ITトレンドがおすすめする製品・サービス
- ■ログイン時のリスク判定の方式別
- リスク検知や状況に応じた認証制御：Okta Workforce Identity、SeciossLink（セシオスリンク）
- 場所・端末・時間帯の条件ルールによる制御：IIJ IDサービス、Secioss Access Manager Enterprise（SAME）、SeciossLink（セシオスリンク）、Okta Workforce Identity
- ■AIを悪用した攻撃への備え別
- FIDO2・パスキーなどフィッシング耐性のある認証：Okta Workforce Identity、IIJ IDサービス、Secioss Access Manager Enterprise（SAME）、SeciossLink（セシオスリンク）、TrustBind、YubiKey
- プッシュ通知認証：SeciossLink（セシオスリンク）
- SAMLなどによるクラウドサービスとのSSO連携：IIJ IDサービス、Secioss Access Manager Enterprise（SAME）、SeciossLink（セシオスリンク）、TrustBind
MFAツールでのAIの活用方法
MFAツールでAIが担う主な役割は、ログインのたびに「いつもと違う点がないか」を判定し、追加の認証を求めるかどうかを決めることです。まずは従来の多要素認証との違いと、AIが使われる理由を整理しましょう。
毎回同じ認証を求める方式との違い
従来の多要素認証は、パスワードに加えてワンタイムパスワードなどを毎回求める方式が中心でした。安全性は高まりますが、社内からのいつもの操作でも同じ手間がかかります。
AIを使う方式では、ログインの状況からリスクを点数のように評価し、低ければ追加認証を省き、高ければ強い認証を求めたり接続を止めたりします。この仕組みはリスクベース認証やアダプティブ認証と呼ばれます。安全性を保ちつつ、社員がふだんどおりに使う場面では手間を減らせる点が特徴です。
人が決めたルールだけでは対応しにくい場面
「海外からのログインは拒否する」のような条件ルールは分かりやすい一方、条件の組み合わせが増えると管理が難しくなります。出張やテレワークで利用場所が変わる社員も多い職場では、ルールが厳しすぎると正規の利用まで止まるおそれがあります。
AIや統計的な分析を使う方式は、利用者ごとのふだんの傾向と比べて判断できる点に違いがあります。ただし、判定の仕組みや学習に使う情報は製品によって異なるため、どこまで自動で判断するのかを資料で確認しましょう。
AIによるリスク判定で見るログイン情報
AIによるリスク判定は、ログイン時に得られる複数の情報を組み合わせて行います。どの情報を見るかによって判定の精度や社員への影響が変わるため、代表的な情報と注意点を押さえておきましょう。
端末と接続元の情報
判定に使われる代表的な情報は、ログインに使った端末、IPアドレス、おおよその地域、ブラウザの種類です。会社が管理する端末かどうか、これまで使ったことのある端末かどうかは、リスクを見分ける手がかりです。
例えば、普段は国内の社用パソコンから使う社員が、初めての端末で海外からログインした場合は、追加の認証を求める対象として扱われます。ただし、VPNやクラウドの中継サービスを経由すると地域が正しく判定されない場合もあるため、自社のネットワーク構成とあわせて確認が必要です。社外から使う機会が多い部署は、試行の対象に含めて判定の傾向を見ておきましょう。
時間帯や操作の傾向
ログインの時間帯や頻度、短時間に離れた別の地域からログインしていないかといった行動の傾向も、製品によっては判定に使われます。深夜に何度もパスワードを間違えている場合などは、不正なログインの試みである可能性を考える材料です。
一方で、夜勤やシフト勤務の職場では、深夜のログインが通常の業務にあたります。部署や職種、勤務形態によって「ふだんの傾向」は違うため、導入初期は判定結果を確認しながら、例外の扱いや判定の厳しさを調整していくことが大切です。
AIを悪用した攻撃と多要素認証の備え
