ITトレンドがおすすめする製品・サービス
- ■ログイン時の操作別
- プッシュ通知を承認する方式：SeciossLink（セシオスリンク）
- ワンタイムパスワードを入力する方式：Secioss Access Manager Enterprise（SAME）、IIJ IDサービス、SeciossLink（セシオスリンク）
- セキュリティキーや生体認証を使う方式：ユビキー、ATKey.Card、TrueKey、Okta Workforce Identity
- ■運用の手間を減らす仕組み別
- 認証ログの確認・利用状況の可視化：Secioss Access Manager Enterprise（SAME）、SeciossLink（セシオスリンク）、おくとパスBusiness
MFAツールを使い始める初回登録
MFAツールを使い始めるには、社員一人ひとりが自分の認証要素をツールに登録する必要があります。登録の流れと、登録時に済ませておきたい準備を確認しましょう。
認証アプリの登録手順
スマートフォンの認証アプリを使う場合は、まず会社が指定するアプリをインストールします。次に、パソコンでMFAツールの登録画面を開き、表示されたQRコードをアプリで読み取ります。
読み取ると、アプリに6桁などのコードが表示されるので、それを登録画面に入力すれば完了です。プッシュ通知の方式では、テスト用の通知が届き、承認できれば登録が終わります。登録画面への入り方は製品によって異なり、初回ログイン時に自動で案内される製品もあれば、管理者から届く招待メールを使う製品もあります。
予備の認証手段と回復用コードの準備
登録が終わったら、スマートフォンを使えなくなった場合に備えて、予備の手段も用意しておきましょう。製品によっては、2台目の端末やセキュリティキー、電話番号などを予備として登録できます。
回復用コード（リカバリーコード）が発行される場合は、紙に書いて保管するなど、スマートフォン以外の場所に控えておきます。社内で予備の手段を認めるかどうかは会社の方針によるため、社員向けの手順書には、どの手段を登録してよいかを明記しておくと迷いが減ります。
認証方法ごとのログイン時の使い方
登録後のログインでは、IDとパスワードを入力したあとに、登録した方法で本人確認を行います。認証方法によって操作が異なるため、代表的な3つの方法ごとに使い方を見ていきましょう。
プッシュ通知を承認する
プッシュ通知の方式では、パスワードを入力するとスマートフォンに「ログインしようとしていますか」といった通知が届きます。内容を確認し、承認ボタンを押すとログインが完了します。
製品によっては、パソコンの画面に表示された数字をスマートフォンに入力させる番号照合の仕組みがあります。自分でログインしていないのに通知が届いた場合は、パスワードが第三者に知られている可能性があるため、承認せずに拒否し、情報システム部門へ連絡するよう社員に周知しておきましょう。
ワンタイムパスワードを入力する
ワンタイムパスワードの方式では、認証アプリに表示される数字を、ログイン画面の入力欄に打ち込みます。数字は30秒などの一定時間ごとに変わるため、表示が切り替わる直前であれば、次の数字を待ってから入力すると失敗を防げます。
認証アプリのほか、カード型やキーホルダー型の専用端末で数字を表示する方法もあります。スマートフォンを業務で持てない職場では、こうした専用端末が使える製品もあります。SMSで数字を受け取る方法は手軽ですが、電話番号の乗っ取りなどの手口に注意が必要なため、会社の方針を確認しましょう。
セキュリティキーや生体認証を使う
FIDO2に対応したセキュリティキーを使う場合は、パソコンのUSB端子に差し込むか、スマートフォンにかざしてから、キーに触れて操作します。パソコンやスマートフォンの指紋認証や顔認証を使うパスキーでは、画面の案内に従って指や顔で本人確認を行います。
これらの方法は、コードを入力する手間がなく、偽のサイトでは認証が成立しない仕組みのため、フィッシング対策としても有効です。ただし、接続先のサービスや端末が対応している必要があるため、どのシステムで使えるかを社員向けに一覧にしておきましょう。キーをなくした場合に備え、予備のキーを登録できるかも確認しておくと安心です。
機種変更や紛失時にMFAを使い続ける方法
MFAで社員が困りやすいのは、スマートフォンを替えたときやなくしたときです。手順を知らないとログインできなくなるため、事前に使い方を案内しておきましょう。
機種変更の前に済ませること
機種変更では、古いスマートフォンが手元にあるうちに、新しい端末を登録するのが基本の流れです。新しい端末に認証アプリを入れ、古い端末で本人確認をしたうえで、MFAツールの設定画面から新しい端末を追加します。
認証アプリによっては、バックアップ機能で新しい端末へ登録情報を移せる場合もありますが、会社の方針で認めていないこともあります。新しい端末で問題なくログインできることを確かめてから、古い端末の登録を削除しましょう。古い端末を下取りに出す前に済ませるよう案内しておくと安心です。
