ワンタイムパスワードの導入事例を見る前に整理したい基礎知識
ワンタイムパスワードとは、ログインのたびに新しく発行される一度限りのパスワードです。事例を確認する前に、まず基本的な仕組みと役割を押さえておきましょう。
ワンタイムパスワードが担う役割
ワンタイムパスワードは、IDとパスワードだけでログインする仕組みに、もう一段階の認証を加える役割を担います。固定のパスワードだけで認証していた場合と比べて、第三者による不正なログインを防ぎやすくなる場合があります。
専用アプリやSMSでコードを受け取る仕組みを備えた製品もあり、社外からのアクセスが多い業務システムへの導入を目的に採用されるケースが見られます。利用者ごとに認証の履歴を残せる機能があれば、不審なアクセスに気づく手がかりにもなります。パスワード単体での認証と組み合わせることで、多要素認証の一部として位置づける企業も見られます。
導入事例を参考にする際の確認軸
導入事例を参考にする際は、自社と利用者数や利用するシステムの種類が近いかどうかに加えて、解決したい課題が共通しているかを確認することが大切です。同じ仕組みでも、業種や利用シーンによって活用の仕方は変わります。
他社の事例をそのまま当てはめるのではなく、自社が守りたい情報の種類や利用者のITリテラシー、既存のシステムとの連携条件を踏まえて、必要な機能や運用体制を見極める観点で参考にすることが望ましいです。事例で紹介される効果は前提条件によって変わるため、数値だけでなく取り組みの進め方にも注目するとよいでしょう。導入にかかる準備期間や利用者への周知方法もあわせて確認しておくと、自社での検討が進めやすくなります。
業種別に見るワンタイムパスワードの活用事例
ワンタイムパスワードは、業種によって守りたい情報や利用する場面が異なります。ここでは金融業とEC事業者を例に活用のパターンを紹介します。
金融業での活用パターン
顧客の資産に関わる情報を扱う金融業では、インターネットバンキングへのログインや振込操作の際にワンタイムパスワードを組み合わせる活用が見られます。固定パスワードのみの認証と比べて、不正な送金操作への対策として位置づけられる場合があります。
専用のトークン機器を利用者に配布する方法のほか、スマートフォンアプリでコードを表示する方法を選ぶ企業もあります。利用者の年齢層や機器の扱いに慣れているかどうかによって、適した方式が変わる点にも配慮が必要です。窓口での本人確認とあわせてワンタイムパスワードを運用し、複数の認証手段を組み合わせる金融機関も見られます。
EC事業者での活用パターン
会員登録や決済情報を扱うEC事業者では、会員のアカウントを狙った不正ログインへの対策としてワンタイムパスワードを取り入れる活用が見られます。パスワードリスト型の攻撃に対する備えとして導入するケースもあります。
会員数が多いEC事業者では、SMSやメールで簡単にコードを受け取れる方式を選び、利用者の操作負担を抑える工夫をする企業もあります。認証の手順が複雑になりすぎると購入時の離脱につながる可能性があるため、利便性とのバランスを踏まえた設計が求められます。高額な決済や登録情報の変更時にのみ認証を求めるなど、利用場面を絞って導入する企業も見られます。
認証方式別に見るワンタイムパスワードの活用事例
ワンタイムパスワードには複数の認証方式があり、利用シーンによって選ばれる方式が異なります。ここではSMS方式とアプリ方式の2つを例に紹介します。
SMS方式を選ぶ活用パターン
専用アプリの導入が難しい利用者を抱える企業では、携帯電話番号あてにコードを送るSMS方式を採用する活用が見られます。特別なアプリを用意しなくても利用できる点が、幅広い利用者に対応しやすい理由の一つです。
ただし、電波の届きにくい環境ではコードの受信に時間がかかる場合があるため、業務で急いで認証したい場面には注意が必要です。海外にいる利用者への送信に制限がある場合もあるため、利用者の所在地を踏まえて方式を検討する企業もあります。機種変更や電話番号の変更があった際の再設定手順を事前に案内しておく企業も見られます。
アプリ方式を選ぶ活用パターン
セキュリティ水準をより高めたい企業では、専用アプリにコードを表示させるアプリ方式を採用する活用が見られます。通信環境に左右されにくく、コードの発行にかかる時間を短縮できる場合があります。
従業員が業務で日常的に利用するシステムへの導入では、生体認証とアプリ方式を組み合わせる企業もあります。アプリのインストールや初期設定に手間がかかる面があるため、導入時には操作方法の案内をあわせて用意しておくと安心です。端末を紛失した場合の再設定手順をあらかじめ社内に周知しておく企業も見られます。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品で比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でワンタイムパスワードの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
ワンタイムパスワード導入で得られる効果を事例から考える
ワンタイムパスワードを導入した企業の事例からは、不正アクセスへの対策やセキュリティ意識の向上につながったという声が聞かれます。ここでは代表的な効果と、効果を得るための前提を整理します。
不正アクセス対策としての効果