攻撃する側もAIを使うようになり、自然な文面のフィッシングメールや、声や映像をまねたなりすましが作られやすくなっているといわれます。多要素認証（MFA）ツールを入れていても突破される手口があるため、認証要素と手続きの両面から備えましょう。
本物そっくりの偽サイトへの対策
生成AIを使うと、日本語として自然なメール文面や、本物に近いログイン画面を短時間で作れるようになりました。偽の画面にパスワードとワンタイムパスワードを入力させ、そのまま本物のサイトに中継してログインする手口では、認証方式によっては多要素認証が突破される場合があります。
対策として、正規のサイトに対してだけ認証が成立するFIDO2やパスキーの採用が有効です。プッシュ通知を使う場合は、画面に表示された番号を入力させる番号照合を組み合わせると、何度も通知を送って誤って承認させる手口への備えにもなります。
なりすましによる再登録の依頼への対策
攻撃者が社員になりすまし、ヘルプデスクに「スマートフォンをなくしたので認証を解除してほしい」と依頼する手口にも注意が必要です。AIで声や映像をまねる技術が使われると、電話やビデオ通話だけでは本人と見分けにくくなる可能性があります。
認証の解除や再登録は、上長の承認や社内システム上の申請を必須にするなど、会話だけで完結しない手順にしておきましょう。手順を文書にして複数の担当者が同じ基準で対応できるようにすると、特定の担当者の判断に頼らずに済みます。依頼の記録を残しておけば、不審な依頼が続いていないかを後から確認する手がかりにもなります。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）で多要素認証（MFA）ツールの一括資料請求が可能です。浮いた時間で、じっくりと製品の比較検討を進めましょう。
生成AIサービスの利用にもMFAをかける
社内で生成AIサービスを使う場合、そのアカウントにも多要素認証をかけておくことが大切です。入力した業務情報や会話の履歴が残るサービスもあるため、ほかのクラウドサービスと同じ水準で守りましょう。あわせて、AIや自動処理が使う認証情報の扱いも整理しておく必要があります。
業務で使うAIサービスのアカウント保護
生成AIサービスには、入力した文書や会話の履歴、社内向けに設定した指示などが保存される場合があります。アカウントを乗っ取られると、これらの情報を見られたり、管理者の設定を変えられたりするおそれがあります。
法人向けのAIサービスでは、SAML（ログイン情報を安全に受け渡す標準的な仕組み）で社内のID管理基盤と連携できるものがあります。MFAツールやID管理基盤と連携すれば、ほかのクラウドサービスと同じ認証ルールをAIサービスにも適用でき、退職者のアカウント停止もまとめて行えます。
AIエージェントや自動処理の認証情報
AIエージェント（指示を受けて操作を自動で進めるAI）や自動処理の仕組みは、人の代わりにシステムへ接続するため、APIキーやサービス用のアカウントを使います。これらは人が操作しないため、通常のMFAをそのままかけられない場合があります。
そのため、権限を必要な範囲に絞る、キーを定期的に更新する、接続元を限定する、利用の記録を残すといった別の管理が必要です。人のアカウントはMFAで守り、AIや自動処理の認証情報は権限とログで管理するという分担で考えましょう。
AI搭載MFAツールの運用のコツと導入前の準備
AIによるリスク判定は便利な一方、判定を誤る可能性もあります。導入後に社員が業務で困らないよう、判定結果の扱いと記録の確認方法を事前に決めておきましょう。
誤った判定が起きたときの扱い
リスク判定では、正規の社員を危険と判断して止めてしまうことも、不正なログインを見逃すこともあり得ます。止められた社員がどこに連絡し、どのような確認を経て利用を再開できるのかを、導入前に手順として決めておきましょう。
最初から接続を拒否する設定にするのではなく、まずは追加認証を求める設定や、判定結果を記録するだけの設定で試す方法もあります。一部の部署で試行し、止められた件数や理由を確認してから対象を広げると、業務への影響を抑えやすくなります。試行の結果は、判定の厳しさを決める際の社内向けの説明材料としても使えます。
