多要素認証とは

多要素認証（MFA：Multi-Factor Authentication）は、セキュリティを強固なものにするための認証方式です。

通常の認証では、ID・パスワードやPINコードなどの1つの情報を使って本人確認を行いますが、多要素認証では2つ以上の情報を組み合わせて使います。

たとえば、ID・パスワードに加えて指紋やスマートフォンを使うことで、より安全な認証が可能になります。

多要素認証はスマートフォンを持っていなかったり、指紋が適合しなかったりすると、ID・パスワードを所有していてもログインができない仕組みです。

このように、複数の要素を使うことで不正アクセスやデータ漏洩などのリスクを低減できるのが多要素認証の大きな特徴としてあげられます。

多要素認証について理解を深めるために、ここでは以下のようなことについて解説します。

• 3つの認証要素
• 二段階認証・二要素認証との違い

それぞれ、詳しく見てみましょう。

（１）3つの認証要素

多要素認証で組み合わせる認証要素には、3種類あります。

これらの要素を組み合わせることで、アカウント情報のセキュリティ向上が期待できます。

たとえば、パスワード（知識要素）と指紋（生体要素）の組み合わせによる認証は、単一要素のみを使用する場合よりも安全性が高まるのです。

複雑化するサイバー攻撃を予防できる確率もアップするので、多要素認証はできるだけ取り入れるようにしましょう。

（２）二段階認証・二要素認証との違い

多要素認証と同じように認証を組み合わせてセキュリティを強化する方法として、二段階認証と二要素認証があります。

認証方式	認証の組み合わせ	具体例
二段階認証	2つの要素を組み合わせて認証する方式 同じ要素を2回使用することもあ（知識＋知識・四職＋所有など）	ID＋パスワードでログインした後に、秘密の質問で再度認証を試みる（知識＋知識の認証）
二要素認証	二段階認証の1つ 2つの異なる要素を用いて認証する方式 知識＋知識のような同じ要素を用いた場合は二要素認証にならない	ID＋パスワードでログインした後に、SMSに届いた認証コードを用いてログインを試みる（知識＋所有の認証） ID＋パスワードをアプリやブラウザに記憶させ、使用する際に指紋や顔認証で本人確認をしてからログインする（知識＋生体要素の認証）

二段階認証のように、同じ要素を用いて認証を試みる場合でもセキュリティ強化は可能です。

しかし、同じ知識要素のため、アカウント情報と秘密の質問を同じ場所に管理していた場合などは、不正アクセスのリスクが高まります。

そのことからも、二要素認証の方がより安全にアカウントを守れると言えるのです。

多要素認証が必要とされる背景

多要素認証は、総務省から発行された「テレワークセキュリティガイドライン」でも推奨されており、現在注目されている認証方式です。

その背景には、以下のようなものがあります。

1. パスワードのみでの認証のセキュリティリスク
2. クラウドサービスの利用増加
3. リモートワークでのセキュリティの課題
4. 多要素認証でのセキュリティ強化の重要性

それぞれ、詳しく説明します。

（１）パスワードのみでの認証のセキュリティリスク

現在、サービスへの認証方式にはIDとパスワードが用いられるのが主流です。

しかし、ID・パスワードのみの認証にはパスワード漏えいによる不正ログインや情報漏洩のリスクが伴います。

パスワードが他者の手に渡ってしまう原因には以下のようなサイバー攻撃があります。

• ブルートフォース攻撃
• 盗聴
• パスワードリスト攻撃

それぞれの攻撃がどのようなものなのか、次項にて詳しく説明します。

①ブルートフォース攻撃

ブルートフォース攻撃は「総当たり攻撃」とも呼ばれ、考えられるパスワードのパターンを片っ端から試してパスワードを解読しようとするものです。

ダイヤル式の南京錠をイメージすると、どのような攻撃かわかりやすいのではないでしょうか。

近年ではPCの処理速度がアップしたため、ブルートフォース攻撃に要する時間も短くなっています。

そのため、簡単に不正アクセスが成功してしまう可能性があるのです。しかし、ログイン時に多要素認証を利用していると、ブルートフォース攻撃が成功した場合でも再度異なる要素でのログインが必要になります。

