ワンタイムパスワードの選び方とは？2つのポイントで簡単選定！

ワンタイムパスワードとは

ワンタイムパスワードとはそもそもどのようなニーズを解決するために生まれたのでしょうか。まずはワンタイムパスワードの意味の確認も含め、その誕生背景について解説します。

ワンタイムパスワードが必要とされる背景

今、後を絶たない情報セキュリティインシデントに対して、コンピュータウイルス対策や侵入検知以外にも、手元のセキュリティを強化する必要が指摘されています。

その理由として、多くの情報漏えいは、外部からの不正な侵入ではなく、ネットワーク内部からの正規なアクセスから発生していることです。つまり、パスワードの使い回しなどが原因でパスワードが盗まれ「正規のパスワードで不正なアクセス」が発生しているのです。

正規パスワードの不正利用を防ぐワンタイムパスワード

そんな正規パスワードの不正利用を防ぐのがワンタイムパスワードです。ワンタイムパスワードは利用するごとに新しいパスワードを発行するため、正規パスワードの流出という概念がそもそもありません。

つまり、パスワードに使い捨て型のワンタイムパスワードを導入することで、パスワードの使い回しを防ぎ、たとえパスワードを盗まれても、再利用できないパスワードであれば、不正なアクセスを防止することが可能になります。

ワンタイムパスワードの選び方とは

ワンタイムパスワードの選び方には大きく２つの方法があります。それはワンタイムパスワードの種類で選ぶ方法とコストで選ぶ方法です。それでは詳しくみていきましょう。

選び方（１）ワンタイムパスワードの種類で選ぶ

一口にワンタイムパスワードといっても、パスワードの発行方式や通知方法によって、さまざまな製品・サービスがあります。

まず、トークンと呼ばれるワンタイムパスワードを生成する電子機器を利用するタイプがあります。このトークンでは、ユーザーがログインするたびに、毎回新たにパスワードを生成することで、使い捨てのパスワードとして機能します。

トークンを用いないタイプの製品・サービスもあります。その一つが、メールパスワードシステムです。こちらもワンタイムパスワードの仕組み自体は同じですが、その名の通り、システムで生成したパスワードをメールでユーザーに通知します。パスワードだけをメールで送信するため、比較的安全性は高く維持されます。

また、広く普及したスマートフォンを利用するタイプもあり、ワンタイムパスワードを生成するアプリでトークンの代用とする製品も登場しています。

ユーザーの使い勝手は、実際の利用者によって違いますが、ワンタイムパスワードを発行する際のセキュリティ強度と、その使いやすさをバランスさせなければなりません。

トークン方式では、ユーザーはトークンを携帯しなければなりません。メール方式では、パスワードを確認するためメールを受信できる環境が必要です。スマートフォンを利用する場合も、スマートフォンの携帯と通信環境はは同様に必要となります。

パスワード発行から、確認、入力までの手間や時間などは、ワンタイムパスワードの製品、サービスごとに異なります。そこで、自社にとって、ユーザーがストレスなく使える方式はどれかをきちんと特定することが肝要と言えるでしょう。

選び方（２）ワンタイムパスワードのコストで選ぶ

最後にコスト要素を見ていきましょう。
トークン方式では、トークンそのものを準備、配布しなければなりません。ユーザーに全員に配布する必要があるため、利用者数の規模によって初期費用が大きくなります。

その点メール方式では、一人ひとりに機器を配る必要はありませんが、通信環境を整える必要があります。スマートフォンアプリの場合、個人所有のスマートフォン利用を許可するか、企業で専用の端末を社員一人ひとりに配布する必要があります。その結果、自社のセキュリティポリシーによって、コスト面に違いが生まれることになります。

2つのポイントで自社に最適なワンタイムパスワードを選ぼう！

以上のポイントを確認した上で重要なのは、どこまでやれば、満たしたい水準のセキュリティを達成できるかということを明らかにすることだと言えます。予算内で、ユーザビリティを損なわずに、十分な情報セキュリティの水準を達成する、そのための要件を満たすソリューションをしっかり選定する必要があると言えます。

また以下の記事ではワンタイムパスワードのメリットについて解説しています。ワンタイムパスワードを選ぶ前にもう一度メリットを理解しておきたいという方は参考にしてください。

▼あわせて読みたい！
参考記事：ワンタイムパスワードが持つ3つのメリット