固定パスワードだけに頼らない認証を導入することで、パスワードが漏えいした場合でも不正なログインを防ぎやすくなる場合があります。多要素認証の一つとして位置づけられ、セキュリティ対策の基本的な取り組みとして採用されるケースが増えています。
ただし、ワンタイムパスワードを導入しただけですべての不正アクセスを防げるわけではありません。フィッシングサイトを通じてコードを盗み取られるといった手口も報告されているため、利用者への注意喚起もあわせて行う必要があります。導入後も定期的に社内へ注意点を周知する運用が求められます。不審なログイン通知を受け取った際の連絡窓口をあらかじめ整えておく企業も見られます。
利用者のセキュリティ意識向上
認証の際にもう一段階の手順が加わることで、利用者自身がセキュリティ対策の必要性を意識するきっかけになる場合があります。認証の仕組みを説明する機会を設けることで、パスワードの使い回しといった別のリスクへの理解が深まるケースもあります。
ただし、手順が増えることを負担に感じる利用者もいるため、導入時には目的や効果をあわせて説明しておくことが望ましいです。操作方法をまとめた案内資料を用意しておくと、問い合わせ対応の負担を抑えやすくなります。導入初期は利用者からの問い合わせが増えやすいため、対応窓口の体制をあらかじめ整えておくと安心です。
ワンタイムパスワード選定時に確認したいポイント
導入事例を参考にしながら自社に合うワンタイムパスワードの仕組みを選ぶ際は、いくつかの観点から比較検討することが求められます。
既存システムとの連携を確認する
ワンタイムパスワードの効果は、自社が利用している業務システムやWebサービスとどれだけ連携できるかによって左右されます。既存のログイン画面に組み込めるかどうかを事前に確認しておくとよいでしょう。
連携できるシステムの範囲は製品によって異なるため、複数のシステムを併用している企業ほど、対応範囲を丁寧に確認する必要があります。将来的に新しいシステムを追加する可能性も踏まえて選ぶと安心です。導入前に自社が現在利用しているシステムを洗い出しておくと比較がしやすくなります。
利用者の操作しやすさを確認する
ワンタイムパスワードは、専門知識のない従業員や顧客が日常的に利用する場面が多い仕組みです。コードの受け取り方や入力手順がわかりやすいかどうかは、定着を左右する要素です。
操作方法を説明するマニュアルや問い合わせ窓口が用意されているかもあわせて確認しておくと、導入後のトラブルを抑えやすくなります。トライアル期間を活用して、実際の利用者に操作感を確認してもらう方法も有効です。機種変更時の再設定手順が簡単かどうかも、あわせて確認しておくとよいでしょう。
ワンタイムパスワードに対応した主な製品
ワンタイムパスワードは単体の認証手段としてだけでなく、シングルサインオンや多要素認証の一部として導入されるケースも多くあります。他社の導入事例を確認する際の参考として、代表的な製品を紹介します。
SeciossLink（セシオスリンク）
- シングルサインオンであらゆるサービスに連携
- IDの一元管理で業務効率化
- FIDO認証や証明書認証などの多要素認証で認証を強化
株式会社セシオスが提供する「SeciossLink（セシオスリンク）」は、ID管理とシングルサインオン、多要素認証をまとめて実現できる国産のIDaaSです。ワンタイムパスワード（OTP）やFIDO認証などによる多要素認証機能を備え、Google WorkspaceやMicrosoft 365など複数のクラウドサービスへのログインを一元的に管理できます。ID発行・変更・削除のライフサイクル管理も自動化できます。
Secioss Access Manager Enterprise（SAME）
- シングルサインオンであらゆるサービスに連携
- FIDO認証や証明書認証などの多要素認証で認証を強化
- 柔軟なルール設定が可能なアクセス制御機能を搭載
株式会社セシオスが提供する「Secioss Access Manager Enterprise（SAME）」は、シングルサインオンと多要素認証、アクセス制御を実現するソフトウェアです。Google WorkspaceやMicrosoft 365、Salesforceなどのクラウドサービスやオンプレミスシステムとの連携に対応し、証明書認証や統合Windows認証など複数の認証方式を利用できます。利用者・時間帯・接続元IPアドレスに応じたアクセス制御も設定できます。
ワンタイムパスワード （ソフトバンク株式会社）
- 一時的なパスワードで不正ログインを防止します。
- クラウド対応で導入・運用が容易。
- 既存システム連携でセキュリティ強化を実現。
PassLogic （パスロジ株式会社）
- 安全な認証環境を状況に合わせて構築
- 毎日のログイン作業を効率的に行う「シングルサインオン」
- トークンや専用の認証デバイスが不要
まとめ
ワンタイムパスワードの導入事例には、業種別・認証方式別にさまざまな活用パターンがあります。他社の事例を参考にする際は、自社が守りたい情報や利用者の環境との共通点を確認しながら、必要な機能や運用体制を見極めることが大切です。運用ルールまで見据えて比較検討することで、導入後の定着にもつながりやすくなります。複数の製品を比較しながら、自社に合うワンタイムパスワードの検討を進めてみてください。