攻撃者は異なる要素を所有していないため、それ以上のアクセスは不可能と言えるのです。

②盗聴

ネットワーク上における盗聴とは、アカウント情報や機密情報などのデータを不正な方法で盗み取ることを指します。

一般的にネットワークのデータは「パケット」と呼ばれる小さなデータ単位で送受信されています。

攻撃者は、このパケットを不正に取得し内容を読み取ることで、通信内容を把握しようとするのです。

通信を盗聴されると、以下のようなリスクが考えられます。

• 不正アクセス
• プライバシーの侵害
• データの改ざんによる信頼性の低下

ネットワーク通信は暗号化されていないと簡単に盗聴されてしまうため、暗号化された通信である「HTTPS」方式を利用しましょう。

暗号化された通信は盗聴されにくくなるため、情報の安全なやりとりが可能になります。

③パスワードリスト攻撃

パスワードリスト攻撃は、不正にログイン情報のリストを入手し、その情報によりさまざまなWebサービスへのログインを試みる攻撃です。

パスワードが覚えられないからと、複数のサイトで同じID・パスワードを使い回すことで被害が拡大する特徴があります。

たとえば大手の動画配信サービス会社では、他社サービスから流出したアカウント情報が利用されたとみられる不正アクセスが発生しています。

不正アクセスの試行回数が約800回にのぼったため、同社は対象となったアカウントに対して以下の対応を取りました。

• パスワード強制リセット
• ユーザーへパスワード再設定のお願い

どれだけ強力なパスワードを設定しても、使い回すなど管理が甘いと簡単にパスワードを解読され、不正アクセスの被害に遭ってしまいます。パスワードは厳重に管理し、使い回さないことが重要です。

（２）クラウドサービスの利用増加

クラウドサービスの利用が増加し、パスワードの管理が不十分な現状もあります。

IPA（情報処理推進機構）の「2022年度情報セキュリティの脅威に対する意識調査_概要資料」によると、パスワードを使い回す人はPCで41.9％、スマートフォンで53.4％という結果が出ています。

 引用：2022年度情報セキュリティの脅威に対する意識調査_概要資料

クラウドサービスの利用数が増えるごとに、1つ1つのパスワードを管理しなければいけないため、パスワードの「使い回し」が増えるのです。

パスワードの使い回しが増えると、1つのサービスで流出したパスワード情報を元に他のサービスへログインを試みる不正ログインの対象になります。

最悪の場合は、アカウントをハッキングされ重要な個人情報を抜き取られる恐れもあります。

（３）リモートワークでのセキュリティの課題

近年、リモートワークの増加によりセキュリティ面での課題が浮き彫りになっています。

新型コロナウイルスの影響で、社内システムやクラウドサービスへのアクセスがさまざまな場所から行われるようになりました。その中で注目されるのがネットワークのセキュリティ問題です。

リモートワークでは自宅のネットワークやカフェ、公衆無線Wi-Fiなどを利用する機会が増えます。しかし、公衆無線Wi-Fiは通信が暗号化されていないケースも多く、ネットワークが盗聴されてパスワードが漏洩するリスクが考えられるのです。

特に、VPN（仮想プライベートネットワーク）のパスワードが漏洩すると、不正アクセスが可能となり、会社のネットワークに侵入される危険性があります。この場合、顧客情報や個人情報の漏洩につながる可能性もあるのです。

こうしたリモートワーク環境でのセキュリティ課題に対応するために多要素認証が重要となっています。

多要素認証を導入することで、パスワードに他の要素による認証を追加できるため、セキュリティの強化が可能になるのです。

（４）多要素認証でのセキュリティ強化の重要性

多要素認証の導入はセキュリティ強化において重要な役割を果たします。

従来のパスワード認証では、パスワードの漏えいによるリスクが常につきまといます。しかし、多要素認証ではパスワードに加えて所持品や生体情報を使用するため、認証の信頼性を高めることが可能です。

もしパスワードが漏洩しても、他の要素が必要なため不正アクセスや情報漏洩のリスクを軽減できます。セキュリティ意識の高まりやクラウドサービスの普及などを受けて、多要素認証はますます注目されるようになっています。

多要素認証のメリット

多要素認証は以下のようなメリットがあります。

1. セキュリティの向上
2. ユーザーの利便性の向上
3. コンプライアンスの遵守

それぞれどのようなメリットがあるのか、事項より詳しく説明します。

（１）セキュリティの向上

多要素認証は、セキュリティの向上において重要な役割を担います。ID・パスワードだけでなく所持要素や生体要素を組み合わせることで、情報が盗まれたり不正アクセスされたりするのを防げるようになるのです。

