【対面イベント】「Security Days」講演レポート#3「『多要素認証』導入を楽にする！ガイドラインから見えてくる要点と選び方」

ネットワークに潜む攻撃者は、機密情報を抱える企業にとって大きな脅威の一つです。攻撃者は企業のセキュリティ環境に合わせて攻撃手段を変化させるため、企業側も強固な対策を実施することが求められます。

ソリトンシステムズは、最新のセキュリティ動向や当社製品の魅力をもっと多くの企業担当者様に知っていただくため、2023年3月7〜10日にJPタワーホール＆カンファレンスで開催されたサイバーセキュリティ専門の対面イベント「Security Days Spring 2023」に参加。最新の脅威動向やセキュリティ対策、そして当社製品について、全4セッションの講演を行いました。

今回の記事では、イベント3日目に実施した講演「『多要素認証』導入を楽にする！ガイドラインから見えてくる要点と選び方」について、概要とポイントをご紹介します。

法改正やガイドライン強化により高まる、多要素認証の必要性

多要素認証とは、認証の代表的な3要素である「知識」「所有」「生体」のうち、二つ以上を組み合わせて認証を行う技術です。

• 知識：パスワード、マトリクスなど
• 所有：ICカード、USBトークン、スマートフォンなど
• 生体：顔、指紋、静脈など

例えば、「デバイスを盗まれた」「パスワードが漏れた」といった場合でも、他の認証要素が揃わない限り攻撃者は不正ログインや不正アクセスを行えないため、セキュリティレベルを高める方法として有効だと言えます。

かつては “一段上のセキュリティ” と言われていたこの多要素認証ですが、今や一般化されつつあります。その背景には、デジタル化による情報漏えいリスクの高まりと、それに伴うセキュリティガイドラインの強化があります。

これまでは、守らなければならない情報は紙文書やディスク媒体、Webサーバーなど、さまざまな形で分散して保管されていました。しかし、業務のデジタル化が進むにつれて、こうした情報の取り扱いもデジタルに統一されるようになりました。PCから直接アクセスできる情報が増えたことで、一度の不正ログインや不正アクセスで起こり得る情報漏えいの被害規模が、これまで以上に大きくなっているのです。

企業の重要情報の漏えいは企業自身にとってだけでなく、国にとっても経済安全保障の観点から大きなリスクとなるため、法改正による保護範囲の拡大や罰則の強化を実施しています。さらに、防衛・金融・医療をはじめとした幅広い業界で、セキュリティガイドラインの策定・強化に乗り出しています。

これらのガイドラインの多くで、先述のデジタル化の流れをふまえ、情報資産へのアクセスの入口部分を守るべく、「PCログオン時の多要素認証」の導入義務に関する記述が追加されました。特に、リモートアクセスでのログオンには攻撃耐性の強い方式をとるよう求めるなど、要求のレベルも高いことが特徴となっています。

多様化する脅威から企業やサプライチェーン全体を守るのはもちろん、適切なセキュリティ対策をして法的な保護を受けるためにも、「PCログオン時の多要素認証」はもはや “一段上のセキュリティ” ではありません。中小企業から大企業まで規模を問わず、必須の対応になっていくと言ってよいでしょう。

ユーザーによって異なる多要素認証の要件

これまで、ガイドライン上で“推奨”とされていた多要素認証が“必須”となったことで、「急いで導入に向けた取り組みを進めたい」と考え始めたお客様もいらっしゃるのではないでしょうか。

しかし、自社に合わない製品を慌てて選定してしまうと、導入・運用の負荷がとても大きくなってしまうため、適切な製品選択を行うことが重要です。ガイドラインに記載されたベースとなる要件だけでなく、お客様固有の環境や要件もふまえてより適したソリューションを導入するために、特に見ておきたいポイントを次の3つの観点からご紹介します。

• システム導入面
• 現場業務に与える影響
• コストパフォーマンス

システム導入面

新たな認証方法を導入する際は、構築やクライアント展開まで含めて、管理者や関係者の負担をどれだけ軽減できるかが重要です。
以下4つのポイントを押さえて、導入する製品を選択することをおすすめします。