判定理由とログを確認できるか
AIが「危険」と判断した理由を管理者が確認できないと、社員への説明や設定の見直しが難しくなります。どの情報が判定に影響したのかを管理画面やログで確かめられるかは、製品を比べる際に確認したい項目です。
あわせて、ログの保存期間や書き出しの形式、SIEM（ログを集めて分析する仕組み）への転送に対応しているかも確認しましょう。不正アクセスの調査では、認証の記録を、ファイルサーバやメールなど別システムのログと照らしあわせる場面があります。必要な項目や保存期間は、情報システム部門やベンダーと事前に相談しておくと安心です。
AI搭載のMFAツールを比較するポイント
MFAツールのAI機能は、判定に使う情報や対応できる認証方式が製品ごとに異なります。搭載の有無だけでなく、次の3点で比べましょう。
リスク判定に使う情報の種類
端末の情報、接続元の場所、ログインの時間帯、操作の傾向のうち、どれを判定に使うかを確認します。判定に使える情報が多いほど細かく見分けられますが、収集する情報の扱いも確かめる必要があります。
判定結果に応じて、追加認証を求めるのか、ログインを止めるのかを設定できるかも比べる点です。導入前に、従業員への説明が必要な情報が含まれていないかも確認しておきましょう。
認証方式と対応する利用環境
パスキーや生体認証など、フィッシングに強い方式に対応しているかを確認します。AIを使った偽サイトが増えているため、入力した情報を盗まれにくい方式かどうかは比べたい項目です。
クラウドサービスやVPN、パソコンのログオンなど、自社でMFAをかけたい接続先に対応しているかもあわせて確認しましょう。従業員が使う端末の種類によって対応できる方式が変わるため、スマートフォンの利用有無も確認が必要です。
判定ログの確認と費用の条件
判定の理由やログを管理画面で確認できるかを比べます。誤判定が起きたときに、原因を調べて設定を見直すために必要です。
リスク判定の機能が標準で使えるのか、上位プランやオプションでの提供なのかを確認します。費用はユーザー数に応じて決まる製品もあるため、利用人数を伝えて見積もりを依頼しましょう。ログの保存期間や、必要なときに書き出せるかも比べておくと、監査や調査の場面で役立ちます。
AI機能搭載のMFAツール一覧
この記事で紹介するMFAツールのうち、製品ページでAI機能を確認できる製品を一覧にまとめました。AIが担う範囲や機能の違いを比較してください。
| 製品名 | 特徴 |
|---|---|
| Okta Workforce Identity | 端末やネットワークに応じたMFAポリシーを適用し、AIがログイン後の脅威を継続監視 |
AI機能搭載のMFAツールの紹介
ここでは、AI機能を備えたMFAツールを紹介します。AIが担う範囲と、対応する業務や機能を確認し、自社の課題にあう製品を選びましょう。
Okta Workforce Identity
- ネットワークや端末などコンテキストに応じたMFAポリシーを適用
- 既存の要素を使いリソースへのパスワードレスログインを実現
- 一部ユーザーが異なるIdPを使用していてもログインを保護
Okta Japan株式会社が提供する「Okta Workforce Identity」は、従業員に加えてAIエージェントなどの非人間のIDも保護対象にするクラウド型のIDサービスです。ネットワークや端末といったコンテキストに応じてMFAのポリシーを変えられるほか、フィッシング耐性のあるパスワードレス認証に対応しています。ログイン後もAIが継続的に脅威を監視する「Identity Threat Protection」を提供しており、危険度に応じた対応を検討する企業の選択肢です。
AI機能以外の目的で選ぶMFAツール
AI機能以外の観点でMFAツールを選びたい場合に検討できる製品を紹介します。AIの有無は資料で確認してください。
| 製品名 | 特徴 |
|---|---|
