を、ユーザーの最も近くで提供すると同時に、攻撃や脅威は遠ざけます。また、エッジセキュリティ、ウェブ／モバイルパフォーマンス、エンタープライズアクセス、ビデオデリバリーによって構成される Akamai のソリューションポートフォリオは、比類のないカスタマーサービスと分析、365 日 /24 時間体制のモニタリングによって支えられています。世界中のトップブランドが Akamai を信頼する理由について、 www.akamai.com/jp/ja/、 blogs.akamai.com/jp/、 Twitter の @Akamai_jp でご紹介しています。全事業所の連絡先情報は、 www.akamai.com/jp/ja/locations.jsp をご覧ください。公開日：2019 年 5 月。
