今さら聞けない「二要素認証」の基本(3) 運用のしやすさを考慮した環境整備における注意点

これまで2回にわたって紹介してきた「二要素認証」。前回は、それぞれの組織の状況を考慮して環境を整備していくポイントをお伝えした。最終回となる今回は、システム構築してから問題になりやすい「運用面」に注目し、注意すべきポイントを整理する。

・【第1回】ここだけは押さえておきたい二要素認証の基礎知識と検討ポイント・【第2回】組織に最適な二要素認証の整備方法

認証基盤は運用を考えて採用することが大事

企業や自治体を狙ったサイバー攻撃が日常化し、情報漏洩事故が相次ぐなかで、有効な対策の1つとして期待されている二要素認証。二要素認証システムの構築は、導入する組織における端末の特性や利用シーンに応じて、最適な認証方法を選択していくことが重要だ。前回までに、それぞれのシーンにおいて、ソリトンシステムズの二要素認証ソリューション「SmartOn」がどのように活用できるのかを具体的に説明してきた。

おさらいとして簡単にまとめると、(1)デスクトップPCなど社内据え置きタイプの端末、(2)Windows のノートPCなどモバイルタイプの端末、(3)Windows以外のタブレットやスマートフォンなどの端末に対し、「ICカード認証」「顔認証」「指紋認証」「デジタル証明書」を適材適所で使い分けることが構築のポイントとなる。SmartOnは、ICカード認証や顔認証、指紋認証などデバイスの特性や利用シーンに応じた認証方式を効率よく適用できることが大きな特徴だ。1997年にリリースされ、重要情報を扱う企業や自治体を中心に、3,800社累計260万ライセンスの導入実績を持つ。

もっとも、二要素認証はシステムを構築すれば完了するわけではない。むしろ、構築後の運用がカギを握っており、運用がうまくいかなければ認証システムを構築する意義はないとも言える。そこで、ポイントになるのが「運用負荷をいかに低く抑えるか」だ。システムの運用負荷が高ければ、使い勝手が悪くなるだけでなく、セキュリティを回避しようとしたり、負荷を下げるために人手での余分な作業が発生しコストが高くなるといった問題が起こりやすくなる。つまり、システム構築を検討する際には、運用のことを考慮した基盤製品であるかを念頭においておくことが大切だ。

SmartOnは、運用のしやすさという点においても有効である。具体的にどんなシーンで運用が問題になるのかという点から、二要素認証システムの構築と運用のポイントを整理していこう。

管理者の負荷を軽減するための4つのチェックポイント

運用には、大きく分けて、管理者に対する負荷と、エンドユーザーに対する負荷の2つがある。まず、管理者に対する負荷では、次のような作業が発生することを把握しておくことがポイントだ。

・ユーザーの登録・変更・削除・認証情報の一括登録・クライアントディスク（ポリシー）の更新・PC利用状況のログ管理

ユーザーの登録・変更・削除の作業では、システム構築時に登録することはもちろん、人事異動などによる情報の変更、退職などにともなう情報の削除が必要になる。数十人を超える規模のユーザーを管理する場合、こうした作業を人手で行うことは現実的ではない。CSVからの一括登録や差分のインポートができるか、既存の人事システムと連携できるかなどは確認しておく必要がある。

次のポイントの認証情報の一括登録とは、ICカード認証や顔認証に必要な認証情報をどのように登録するかだ。ICカード認証では、社員証や入退室カードなど既存のICカードを利用し、1枚のカードで運用できるようにするのが一般的だ。その際に、配布しているICカードを収集するのでは作業負荷が高まってしまう。ICカードを収集している間に、他業務に支障がでる可能性もある。ICカードを集めなくても、情報を登録できる仕組みがあるかを確認しておきたい。

認証情報の一括登録

クライアントディスク（ポリシー）の更新というのは、クライアントにインストールするエージェントソフトの更新に関する作業だ。クライアントのポリシーを見直したい際に、サーバーから一括で更新したり、自動アップデートが行えたりというのは、運用負荷を低くする大きなポイントになる。

クライアントの管理

内部統制やコンプライアンス上、絶対に欠かせないのがPC利用状況のログ管理だ。ICカードや生体認証で本人を特定し、「誰が」「いつ」PCを利用したのか、ログをサーバーで一元管理し長期間にわたり保管しておくことが重要となる。さらに、PC上のファイル操作ログやアプリケーション起動ログ、Webアクセスログなどを記録するPC操作ログ管理システムとの連携も考慮されていると、安全性はさらに向上する。共有PCでもユーザー（ICカードや生体認証）に紐づいたPC操作ログを取得できれば、有事の際の利用状況把握も迅速に行えるからだ。