| SeciossLink（セシオスリンク） | OTP・FIDO・PUSH通知を組み合わせたMFAと、通常と異なる挙動の通知機能 |
| IIJ IDサービス | FIDO2やデバイス証明書に対応し、場所やユーザーごとの認証条件を設定可能 |
| Secioss Access Manager Enterprise（SAME） | FIDO（パスキー）やOTPに対応し、接続元や時間帯で認証ルールを変更可能 |
| TrustBind | パスキー・FIDO2によるパスワードレス認証。SAMLやOIDCにも対応 |
| YubiKey | USB・NFCで使えるFIDO2対応のハードウェアセキュリティキー |
SeciossLink（セシオスリンク）
- シングルサインオンであらゆるサービスに連携
- IDの一元管理で業務効率化
- FIDO認証や証明書認証などの多要素認証で認証を強化
株式会社セシオスが提供する「SeciossLink（セシオスリンク）」は、IDaaS機能にセキュリティ製品との連携機能を加えたクラウド型のサービスです。ワンタイムパスワードやFIDO（パスキー）認証、クライアント証明書、PUSH通知などを組み合わせた多要素認証に対応します。IPアドレスや時間、国によるアクセス制御に加え、いつもと違う挙動を検知して管理者やユーザーへ知らせるリスク検知も備えています。判定の仕組みは資料で確認したい企業向けの候補です。
IIJ IDサービス
- 超図解マニュアルと直感的・シンプルなUIで導入・運用がカンタン
- デバイス証明書認証やFIDO2認証など、さまざまな認証機能に対応
- 複数の国内DCで稼働する万全のセキュリティ体制
株式会社インターネットイニシアティブが提供する「IIJ IDサービス」は、SSOと不正ログイン対策を提供する国産のクラウド型認証管理サービスです。FIDO2認証、デバイス証明書、ワンタイムパスワードなど複数の認証方式を選べ、ユーザーごとに組み合わせて多要素認証を設定できます。セキュリティリスクの高い場所やユーザーには通常より強い認証条件をかけるなど、アクセス制御も働き方にあわせて調整できます。OpenID ConnectやSAMLに準拠するサービスとのSSOも可能です。
Secioss Access Manager Enterprise（SAME）
- シングルサインオンであらゆるサービスに連携
- FIDO認証や証明書認証などの多要素認証で認証を強化
- 柔軟なルール設定が可能なアクセス制御機能を搭載
株式会社セシオスが提供する「Secioss Access Manager Enterprise（SAME）」は、多要素認証とアクセス制御、SSOを備えたオンプレミス型です。ワンタイムパスワード、FIDO認証（パスキー）、クライアント証明書などに対応し、アクセス元のネットワークや時間帯によって認証ルールを設定できます。認証の順番や、利用者に選ばせる方式も指定できます。SAMLやOpenID Connectなど複数の方式でSSOを実現でき、自社環境で認証基盤を運用したい企業が検討しやすい製品です。
TrustBind （NTTテクノクロス株式会社）
- パスワード不要のデバイス認証とFIDO2で高い耐性を実現。
- SAML/OAuth2.0/OpenID Connect対応でシステム連携可能。
- 国産開発、導入実績豊富、国内サポート内製化。
YubiKey （SCSK株式会社）
- FIDO2/U2F・スマートカードなど複数の認証方式に対応。
- USB・NFC接続でタッチするだけの簡単認証
- 電池不要で堅牢な設計
まとめ
MFAとAIは、ログインの危険度をAIで判定する使い方と、AIを悪用した攻撃への備えの2つで考えると整理できます。リスクベース認証は端末や場所、操作の傾向を見て認証の強さを変えますが、誤判定時の手順や判定理由の確認方法を決めておくことが大切です。あわせて、フィッシング耐性のある認証や生成AIサービスへの適用も検討しましょう。資料請求で多要素認証（MFA）ツールのリスク判定や認証方式を比較し、自社に適した製品を選んでください。