その中でも、スマートフォンは所持要素として利用されることが多く、SMS認証やワンタイムパスワードなどの認証手段が頻繁に使用されます。

スマートフォンはICカードやハードウェアトークンのように物理的なデバイスを持ち歩く必要がなく、便利なセキュリティ強化手段となります。

多要素認証によってセキュリティが向上することで不正アクセスやデータ漏えいのリスクを軽減し、個人や組織の重要な情報を守ることが可能です。

（２）ユーザーの利便性の向上

多要素認証は、ユーザーの利便性を向上させることもメリットにあげられます。

なぜなら、多要素認証をログイン方法として設定しておくとIDやパスワードの入力の手間を省ける場合があるからです。

たとえば、いつも利用しているサービスやアプリケーションなどにあらかじめID・パスワードを記憶させておき、使用するときにはワンタイムパスワードや指紋認証など、知識要素と違う要素でログインする方法があげられます。

このように、多要素認証を用いると不正アクセスなどのリスクを軽減しながらパスワードの入力を省けることもあるので、ユーザーの利便性の向上が期待できるのです。

（３）コンプライアンスの遵守

多要素認証は、セキュリティの向上だけでなくコンプライアンスの遵守にも貢献します。

多くの業界では、個人情報や機密データの保護に関する法的要件があります。多要素認証を導入することで、企業の情報セキュリティポリシーに適合し、コンプライアンス要件を満たせるようになるのです。

また、法的な義務を果たすだけでなく、顧客や取引先に信頼性のあるビジネスプラクティスを示せるようになります。コンプライアンスを遵守することにより、企業の評判やブランド価値を保護したうえで生産性向上も期待できるのです。

多要素認証のデメリット

多要素認証には、以下のようなデメリットも考えられます。

• 導入コストがかかる
• 手続きに手間がかかる
• 多要素認証が利用できない場合がある

どのような点でデメリットと感じるのか、次項にて詳しく説明します。

（１）導入および運用コストがかかる

多要素認証を導入する際には、専用の機器やシステムの導入が必要なため、導入コストがかかります。

また、機器やシステムの管理および運用費用も継続的にかかるため、コスト面での負担が生じることを理解しておくべきでしょう。

ただし、最近ではクラウド型の多要素認証システムも存在しており、これを活用することで導入コストを下げられる場合があります。企業の状況や予算に合わせて最適なものを検討しましょう。

（２）手続きに手間がかかる

多要素認証は1度設定すれば解除するまで有効ですが、利用できるまでの手続きに手間がかかる場合があります。

たとえば、多要素認証を使用するために現在登録しているものと別のメールアドレスを用意したり、SMSによる認証を受けたりしなければならない可能性があるのです。

ユーザーによっては、この手間が煩わしく多要素認証を設定しないケースも考えられます。ただし、セキュリティの観点から考えると、手間をかけても多要素認証を設定することが重要です。

（３）多要素認証が利用できない場合がある

多要素認証にSMSによる認証を設定していてスマートフォンの故障や紛失があった場合は、多要素認証が利用できない場合があります。

また、紛失した場合にはスマートフォンの認証要素を悪用されて不正アクセスされるリスクもあります。このようなデメリットを軽減するためには、事前に紛失時の対策を考慮しておくことが重要です。

たとえば、スマートフォンの遠隔操作によるロックやリモートワイプ（遠隔操作によるデータの削除）を実行するなどが考えられます。

多要素認証が利用できないときには、サービス提供会社によるトラブルシューティングが公表されている場合もあるので活用するようにしましょう。

多要素認証の認証方式

多要素認証は、おもに3つの要素を用いて認証を実施します。使用される要素は以下のとおりです。

1. 知識要素
2. 所持要素
3. 生体要素

それぞれの要素がどのようなものか理解できると、効率よく要素を組み合わせて多要素認証を利用できるようになります。

（１）知識要素

知識要素は、本人が持っている情報で認証するため導入コストが低く抑えられる特徴があります。

また、Webサイトやアプリケーションなどのログインに一般的に使用されていて、現在でも主流の認証方法とも言えます。

知識要素として挙げられる一例は以下のとおりです。

• パスワード
• PINコード
• 秘密の質問

それぞれどのようなものか、詳しく見ていきましょう。

①パスワード

パスワードは、本人であることを証明するために用いられる文字列のことを指します。

IDと共に利用することで本人であることが判断され、サービスなどが利用できるようになるのです。パスワード認証は一般的に広く知れ渡っている認証方式のため、以下のようなことに注意しましょう。