スマートフォンをなくしたときの対応
スマートフォンを紛失した場合は、予備の手段や回復用コードがあればそれを使ってログインし、なくした端末の登録を削除します。予備の手段がない場合は、情報システム部門などの窓口に連絡し、本人確認を経て一時的なログイン手段を発行してもらいます。
窓口では、なりすましによる依頼を防ぐため、上長への確認や社員番号の照合など、決められた手順で本人を確かめます。対応した内容は記録に残し、複数の担当者が同じ基準で対応できるようにしておくことが大切です。紛失時はまず窓口へ連絡するという決まりと連絡先を、手順書や社内ポータルで社員に伝えておきましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）で多要素認証（MFA）ツールの一括資料請求が可能です。浮いた時間で、じっくりと製品の比較検討を進めましょう。
管理者が多要素認証ツールで行う日常の操作
多要素認証ツールの管理者は、利用者の追加や削除、認証ルールの調整、ログの確認を日常的に行います。作業を特定の人に頼らないよう、手順を文書にしておきましょう。
利用者の追加・削除と認証ルールの設定
入社や異動があれば利用者を追加し、退職者はアカウントと登録済みの端末を削除します。Active Directory（Windowsのアカウントを一元管理する仕組み）や人事データと連携している場合は、変更が自動で反映されるかを確認しておきます。
認証ルールでは、どのシステムで多要素認証を求めるか、社内ネットワークからの接続を例外にするかなどを設定します。例外を増やすと安全性が下がるため、設定した理由と見直しの時期を記録しておくと、担当者が替わっても判断を引き継げます。
登録状況と認証ログの確認
管理画面では、誰が認証要素を登録済みかを確認できます。期限までに登録していない社員へは個別に案内し、登録できない事情があれば代わりの手段を検討します。
認証ログでは、ログインの成功や失敗、拒否された通知などを確認できます。同じアカウントで失敗が続いている場合や、普段と違う場所からのログインがある場合は、本人に心当たりを確かめましょう。ログの保存期間は製品やプランによって異なるため、必要に応じて書き出して保管します。
MFAの使い方でつまずきやすい場面と対処
MFAを使っていると、コードが通らない、通知が届かないといった問い合わせが寄せられることがあります。原因は1つとは限らないため、よくある場面ごとに確認する順番を決めておきましょう。
コードが通らないときの確認
正しいワンタイムパスワードを入力しても認証に失敗する場合は、原因の一つとしてスマートフォンの時刻のずれが考えられます。端末の日付と時刻が自動設定になっているかを確認しましょう。
ほかにも、別のサービス用のコードを入力している、表示が切り替わった後の古いコードを入力している、といった操作の誤りもあります。それでも解決しない場合は、ツール側の障害や、利用者のアカウントがロックされている可能性もあるため、窓口で管理画面のログを確認して原因を絞り込みます。
通知が届かないときの確認
プッシュ通知が届かない場合は、スマートフォンの通知設定でアプリの通知がオフになっていないか、省電力の設定で通知が止まっていないかを確認します。通信が不安定な場所では、通知の到着が遅れることもあります。
通知が届かないときに備えて、認証アプリに表示されるコードを入力する方法に切り替えられる製品もあります。社員向けの手順書には、こうした代わりの操作と、それでもログインできない場合の連絡先を載せておくと、社員が自分で解決できる場面が増え、窓口の負担も抑えられます。
MFAツールの認証方式と運用機能を比較
ログイン時の操作と、管理者が行う日常の運用しやすさを比べられるよう、この記事で紹介する多要素認証ツールの特徴を一覧にまとめました。
| 製品名 | 特徴 |
|---|---|
| SeciossLink（セシオスリンク） | OTP・FIDO・PUSH通知から選べ、ダッシュボードで利用状況を確認 |
| Secioss Access Manager Enterprise（SAME） | OTPアプリ・メール通知・ハードウェアトークンなど多様な認証方式 |
| IIJ IDサービス | FIDO2・OTP・デバイス証明書をユーザーごとに組み合わせて設定 |
| Okta Workforce Identity | Windows向けDesktop MFAで生体認証によるサインインに対応 |
| ユビキー | USBやNFCで接続して使うFIDO2対応のハードウェア認証キー |
| ATKey.Card | 指紋認証とFIDO2パスキーを1枚のカードに搭載。NFCにも対応 |
| TrueKey | 指紋・顔の生体認証とパスワード自動入力に対応 |
| おくとパスBusiness | ICカードやスマホをかざしてWindowsにログオン。履歴も記録 |
