多要素認証ってなに？
多要素認証の概要を説明します。
認証方法を２種類以上組み合わせたもの
多要素認証とは、システムへのログイン時に複数の要素によって本人確認を行うことです。以下の３つのうち２つ以上の要素で認証を行います。
- ・知識情報
- ・所持情報
- ・生体情報
リモートアクセスでは主に、知識情報と所持情報が用いられています。現在広く用いられているログインIDやパスワードは、知識情報にあたります。所持情報はICカードやキャッシュカードなど、認証に必要な所有物を指します。生体情報は指紋や顔、網膜などが当てはまります。
多要素認証は、これらのうち複数の要素が同時に本人情報と一致しているかどうかで認証を行う方法です。
ちなみに、多要素認証は多段階認証とは異なります。多段階認証は認証の際に複数の認証手順を踏むことを指しますが、それが多要素認証とは限りません。たとえば、一段階目でパスワードを入力し、それが正しければ指紋認証を行うという場合は、多段階認証であっても多要素認証ではありません。
パスワードと指紋の合否を個別に判定しており、一度に複数の要素で本人確認していることにはならないからです。リモートアクセスに多要素認証を用いることで、セキュリティをより強固にできます。
知識情報（SYK：Something You Know）
知識情報には、以下のようなものがあります。
- ■IDとパスワード
- パソコンのログインやSNSのようなサービスの利用によく用いられるのが、IDとパスワードの組み合わせです。
- ■PIN番号
- PINは携帯電話の画面ロックなどに用いられます。気軽に利用できますが、桁が少なく数字しか用いないため、厳重なセキュリティには向いていません。
- ■秘密の質問
- 秘密の質問は、本人しか知らないような質問と答えを設定し、ログイン時に答えを入力する認証方法です。好きな食べ物やペットの名前など、あらかじめ決められた質問の中から選び、回答を登録します。
知識情報による認証は何かを持ち運ぶ必要がないので手軽ですが、パスワードやPIN番号を忘れたり他人に知られたりするリスクがあります。企業のリモートアクセスにおいても、適切にIDやパスワードを管理することが課題となっています。
所持情報（SYH：Something You Have）
所持情報には以下のようなものがあります。
- ■ICカード
- ICカードは、カードリーダーにかざしてデータを読み込ませて使います。銀行のカードやICカード機能付きの学生証などもこれに該当します。
- ■ワンタイムパスワード
- ワンタイムパスワードは、一時的に発行されるパスワードです。あらかじめ登録したメールアドレスなどにパスワードが送られ、それを入力することで本人確認を行います。
- ■SMS認証
- SMS認証は電話番号宛に送られるパスワードを入力する方法で、ワンタイムパスワードの一つといえます。
- ■USBトークン
- USBトークンとは、電子上の鍵を記録したUSBデバイスです。この鍵を読み込ませることで認証します。
その他、スマホアプリやBluetooth Smart認証デバイスなど、所持情報による認証方法は多岐に渡ります。
所持情報は、知識情報のように知られるだけで他者に不正ログインされることがないのが強みです。たとえば、不正に入手したIDとパスワードでリモートアクセスしようとしても、ワンタイムパスワードが設定されている場合は登録されたメールアドレスを所持していなければアクセスできません。ただし、本人も認証に必要なものを携帯しておかなければならないのが弱点です。
生体情報（SYA：Something You Are）
生体情報には以下のようなものがあります。
- ・指紋
- ・顔
- ・声
- ・静脈
- ・虹彩、網膜
それぞれ専用のデバイスで読み取る必要があります。そのため、企業で導入するにはコストが高くなりがちです。しかし、運用方法が手軽であり、知識情報や所持情報のように忘れる・紛失するリスクがないというメリットがあります。
多要素認証の目的は「不正アクセスによる被害防止」
多要素認証を用いる目的は、不正アクセスによる被害の防止です。サイバー犯罪における被害件数は年々増加しています。警察庁の発表によると、不正アクセスは2013年ごろから増加が続き、中でもアカウントやパスワードの盗用が最も多くなっています。
さらにその手口は、パスワードの設定・管理の甘さ付け入ったものが最多です。2017年の「仮想通貨交換業者等への不正アクセス」では、被害件数の８割以上が二要素認証を利用していなかったことが判明しています。企業でリモートアクセスを行う機会が増えることで、これらの脅威にさらされる可能性も高まっています。多要素認証により、厳重なセキュリティを実現しましょう。
リモートアクセスに多要素認証を利用するメリット・デメリット
リモートアクセスに多要素認証を利用するメリットとデメリットについて解説します。
メリット：不正アクセス防止、企業の信頼度UP
社外から社内のシステムへのアクセスに多要素認証を用いることで、不正アクセスを防止できます。リモートアクセスは場所を問わず社内のシステムを利用できるのが強みですが、手軽にアクセスできる反面、セキュリティには気を配らなければなりません。
多要素認証により厳重なセキュリティを設けることは、企業としての信頼度向上にもつながるでしょう。
デメリット：導入・運用コストが高くなることも…
リモートアクセスに多要素認証を導入するには、設備を整える必要があります。ワンタイムパスワードを発行するためのシステムやICカードリーダー、指紋を読み取るデバイスなど、導入の際にコストがかかるでしょう。
ただし、コストを安く抑えながらリモートアクセスに多要素認証を導入することも可能です。たとえば、スマホアプリを利用した所持情報認証とID・パスワードの知識情報認証の組み合わせであれば、導入費用を安く抑えられるでしょう。
リモートアクセスで多要素認証を導入すべきケース
どのような場合に、リモートアクセスで多要素認証を導入すべきなのでしょうか。
ケース１：社員が企業外で仕事をすることがある
テレワークのように、社員がオフィス外で仕事をし、リモートアクセスする機会が多い場合は、多要素認証を導入すべきといえます。オフィス内で仕事をする場合には、セキュリティは個々の端末ではなく、企業のネットワークと外部のインターネットの接続点（ゲートウェイ）にて一括で設定できます。
ただし、オフィス外からリモートアクセスする場合には、利用する端末に個別にセキュリティを設けておく必要があります。働き方の多様化に伴ってより厳重なセキュリティが必要になることを知っておきましょう。
ケース２：顧客にネットを通じてサービスを提供している
インターネットを通じて会員サイトのようなサービスを提供している場合、あるいは今後提供する予定がある場合は、多要素認証を検討しましょう。特に商品の購入を行う通販サイト・オークションサイトなどでは、クレジットカード番号のセキュリティが重要になります。
ただし、煩雑な手順の多要素認証ではユーザビリティが低下します。一口に多要素認証といってもいろいろな形態が考えられるので、ユーザーの負担が少ないものを選びましょう。
不正アクセス対策のために多要素認証を取り入れよう！
セキュリティの重要性は年々増加しています。リモートアクセスに多要素認証を用いることで、社外でも安全に仕事を行えるでしょう。しかし、一口に多要素認証といっても種類は多岐に渡ります。その中から自社の業務やサービスに適したものを選ばなければ、認証が煩雑になり、余計なコストもかかるでしょう。
数ある多要素認証システムの製品の中から気になるものを比較し、適切なものを選ぶことが大切です。
