MFAツールが備える主要機能の概要
MFAツールの機能は「認証方式の種類」「アクセス制御の精度」「管理・運用効率化」の3つの軸で整理できます。自社の課題に合った機能を持つ製品を選ぶための前提知識として確認しましょう。
認証方式の種類：OTP・プッシュ・生体・ハードウェアキー
MFAツールが提供する認証方式は大きく4種類に分けられます。(1) OTP（One-Time Password：毎回変わる6～8桁のワンタイムパスワード）を認証アプリやハードウェアトークンで生成する方式、(2) スマートフォンにログイン要求を送り「承認」ボタンをタップするだけで認証できるプッシュ通知認証、(3) 指紋・顔認証などの生体情報やPINコードを使うパスワードレス認証、(4) YubiKeyのようなFIDO2対応ハードウェアセキュリティキーによる認証です。それぞれセキュリティレベル・操作の手軽さ・対応端末が異なります。
製品によってサポートする認証方式の種類が異なるため、自社の利用環境（スマートフォンを使えるか・ハードウェアデバイスが必要か・生体認証対応のPCがあるか）を整理した上で、必要な認証方式に対応した製品を選ぶことが重要です。複数の認証方式に対応し、社員ごとに最適な方式を選択できる柔軟性があると、全社展開がしやすくなります。
- ■プッシュ通知認証
- スマートフォンにログイン要求が届き、タップするだけで認証完了。OTPの入力が不要で操作が直感的
- ■生体認証・パスワードレス認証
- 指紋・顔認証・PINコードでパスワード自体を使わずにログイン。FIDO2準拠でフィッシング耐性が高い
- ■リスクベース認証
- 普段と異なるIPアドレス・端末・場所からのアクセス時のみMFAを要求。通常時の認証負荷をなくす
- ■デバイス証明書連携
- 会社が管理するPC・スマートフォン（デバイス証明書あり）からのアクセスのみを許可。私物端末を排除
- ■詳細アクセスログ
- 誰が・いつ・どこから・どのシステムにログインしたかを記録。不審なアクセスの検知・監査対応に活用
- ■セルフサービスパスワードリセット
- ユーザー自身がMFAアプリで本人確認してパスワードを変更。情シスへの問い合わせを削減
機能の優先順位を決める考え方
MFAツールを選定する際は、上記の機能をすべて備えた製品を選ぶ必要は必ずしもありません。自社の最優先課題に合った機能を持つ製品を選ぶことで、コストと機能のバランスを取れます。「まずVPNとMicrosoft 365の不正アクセスを防ぎたい」という場合はプッシュ通知認証と基本MFAで十分なケースがあります。一方、「社員数が多くてパスワードリセット対応に手を取られている」場合はセルフサービス機能を、「監査対応でアクセス記録が必要」な場合はログ機能を、「毎回の認証が煩わしいという声がある」場合はリスクベース認証を優先すると、導入効果が高まります。
製品によってはプランごとに使える機能が異なるため、「基本プランでは使えないが上位プランにはある機能」を確認しておくことも重要です。「今は基本機能で十分だが将来的にリスクベース認証も使いたい」という場合は、アップグレードがしやすいプラン体系の製品を選んでおくと、将来の乗り換えコストを省けます。
プッシュ認証・生体認証・パスワードレスのしくみ
ユーザーの認証負荷を下げながらセキュリティを高める機能として、プッシュ通知認証と生体認証（パスワードレス）の2つが注目されています。それぞれのしくみと向き不向きを確認しましょう。
プッシュ通知認証でOTPの手入力をなくす
プッシュ通知認証とは、ユーザーがID・パスワードを入力してログインしようとすると、登録済みのスマートフォンにリアルタイムで「このログインを許可しますか？」という通知が届き、ユーザーが「承認」ボタンをタップするだけで認証が完了する方式です。OTP（6桁の数字）を入力するTOTP方式と比べて操作が直感的なため、ITリテラシーが高くないユーザーでも使いやすいという特徴があります。スマートフォン1台で承認操作が完結するため、追加のハードウェアも不要です。
プッシュ通知認証には、「プッシュ爆弾攻撃（MFA Fatigue攻撃：攻撃者が大量のプッシュ通知を送りつけ、ユーザーが誤って承認してしまうことを狙う攻撃）」というリスクがあります。これを防ぐために、最新のプッシュ認証では「ログイン画面に表示された2桁の数字をスマートフォン上で選択する（ナンバーマッチング）」方式を採用している製品が増えています。プッシュ認証を採用する際は、MFA Fatigue対策の有無も確認しましょう。
生体認証とFIDO2でパスワード自体をなくす
パスワードレス認証とは、IDとパスワードの組み合わせを使わずに、スマートフォンの指紋認証（Touch ID）・顔認証（Face ID）・WindowsのPIN（Windows Hello）・ハードウェアセキュリティキーなどで直接本人確認を行う認証方式です。FIDO2（Fast IDentity Online 2：パスワードレス認証の国際標準規格）に準拠した生体認証は、認証情報がデバイス内に保存されクラウドに送信されないため、フィッシングやパスワード漏えいによる不正アクセスを根本から防げます。
