「二要素認証」のすすめ~安全にPCにログインするための基礎知識

「二要素認証」のすすめ~安全にPCにログインするための基礎知識企業のITを狙った犯罪が深刻化しています。大手企業だけではなく、中小企業や多くの官公庁、地方公共団体も被害に遭っていることから、あらゆる企業・団体は対策が不可欠。そのような中、総務省などの企業も推奨しているのが「二要素認証」などの多要素認証によるPCへのログイン(ログオン)です。今回は、多要素認証や二段階認証など、ID・パスワード以外でPCを…ひいては、企業の貴重な情報を守るための方法について学んでいきましょう。

二要素認証に注目が集まる背景…マイナンバー専用PCへのセキュリティにも

昨今、企業や官公庁・自治体等のWebサイトやサーバー、PCなどに不正にアクセスすることで、情報を盗み取るような犯罪が報道される機会が増えています。中には多くの人がご存知のように、数百万件にも及ぶ個人情報が漏えいした事件や、メールで言葉巧みに官公庁の担当者をだまして不正アクセスのきっかけをつかむような事件も発生しています。

ますます巧妙化する、企業へのサイバー犯罪。その対策をWebやネットワーク、サーバーなどの担当者は強化していることでしょう。このようなネットワーク上の対策に加えもう1つ、対策すべき重要なポイントがあります。 巧妙化するサイバー犯罪に二要素認証で備える…マイナンバー専用PCへのセキュリティにも

それは、従業員・職員、スタッフが日常の業務で使用している「PC」。PCを起動してログインする際の対策です。もし、悪意を持つ者にPCのログインを許してしまうことになると、それは大きな被害が出ることが予測されます。まず考えられるのが、重要な情報や個人情報などの漏えい。もしそれが、マイナンバー情報など個人情報を管理しているPCであれば、被害は甚大なものになるでしょう。それ以外にも、PCの持ち主になりすますことで、様々な犯行を行われてしまう可能性もあります。このような新たな脅威への備えが急務なのです。

そこで、PCへの不正なログインを許さない仕組みが必要となりますが、多くの場合、すでにIDとパスワードを入力して認証することが一般的でしょう。そして、パスワードは定期的に変えることにしている…という対策をしている企業も多いかもしれません。しかし、パスワード管理が複雑になればなるほど、逆に「PCに付箋を貼る」人が増えたり、パスワードを安易に使い回した結果「パスワードリスト攻撃」の標的にならないとも限りません。

関連記事: まだパスワードを付箋で貼っている?「PC認証、もっと簡単ならいいのに…」

このような状況を踏まえ、注目を集めているのが二要素認証や二段階認証です。特に、2015年3月に総務省が発表した『地方公共団体における情報セキュリティポリシーに関するガイドライン』でも、二要素認証を推奨する記述があります。特に地方公共団体では積極的に取り入れたいところですが、一般企業でももちろん、対策の1つとするべきでしょう。

例えばマイナンバー制度が施行されることで、企業はその安全な運用・管理が求められるようになります。そのため、安全性の高い「マイナンバー業務専用PC」の設置を考えているケースも多いようですが、そのPCへのセキュリティ強化策の1つとして、二要素認証は有効と考えられるのです。

では次に、二要素認証とはどのようなものなのか、その基本的な内容を見ていきましょう。

 

 二要素認証、二段階認証…複数の認証方式の基本を知ろう

PCを起動してIDとパスワードを入力し、それに別の“要素”を組み合わせなければ認証できない方式を、二要素認証あるいは多要素認証と呼ばれます。認証するための“要素”は大きく下記の3つに分けられます。

(1)対象者の「知識」を利用したもの

ID・パスワードとICカード認証例:ID・パスワード など

(2)対象者の「持ち物」を利用したもの

ICカード、USBトークン など例:ICカード、USBトークン など

(3)対象者の「身体の特徴」を利用したもの

指紋、静脈など生体認証例:指紋、静脈など生体(バイオメトリクス)情報

知識、持ち物、身体の特徴(生体情報)の3つを指して、認証の三要素と呼ばれることもあります。これらの異なる2つの要素を組み合わせるのが二要素認証です。(ただし、昨今は同一要素の組み合わせでも二要素認証と便宜上、呼んでいる場合もあります。)

二要素認証の例としては、

●ID・パスワードとICカード認証
●ID・パスワードとUSBトークン
●ID・パスワードと静脈認証
●ID・パスワードと指紋認証

というように、ID・パスワード+別の要素というようにしているものが一般的ではないでしょうか。それぞれの要素には、セキュリティ強度を考えた場合にメリット・デメリットがありますが、組み合わせることで、よりセキュリティ強度は高くなると考えられます。

また一方で、「二段階認証」という言葉を聞いたことがある方もいるのではないでしょうか。これも二要素認証と似ていますが、文字通り認証が「段階」に分かれていることが挙げられます。ID・パスワードに加えて、ワンタイムパスワードやセキュリティコードを入力するというようなケースが多いのではないでしょうか。

ほかの認証方式として、「リスクベース認証」という認証方式もあります。基本的には、二要素や二段階で認証を行うのですが、安全が確認できる環境では、ID・パスワードのみで認証を行い、IPアドレスが変わった場合などには別の要素での認証を求めるというような方式です。

このように、様々な認証方式が登場していますが、今後、多要素認証や二段階認証など、「ID・パスワードのみ」という認証は少なくなることでしょう。セキュリティ対策を考える上でも、二要素・二段階認証をなるべく早めに採用することをおすすめします。

▼関連製品
PCの「二要素認証」をはじめるなら …… SmartSESAME PCログオン
自治体 セキュリティ対策 調査レポート ダウンロード 「セキュリティー ハンドブック2016」ダウンロードページへ FinTech 金融 セキュリティ対策 ダウンロード PCログオン 詳細ページへ 文書電子化ハンドブック ダンロードページへ 情報セキュリティ対策ハンドブック ダウンロード