リリースから15年の実績があるSmartOnは、こうしたポイントへの対応は当然行われている。詳しくは、末尾にリンクを掲載している製品サイトを参考にしていただきたいが、強固なセキュリティのもと、管理者の負荷を軽減するさまざまな機能が備わっている。

エンドユーザーの負荷を軽減するための4つのチェックポイント

次に、エンドユーザーの負荷を軽減するためのポイントを整理してみよう。エンドユーザーの負荷が高まるシーンとして、大きく以下の4つが考えられるだろう。

・ユーザー自身が認証情報を登録する場合・ICカードを忘れたり、紛失したりした場合・スムーズに認証できずに失敗した場合・離席時などに自動でロックされない場合

最初の、ユーザー自身が認証情報を登録する場合というのは、利用開始時にICカードや顔の特徴点情報を、利用者自身がPC上で登録する作業のことだ。指紋認証では、ユーザーを集めて指紋の特徴点情報を登録する「登録会」を実施するケースが多い。一ユーザーあたり3指以上の特徴点情報の登録を行うのが一般的だが、他人の指も登録されてしまう不正登録のリスクを防ぐためだ。ICカード認証や顔認証の場合は、一ユーザーに対し複数人の認証情報が登録されてしまうリスクをシステム側で防げるため、オンラインで実施することも可能だ。そうしたユーザー自身によるオンライン登録の仕組みが備わっているかどうかは、エンドユーザーの負荷に大きく関わってくる。

次のICカードを忘れたり、紛失したりした場合の対応も、ユーザーにとっては大きな負荷になる。ICカードを取りに戻ったり、再発行を申請して、実際に再発行されるまでは利用できないといった仕組みでは、ユーザーの使い勝手は落ちてしまう。出張先に持っていくのを忘れたというケースでは仕事そのものができなくなってしまう。そうした場合に、臨時カードや代用コードを発行したり、緊急回避モードが用意されていれば、そうした状況に対応できる。また、ICカードを紛失した場合も、ICカードを失効させて不正利用を防止したり、すみやかに別のICカードを再発行したりできる仕組みがあることが望ましい。

ICカード認証の場合の運用例

さらに、認証自体がスムーズにできるかどうかも重要なポイントだ。例えば、指紋認証は、職種によっては、手荒れや薬品などの影響で認証されにくくなることが知られている。そうした変化を考慮して、認証率で一定の水準を維持できるかどうかをチェックしておきたい。望ましいのは、定期的に経年の変化を考慮して、認証情報を自動的にアップデートできるようなシステムだろう。もちろん、ICカードのように、経年変化のない認証方式を採用することも有効だ。

最後の、離席時などに自動でロックされない場合というのは、窓口端末に二要素認証を導入しても、ちょっとした離席時に端末画面のロックが自動でかからないという問題に、どう対応できるかだ。たとえば、指紋認証や静脈認証では、ユーザーが離席したかどうかの判定を行うことはできない。端末を利用している間、ずっと指紋を認証させ続けることはできないためだ。その点では、ICカード認証や顔認証は、離席のタイミングをチェックすることができる。運用の工夫により、安全性を維持したままユーザーの負荷を下げることが可能だ。

認証後のセキュリティ確保も必要

ユーザーに負荷をかけずに、安全な運用を担保できるかどうかは二要素認証システム採用の大きなポイントだ。SmartOnはその点で、ユーザー自身による認証情報の登録や、ICカード紛失時の対応、顔認証における認証情報の自動更新機能、離席時の自動ロック対策などが可能だ。

自社の環境に合った二要素認証を無理なく導入するために

サイバー攻撃や相次ぐ情報漏洩事故を受け、さまざまな業界で二要素認証を採用しようという機運が高まっている。住民の重要情報を預かる自治体向けには、総務省が「自治体情報システム強靱性向上モデル」をすすめ、二要素認証の採用が必須となった。そんななか、何が構築のポイントになるのか、運用の際には何に気をつければいいのかを検討することが重要だ。

SmartOnは、組織の状況に合わせた適材適所な二要素認証システムの構築が可能だ。また、運用という観点で見た場合も、管理者とエンドユーザーに負荷をかけることなく、効率よく運用できる仕組みとノウハウを提供できるソリューションとなっている。自社の環境に合った二要素認証を無理なく構築・運用し、セキュリティレベルの向上に役立ててほしい。