昨今では従来のIDとパスワードによる認証から、高いセキュリティ強度を実現できる多要素認証が注目を集めています。一方で多要素認証は基礎的な知識と運用の注意点を守らなければ、安全と言い切れる対策ではありません。
そこで本記事では、多要素認証が注目されている背景や多要素認証を運用する際の注意点などについて解説します。
ページコンテンツ
多要素認証とは？
多要素認証（MFA：Multi-Factor Authentication）とは、IDやパスワードなどの「知識情報」のほか「所持情報」、「生体情報」から、2つ以上の要素を組み合わせて認証する方式です。所持情報を使った認証では主にスマートフォンやICカードが用いられ、生体情報では指紋や静脈など身体的な要素を用いて認証を行います。
本章では、多要素認証のメリットと二段階認証との違いについて解説します。
多要素認証のメリット
多要素認証のメリットは、単要素認証と比較してセキュリティリスクを軽減できることです。
パスワードのみで認証を行うような単要素認証はハッキングリスクが高く、セキュリティ対策上の欠点がありますが、複数の要素を組み合わせる多要素認証ではセキュリティレベルを大幅に高めることができます。
一方で多要素認証は知識情報・所持情報・生体情報といった複数の情報を管理する必要があることから利便性に欠けると思われがちです。しかし、一度認証すれば関連付けられている複数のシステムやサービスにログインできるシングルサインオン(SSO)を利用することで利便性の維持向上を図ることが可能です。
シングルサインオン(SSO)については以下の記事でご紹介していますので、あわせてご覧ください。
多要素認証と二段階認証の違い
多要素認証とよく混同されがちなのが二段階認証です。二段階認証では、名前の通り認証にあたり2つの段階を経る必要がありますが、要素の種類は問わないという特徴があります。そのため、パスワード（知識情報）での認証をした後に生年月日（知識情報）で認証するという段階を踏む場合もあります。
上述のような知識情報のみでの認証の場合、サイバー攻撃などで両方の知識情報が流出してしまうと認証が突破されてしまう可能性があります。このようなリスクを回避できる多要素認証は二段階認証よりもセキュリティ面で優れていると言えます。
従来のパスワード認証より優れたセキュリティを実現する多要素認証は、昨今必要性が高まってきています。次章ではその背景を３つご紹介します。
多要素認証の必要性が高まる3つの背景
多要素認証の必要性が高まる理由として、従来のパスワード認証の限界があります。では、なぜ従来のパスワード認証が限界を迎えているのでしょうか。
クラウドサービスの普及
1つ目はクラウドサービスの普及です。昨今では新型コロナウイルスの影響や働き方の多様化によってテレワークを取り入れる企業が急激に増加しました。テレワークの環境を整えるため多くの企業がクラウドサービスを利用しています。
総務省の「令和3年 情報通信白書」によれば、クラウドサービスを利用している企業は2016年には46.9％でしたが、2020年には68.7％にまで増加していることがわかります。
クラウドサービスが普及するにつれ社外から機密情報にアクセスできる機会も増えていることから、多要素認証によるセキュリティ高度化の必要性は高まると言えます。
サイバー攻撃の増加
サイバー攻撃が増加していることも多要素認証の必要性が高まっている背景の1つです。
総務省の「サイバー攻撃に関する最近の動向」によると、不正アクセスの件数は2018年に1,486件でしたが、翌年の2019年には2,960件と約2倍にまで急増していることがわかります。加えて、テレワーク環境を狙った攻撃についても2019年と2020年では3.4倍にまで攻撃数が増加しています。
このようにサイバー攻撃の脅威が急激に高まっていることからセキュリティを向上できる多要素認証はこれまで以上に重要となります。
管理するアカウント数の増加
クラウドサービスの利用増加をはじめ、現在では複数のサービスやアプリケーションを利用することが一般的です。利用者はアカウントの数だけパスワードを管理しなければならず、その負担は非常に大きなものとなっています。
認証情報を管理する負荷が増大してしまうと、複数のアカウントで同一のパスワードを設定してしまったり、推測が容易なパスワードを設定してしまったりといった事態につながってしまい、セキュリティ強度が低下してしまいます。
この課題を解決する策として、シングルサインオン（SSO）があります。セキュリティ強度が低いID/パスワードでは、利用するクラウドサービス全てが不正ログインされる可能性が高まるため、多要素認証を組み合わせてセキュリティ強度を高めます。
セキュリティを強化できる多要素認証ですが、運用をしていくうえではいくつか注意しておかなければならない点もあります。次章では多要素認証を運用する際の注意点についてご紹介します。
多要素認証を運用する際の注意点
多要素認証は正しく運用することで、高いセキュリティ強度を実現できます。一方で、多要素認証に用いる情報やデバイスを他人が使いまわしできるような誤った運用であるとセキュリティ強度が低下してしまうため、利用するアプリケーション、従業員、部署、場所を考慮した認証方式の選定が必要です。
また、多要素認証はサイバー攻撃を受けても突破されにくい対策であり、攻撃自体を受けなくするものではありません。そのため、サイバー攻撃への対策、内部不正対策、マルウェア対策といった一般的なセキュリティ対策も並行して実施することが企業・組織全体におけるセキュリティ強度を高めるうえでは重要です。
多要素認証でセキュアかつ効率的なアクセスを実現
多要素認証では知識情報・生体情報・所持情報といった要素を2つ以上組み合わせることによって高いセキュリティを実現できます。しかし、正しく運用されなければ効果は十分に発揮されません。企業や組織におけるセキュリティを確保するためには運用・管理体制を考慮したうえで、ほかのセキュリティ対策も怠らないことが重要です。
DAIKO XTECHでは、多要素認証に関するソリューションを提供しています。
「トラスト・ログイン」は、多要素認証により、クラウドサービスだけではなく、企業独自のWEBアプリケーションへのセキュアなシングルサインオンを実現でき、ID/パスワード管理のコストを削減することが可能です。
「HENNGE One」は、さまざまなクラウドサービスへのセキュアなシングルサインオン（SSO）の実現に加え、メール誤送信や脱PPAP対策などメールセキュリティ機能も搭載しています。
「トラスト・ログイン」や「HENNGE One」にご興味のある方は
以下リンクよりご覧ください。