Microsoft 365・Google Workspaceなどの主要クラウドサービスはFIDO2対応ログインをサポートしており、スマートフォンやPCの生体認証でパスワードなしにサービスにアクセスできます。パスワードレス認証はセキュリティと利便性を同時に高められる方式として注目されています。ただし、FIDO2対応のデバイス（生体認証センサーを搭載したPC・スマートフォン）が必要なため、導入前に社内端末の対応状況を確認しておきましょう。
リスクベース認証とデバイス証明書連携のしくみ
セキュリティと業務効率を両立するために重要な機能として、リスクベース認証とデバイス証明書連携があります。「毎回の認証が面倒」という声と「セキュリティを高めたい」という要求を同時に解決するアプローチです。
リスクベース認証で「必要な時だけ」MFAを要求する
リスクベース認証（アダプティブ認証とも呼ばれる）とは、ユーザーのアクセス状況をリアルタイムで評価し、リスクが高い場合のみMFAを要求する方式です。リスクの評価基準としては「普段と異なるIPアドレスや国からのアクセス」「登録されていない新しいデバイスからのアクセス」「通常とは大きく異なる時間帯のアクセス」「短時間での複数回のログイン失敗」などが使われます。これにより、オフィスや自宅から普段と同じ端末でアクセスする場合はMFAをスキップし、不審なアクセスのみに追加認証を求められます。
リスクベース認証を導入すると、「毎回MFA認証が必要で業務が遅くなる」というユーザーの不満を大幅に軽減できます。導入後の社員のMFAへの抵抗感が下がり、全社展開がスムーズに進むケースがあります。ただし、リスク判定のロジックはベンダーによって異なるため、「どの条件でMFAがスキップされるか・要求されるか」を事前に確認し、自社のセキュリティポリシーに合った設定が可能かを検証しましょう。
デバイス証明書連携で私物端末からのアクセスをブロックする
デバイス証明書連携とは、会社が管理するPCやスマートフォンにあらかじめ「デバイス証明書」（端末が会社管理下にあることを証明するデジタル証明書）をインストールしておき、その証明書が確認できた端末からのアクセスのみを許可する方式です。ID・パスワードとMFAが正しくても、会社が管理していない私物PCや私物スマートフォンからはアクセスできないため、盗まれた認証情報を使った第三者のアクセスを防ぐ高い効果があります。
デバイス証明書の発行・管理にはMDM（Mobile Device Management：端末一括管理ツール）または社内のPKI（公開鍵基盤：電子証明書の発行・管理の仕組み）との連携が必要です。導入コストが高まりますが、テレワーク環境で私物端末の使用を禁止したい企業や、ゼロトラストセキュリティ（すべてのアクセスを都度検証するセキュリティモデル）を実現したい企業には、デバイス証明書連携は重要な機能のひとつです。
アクセスログ管理とセルフサービスパスワードリセット
MFAツールの付加機能として、監査対応や情シスの運用効率化に貢献するアクセスログ管理とセルフサービスパスワードリセット機能を解説します。
詳細アクセスログの記録・保存・検索機能
MFAツールのアクセスログ機能では、「誰が（ユーザー名）」「いつ（日時）」「どこから（IPアドレス・国・デバイス）」「どのサービス（SSOで連携したアプリ名）」に「ログイン成功・失敗・MFA認証成功・失敗したか」を記録します。このログは、不審なアクセスを後から調査する際の根拠となるほか、ISO 27001・J-SOX対応・情報セキュリティ監査など内部監査でのエビデンスとしても活用できます。ログの保存期間は製品・プランによって異なり、3ヶ月・6ヶ月・1年・3年などの設定が可能な製品があります。
不審なアクセスをリアルタイムで検知するために、SIEM（Security Information and Event Management：セキュリティログを統合管理するシステム）へのログ連携に対応した製品を選ぶと、ログの一元管理が可能です。「いつのログが何日間保存されるか」「ログをエクスポート・ダウンロードできるか」「特定ユーザーや期間のログを絞り込み検索できるか」を製品評価時に確認しておきましょう。
セルフサービスパスワードリセットで情シスの工数を削減する
セルフサービスパスワードリセット（SSPR）とは、パスワードを忘れたユーザーが情報システム部門に問い合わせることなく、登録済みのスマートフォン認証アプリやメールによる本人確認を経て、自分でパスワードを変更できる機能です。「パスワードを忘れた」という問い合わせは、社員数が多い企業では月に数十件以上発生することがあり、情シス担当者の大きな工数になります。SSPRを導入することで、これらの問い合わせを大幅に削減できます。
SSPRを安全に運用するためには、「本人確認をどの認証方法で行うか（MFAアプリ・バックアップメール・管理者承認など）」「本人確認が失敗した場合の代替手段はあるか」を事前に設計しておくことが重要です。また、SSPR機能が標準で含まれるプランと、追加オプションでのみ使えるプランがある製品があるため、選定時に確認しましょう。
まとめ
多要素認証（MFA）ツールの主要機能は、プッシュ通知認証・生体認証（パスワードレス）・リスクベース認証・デバイス証明書連携・詳細アクセスログ・セルフサービスパスワードリセットの6つに整理できます。どの機能が自社の課題解決に直結するかを明確にしてから製品を選定することで、コストと機能のバランスが取れた導入が実現します。無料トライアルや問い合わせをあわせて活用し、必要な機能が備わっているかを実際の管理画面で確認してから導入を判断してください。
