ワンタイムパスワード選定　ここだけは押さえたい！

”ワンタイムパス”認証でログインのセキュリティ強化

後を絶たない情報セキュリティインシデントに対して、コンピュータウイルス対策や侵入検知以外にも、手元のセキュリティを強化する必要が指摘されています。

その理由として、多くの情報漏えいは、外部からの不正な侵入ではなく、ネットワーク内部からの正規なアクセスから発生していることです。つまり、パスワードの使い回しなどが原因でパスワードが盗まれ「正規のパスワードで不正なアクセス」が発生しているのです。

パスワードに使い捨て型のワンタイムパスワードを導入することで、パスワードの使い回しを防ぎ、たとえパスワードを盗まれても、再利用できないパスワードであれば、不正なアクセスを防止することが可能になります。

選べるワンタイムパスの方式 ～トークン式か、メール式か

一口にワンタイムパスワードといっても、パスワードの発行方式や通知方法によって、さまざまな製品・サービスがあります。

まず、トークンと呼ばれるワンタイムパスワードを生成する電子機器を利用するタイプがあります。このトークンでは、ユーザーがログインするたびに、毎回新たにパスワードを生成することで、使い捨てのパスワードとして機能します。

トークンを用いないタイプの製品・サービスもあります。その一つが、メールパスワードシステムです。こちらもワンタイムパスワードの仕組み自体は同じですが、その名の通り、システムで生成したパスワードをメールでユーザーに通知します。パスワードだけをメールで送信するため、比較的安全性は高く維持されます。

また、広く普及したスマートフォンを利用するタイプもあり、ワンタイムパスワードを生成するアプリでトークンの代用とする製品も登場しています。

ユーザーの使い勝手は、実際の利用者によって違いますが、ワンタイムパスワードを発行する際のセキュリティ強度と、その使いやすさをバランスさせなければなりません。

トークン方式では、ユーザーはトークンを携帯しなければなりません。メール方式では、パスワードを確認するためメールを受信できる環境が必要です。スマートフォンを利用する場合も、スマートフォンの携帯と通信環境はは同様に必要となります。

パスワード発行から、確認、入力までの手間や時間などは、ワンタイムパスワードの製品、サービスごとに異なります。そこで、自社にとって、ユーザーがストレスなく使える方式はどれかをきちんと特定することが肝要と言えるでしょう。

やはり見逃せないコスト要素 ～費用面も慎重に検討を

最後にコスト要素を見ていきましょう。
トークン方式では、トークンそのものを準備、配布しなければなりません。ユーザーに全員に配布する必要があるため、利用者数の規模によって初期費用が大きくなります。

その点メール方式では、一人ひとりに機器を配る必要はありませんが、通信環境を整える必要があります。スマートフォンアプリの場合、個人所有のスマートフォン利用を許可するか、企業で専用の端末を社員一人ひとりに配布する必要があります。その結果、自社のセキュリティポリシーによって、コスト面に違いが生まれることになります。

以上のポイントを確認した上で重要なのは、どこまでやれば、満たしたい水準のセキュリティを達成できるかということを明らかにすることだと言えます。予算内で、ユーザビリティを損なわずに、十分な情報セキュリティの水準を達成する、そのための要件を満たすソリューションをしっかり選定する必要があると言えます。