電子認証のメリットとデメリットとは？なりすましを防ぐ効果と運用で起きやすい課題を解説

電子認証の考え方と主な方法

本人だと確かめる方法には、いくつかの種類があります。何をもって本人と判断するかで分類すると、違いがわかりやすくなります。まずは代表的な考え方と方法を整理しましょう。

本人だと確かめる3つの手がかり

本人確認の手がかりは、大きく3つに分けられます。本人しか知らないこと、本人だけが持っているもの、本人の体そのものです。パスワードは1つ目、スマートフォンやICカードは2つ目、指紋や顔は3つ目にあたります。

この3つのうち、2種類以上を組み合わせる方法を多要素認証と呼びます。パスワードだけだと、それが漏れれば入られてしまいます。組み合わせておけば、片方が漏れてももう一方で止められるため、なりすましを防ぎやすくなります。

よく使われる方法の違い

実際によく使われるのは、スマートフォンのアプリに表示される数桁の番号を入力する方法、登録した電話番号にメッセージで番号を送る方法、ICカードを読み取り機にかざす方法、指紋や顔を読み取る方法などです。それぞれ、手軽さと導入の手間が違います。

どれか一つが優れているというものではありません。使う場所、対象になる人、扱う情報の重要さによって、適した組み合わせは変わります。全社で同じ方法にそろえず、業務ごとに分ける進め方もあります。

電子認証を導入するメリット

電子認証の効果は、安全を高めることだけではありません。日々の手間や、管理する側の負担にも関わります。3つの角度から利点を整理します。

なりすましによる被害を防ぎやすくなる

パスワードは、使い回しや推測されやすい文字列によって、外部に知られてしまうことがあります。知られた場合、正規の利用者になりすまして社内の情報を見られる恐れがあります。誰かが入り込んでも、記録の上では正規の利用に見えるため、気づきにくい点も問題です。

持ち物や体の特徴を組み合わせておけば、パスワードだけが知られても入られにくくなります。心当たりのない確認の通知が届いた時点で、利用者本人が異変に気づける場合もあります。被害の広がりを抑えるうえで効果が期待できます。

パスワードに関する問い合わせを減らせる

情報システムの担当者には、パスワードを忘れた、ロックがかかったといった問い合わせが集まりがちです。一件ごとの対応は短くても、数が多いと相当な時間になります。対応する側だけでなく、待っている利用者の仕事も止まります。

指紋や顔で入れる形にすれば、覚えておく必要そのものが減ります。1回の確認で複数のシステムを使えるようにする仕組みを組み合わせれば、入力の回数も減らせます。問い合わせの件数が減った分を、別の業務に振り向けられます。

誰がいつ使ったかを確かめられる

電子認証を通す形にすると、いつ誰がどのシステムに入ったかの記録が残ります。この記録があれば、想定していない時間帯の利用や、普段と違う場所からの利用に気づけます。問題が起きたときに、経緯をたどる手がかりにもなります。

取引先や監査で管理の状況を聞かれたときにも、記録があれば説明しやすくなります。ただし、記録は残しているだけでは役立ちません。誰がどのくらいの間隔で確認するのかを決めておくことが重要です。

電子認証のデメリットと運用の課題

導入すればすべてが解決するわけではありません。使い始めてから困りやすい点を、先に知っておきましょう。ここでは3つの課題を取り上げます。

導入と運用に費用がかかる

利用する人数に応じた料金がかかる形が多くあります。ICカードや読み取り機を使う場合は、機器の購入費に加えて、カードの発行や再発行の費用も必要です。メッセージで番号を送る方法では、送信のたびに費用がかかる場合もあります。

費用を比べるときは、料金表の金額だけを見ないようにしましょう。対象を全社に広げたときの総額、機器の入れ替え時期、設定を手伝ってもらう費用が別かどうかも確認します。今かかっている問い合わせ対応の時間を書き出しておくと、比べる目安になります。

手間が増えて使われなくなる恐れがある

確認の手順が増えると、利用者は「面倒だ」と感じます。1日に何度も番号の入力を求められる設定にすると、業務の流れが止まってしまいます。使いにくさが理由で、回避する方法を探す人が出てくることもあります。