• 業界での導入実績があるか
• 構築の難易度が高すぎないか
• 要件に合わせた柔軟な設計が可能か
• 認証情報の登録やクライアント展開は容易にできるか

上記4つの観点を確認しておくと、適切な製品選択ができるでしょう。

現場業務に与える影響

多要素認証の運用では、特に現場への配慮が必要です。たとえば、病院に指紋認証のシステムを入れてしまうと、PCを使用する際に手袋を外す手間が発生するかもしれません。高度なセキュリティ認証をすばやく、手間なく終えられる方法を選択することで、現場への浸透を後押しすることができます。よって、認証は現場に合わせた最適な方法を選択しましょう。
選択の際は、下記3つのポイントを意識すると、現場に合った認証方法を導入できます。

• 業務効率を低下させずスムーズに認証が行えるか
• ユーザーのストレスにならないか
  (マスクや手袋をいちいち外さずに認証ができるか など）
• VDI、共有PCなど現場ごとに異なる環境でも対応が可能か

コストパフォーマンス

ここまで見てきた “導入・運用の負荷をできる限り抑えつつ、現場の理解も得られる多要素認証システム” を、いかにコストを抑えて実現するかが最後のポイントです。製品を検討する際は、コストパフォーマンスに関する下記3つの観点で比較してみましょう。

• 導入・展開時のコストが抑えられるか
   （高額のデバイスが必要とならないか など）
• 導入後に余計なコストがかからないか
   （設定・運用の見直しやヘルプデスク対応 など）
• 信頼して長く使い続けられる製品か
  （品質・サポート面 など）

導入にあたっては、専門家のアドバイスや実証実験を通じて、自社に最適な製品を選択することが望ましいです。

SmartOn IDで、ユーザー環境に合わせた認証強化が可能に

ソリトンシステムズでは、PCログオン時の多要素認証のスムーズな導入を実現する、「SmartOn ID」を提供しています。

1997年のシリーズ販売開始以来、累計約4,500社・350万ライセンスと、多くのお客様にご利用いただいてきました。各種ガイドライン要件への対応はもちろん、お客様の業務や運用に合わせ幅広いご提案が可能です。構築実績の豊富なパートナー様が多数いらっしゃるため、初めての多要素認証導入でも安心してお任せいただけます。

「自社の要件に合う製品がわからない」とお悩みの企業担当者様は、ぜひ「SmartOn ID」の活用をご検討ください。

導入を楽にするさまざまな機能

サイレントインストールによるクライアント展開、認証情報の一括登録、もしくは初回ログオン時の自動登録が可能で、導入から切り替えまで非常に簡単です。

現場に負担をかけない認証技術と機能

「SmartOn ID」の顔認証では、ユーザーがID・パスワードを打ち込むとカメラが起動し、瞬時に顔を認識。非常にスピーディな上、マスクを着けたままでも認証ができるため、ユーザーにストレスをかけない運用が可能です。
また、ICカードや指紋認証など、要件に合わせて様々なトークンを組み合わせて導入いただけます。

シングルサインオン機能を活用すれば、ユーザーにとっての利便性や業務効率を高める効果も期待できます。
その他、ユーザーがPCのもとを離れると自動でロックがかかる「離席ロック」機能など、お客様の細やかなご要望に応える機能も豊富です。

リーズナブルな価格

業界最高品質の顔認証ライセンスを、リーズナブルな価格でご提供しています。顔認証の場合、専用かつ高額な生体認証デバイス等が不要であることもポイントです。また、職員証や定期券をICカード認証にそのままご活用いただくなど、様々な形でコストを抑えたご提案が可能となっています。

自身の講演について、ソリトンシステムズ プロダクトマーケティング部 マネージャーの光井 一輝は最後にこう振り返ります。

 “ここ数年の情報漏えいリスクの高まりを受けて、新たなセキュリティガイドラインが策定されたり、経済安全保障やサプライチェーンリスク対策の観点からその強化が進んできたりする中、対応に苦労されるお客様が増えてきていることを実感しています。 

 ガイドラインに準拠したセキュリティ対策を実施していなければ、何かあった際に業界内での信頼の喪失を含め、受けるリスクは大きいものがあります。対策を急ぐ中でも、より自社の実態に即した仕組みを導入するために、まずはセキュリティの知識が豊富なベンダーやセキュリティメーカーにご相談いただくのが近道だと思っています。その際、ソリトンもその候補のひとつとしていただけたら幸いです。” 

今後も各イベントに出展予定です

今後も東京で開催されるイベントはもちろん、全国で開催されるイベントにも出展予定です。
皆様のご来場を心よりお待ちしております。

ソリトンの 出展情報はこちらからご確認いただけます。

取材日：2023年3月9日
株式会社ソリトンシステムズ