操作のしやすさで選ぶ多要素認証ツール
利用者がログインで行う操作と、管理者が確認できる情報の違いに着目して、多要素認証ツールを選びました。
SeciossLink（セシオスリンク）
- シングルサインオンであらゆるサービスに連携
- IDの一元管理で業務効率化
- FIDO認証や証明書認証などの多要素認証で認証を強化
株式会社セシオスが提供する「SeciossLink（セシオスリンク）」は、ログイン時の認証方式と管理者向けの統計機能を備えたクラウド型のIDaaSです。認証方式は、ワンタイムパスワードやWindows HelloなどのFIDO（パスキー）認証、クライアント証明書、PUSH通知、統合Windows認証から選び、組み合わせて設定できます。管理者側ではダッシュボードでログイン数や利用されていないアカウント、アクセス元の国などの統計を確認できます。ユーザーポータルとログイン画面は自社向けに見た目を変更でき、利用者が迷いにくい画面にしたい企業の候補です。
Secioss Access Manager Enterprise（SAME）
- シングルサインオンであらゆるサービスに連携
- FIDO認証や証明書認証などの多要素認証で認証を強化
- 柔軟なルール設定が可能なアクセス制御機能を搭載
株式会社セシオスが提供する「Secioss Access Manager Enterprise（SAME）」は、オンプレミス型の認証ソフトウェアです。ワンタイムパスワード認証では、OTPアプリ方式、メール通知方式、OTPハードウェアトークンから選べます。FIDO認証（パスキー）やクライアント証明書認証にも対応し、複数の方式を組み合わせて、利用者に選ばせる、認証の順番を指定するといった設定が可能です。認証に関するログはWebから検索・表示でき、管理者が不審なログインの有無を確かめる際にも使えます。
IIJ IDサービス
- 超図解マニュアルと直感的・シンプルなUIで導入・運用がカンタン
- デバイス証明書認証やFIDO2認証など、さまざまな認証機能に対応
- 複数の国内DCで稼働する万全のセキュリティ体制
株式会社インターネットイニシアティブが提供する「IIJ IDサービス」は、複数の認証方式から選べる国産のクラウド型認証管理サービスです。ID・パスワード認証のほか、FIDO2、デバイス証明書、ワンタイムパスワードといった認証方式を用意し、ユーザーごとに適した方式を組み合わせて多要素認証を設定できます。超図解マニュアルと直感的でシンプルなUIにより、導入や運用がしやすいことを特徴としています。電話やメール、IIJサービスオンラインでのサポートが用意されており、運用中の疑問を相談しやすい製品です。
Okta Workforce Identity
- ネットワークや端末などコンテキストに応じたMFAポリシーを適用
- 既存の要素を使いリソースへのパスワードレスログインを実現
- 一部ユーザーが異なるIdPを使用していてもログインを保護
Okta Japan株式会社が提供する「Okta Workforce Identity」は、クラウド型のIDサービスです。Windows向けのDesktop MFAにより、生体認証を使った多要素認証でパソコンへサインインできます。生体・所持・知識の各要素を組み合わせた本人認証を業務にあわせて設定でき、機密性に応じて必要なときだけ認証を求める仕組みや、日々の業務でのパスワードレス機能により、利用者の手間を減らす設計です。電話、チャット、メールのサポートがあり、導入はパートナーによる支援も受けられます。
ユビキー （株式会社インターナショナルシステムリサーチ）
- USB・NFCで使えるハードウェア認証キー
- FIDO2などの認証規格に対応
- 多要素認証で不正ログインを防止
ATKey.Card （オーセントレンドテクノロジー株式会社）
- 指紋認証とFIDO2パスキー機能を1枚のカードに搭載。
- NFCと接触型リーダー対応。PCやスマホで利用可能。
- バッテリー不要で連続動作。
TrueKey （マカフィー株式会社）
- 生体認証と多要素認証で高度なセキュリティを実現
- パスワード自動入力・管理で入力の手間を大幅削減
- フィッシング詐欺対策で不正サイトをブロック
おくとパスBusiness （株式会社Ｃ&Ｃアソシエイツ）
- 既存のICカード社員証や交通系ICカードを認証に流用可能
- ICカード＋Windowsパスワードの二要素認証に対応
- ログオン・ログオフ履歴を記録し、不正利用を追跡可能
まとめ
MFAの使い方は、最初に認証要素を登録し、ログインのたびに通知を承認したり、コードを入力したり、セキュリティキーで確認したりする流れが基本です。登録時には予備の手段を用意し、機種変更は古い端末が手元にあるうちに済ませましょう。管理者は利用者の追加や削除、ログの確認を手順として整えておくことが大切です。資料請求で多要素認証（MFA）ツールの認証方法や管理機能を比較し、社員が使いやすい製品を選んでください。