この課題を減らすには、一定時間は再確認を求めない設定にする、社内からの接続では簡略にするといった調整が有効です。どの業務にどこまでの確認を求めるかを分けて考えましょう。導入前に一部の部門で試し、現場の声を聞いてから広げる進め方もあります。

端末をなくしたときの対応を決めておく必要がある

スマートフォンやICカードを使う方法では、それをなくしたり壊したりすると、システムに入れなくなります。出張先や休日に起きると、業務が止まる恐れがあります。連絡先と対応の手順を決めておかないと、復旧まで時間がかかります。

誰に連絡し、どうやって本人だと確かめて再登録するのかを、あらかじめ書き出しておきましょう。予備の確認方法を1つ登録させておく方法もあります。対応する担当者を1人に固定せず、複数人が手順を把握している状態にしておくことが重要です。

ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品で比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）で電子認証システムの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。

製品を選ぶときの確認項目

効果が出るかどうかは、対象にする業務と使う人の環境で変わります。つなげる範囲と、困ったときの対応という2つの点から確認しましょう。

使いたいシステムに対応しているか

今使っているグループウェアや業務システム、社外から接続する仕組みに、その製品が対応しているかを確認します。対応していないシステムが残ると、そこだけ今までどおりのパスワード運用になり、効果が半分になってしまいます。

あわせて、社員名簿の情報をどう取り込むかも確かめましょう。入社や退職のたびに手作業で登録すると負担が増えます。人事のシステムから自動で取り込めるか、取り込みが止まったときに管理者へ知らせが届くかを、比べる段階で確認しておきましょう。

困ったときに相談できる体制があるか

入れなくなった利用者への対応は、時間との勝負です。管理する画面から自分たちで解除できるのか、提供している会社に連絡する必要があるのかを確認しましょう。連絡できる時間帯が平日の日中だけなのかも、確かめておきたい点です。

設定の変更を自社で行えるかも重要です。部門ごとに確認の強さを変えたい、新しいシステムを追加したいといった場面で、そのつど依頼が必要だと時間がかかります。どこまで自社で操作でき、どこから相談が必要かを、見積もりの段階で聞いておきましょう。

本人確認や証明書の発行に対応したサービス

利用者や機器の正当性を確認する仕組みとして、証明書の発行や本人確認を扱うサービスを紹介します。

マネージドPKI Lite byGMO

GMOグローバルサイン株式会社

資料請求リストに追加

製品詳細ページへ ＞

《マネージドPKI Lite byGMO》のPOINT

1. フィッシング耐性のあるパスワードレス認証を導入！
2. 初期費用・専用サーバは不要！導入コストを削減
3. 利用する環境に合わせた運用方法で証明書を発行・取得できる

電子認証に関するよくある質問

導入を考えるときによく寄せられる疑問をまとめました。社内で話し合う際の参考にしてください。

Q1： パスワードを複雑にするだけでは足りませんか？

複雑にすることは有効ですが、それだけでは限界があります。偽のサイトに入力させて盗む手口では、複雑さは関係ありません。持ち物や体の特徴を組み合わせておくと、盗まれた場合にも入られにくくなります。

Q2： 導入までにどのくらいの期間がかかりますか？

対象にするシステムの数や、利用者への説明にかかる時間で変わります。一部の部門から始めれば短期間で試せます。全社に広げる場合は、機器の手配や社員への案内の時間も予定に入れておきましょう。

Q3： スマートフォンを持たない社員がいる場合はどうしますか？

ICカードや、番号を表示する専用の小型機器を使う方法があります。方法を一つに決めず、業務や環境にあわせて複数から選べる製品を検討しましょう。どの方法に対応しているかは、比べる段階で確認することが重要です。

Q4： 指紋や顔の情報はどこに保管されますか？

製品によって、端末の中だけに保管する形と、サーバに預ける形があります。保管する場所や、元の画像を残すかどうかは製品ごとに違います。社内の方針にあうかを、資料や説明で確認したうえで判断しましょう。

まとめ

電子認証には、なりすましによる被害を防ぎやすくなること、パスワードに関する問い合わせを減らせること、誰がいつ使ったかを確かめられることという良い点があります。一方で、費用がかかること、手間が増えて使われなくなる恐れ、端末をなくしたときの対応という課題も伴います。まずは対象にしたい業務と利用者の環境を整理し、必要な確認の強さを決めるところから始めましょう。製品を比べたい方は、資料請求を活用してみてください。