• 名前や誕生日などの個人情報は使用しない
• 英単語など推測しやすい単語を使わない
• ランダムな文字、数字、記号を組み合わせてパスワードを作成する
• パスワードは10文字以上が望ましい（長くなりすぎないようにする）
• 知り合いであれば予測できるような情報を使用しない

これらの工夫によって、パスワードのセキュリティ向上が可能になります。

②PINコード

PINコード（Personal Identification Number）は、「個人識別番号」とも呼ばれるコードで、おもにスマートフォンのロック解除などに使用されています。PINコードは4桁の番号が主流で、設定した端末やアプリのみに使用可能です。

PINコードには以下のような特徴があります。

• 短い数字のみで構成されているので覚えやすい
• 入力が簡単で利用しやすい
• スマートフォンを紛失したときなどの対策に利用できる

ただし、PINコードは「簡単で利用しやすい」ことがデメリットになる場合もあります。たとえば、PINコードを入力しているときにのぞき見されると、子どもでも簡単にスマートフォンのロック解除ができてしまうのです。

PINコードを入力する際には、ソーシャルエンジニアリング（のぞき見などのネットワークを利用しない人的な攻撃）に特に注意しましょう。

③秘密の質問

秘密の質問は、事前に登録した質問とその回答を使用する認証手法です。

通常は、複数の質問とそれに対応する回答を登録し、認証時にランダムに出題される仕組みとなっています。この方法は、ユーザーにとっては直感的で使いやすい反面、セキュリティ上の懸念があります。

なぜなら、回答が推測されやすい情報である場合や第三者によって入手される可能性がある場合は、秘密の質問が簡単に突破されてしまうリスクがあるからです。

そのため、秘密の質問に関しても、パスワードと同様に慎重に選択する必要があります。

（２）所持要素

所持要素は、多要素認証において使用される要素の一つです。

ユーザーが物理的に所有しているデバイスなどを使って認証を行う方法のため、所有物の十分な管理が必要になります。

所持要素を設定すると、ユーザーは認証の際にデバイスやトークンを使用して本人確認を行います。これにより、第三者がパスワードのみを知っていても認証ができないため、セキュリティが強化されます。

所持認証の代表的な例としては、以下のようなものがあげられます。

• SMSやアプリによるワンタイムパスワード
• ICカード認証
• ハードウェアトークン

それぞれどのような役割があるか、見ていきましょう。

①SMSやアプリによるワンタイムパスワード

ワンタイムパスワードは、一度だけ使用可能なパスワードで認証時に安全な方法で生成されます。

現在主流となっているのは、アプリによるソフトウェアトークンや、SMSによるワンタイムパスワードです。ユーザーは提供されたパスワードを入力することで認証を行います。

ワンタイムパスワードは一定時間が経過すると無効化されるため、再利用や不正なアクセスへのリスクを抑えられるようになるのです。

ソフトウェアトークンとして使用される一例として、「Authy」「Google Authenticator」などがあります。

②ICカード認証

ICカード認証は、セキュリティカードや社員証などのICカードを使用して認証する方法です。

ICカードには個別の識別情報が格納されており、カードリーダーを通じて情報を読み取ります。ICカード認証はセキュリティの強化に役立ちますが、カードリーダーの利用や管理に十分な注意が必要です。

なぜなら、ICカードを何らかの方法で悪意のある第三者が所有した場合には、簡単にセキュリティを突破されてしまうからです。

また、退職者のICカードがそのままになっていると不正アクセスの原因にもなります。ICカードの利用や管理方法を社員全体に周知することが、ICカード不正利用防止につながります。

③ハードウェアトークン

ハードウェアトークンは、物理的なデバイスであるトークンを使用して認証する方法です。

キーホルダーやカードのような形状をしているものが多く、定期的に生成される一時的なパスワードが表示されています。

表示されたワンタイムパスワードを入力することで認証を完了させるのが、ハードウェアトークンを用いた認証の一般的な方法です。

ハードウェアトークンのセキュリティ性は高いと言えますが、トークンの紛失や故障の対策を事前に把握しておく必要があります。また、ハードウェアトークンは電池が切れると使用できないので注意しましょう。

（３）生体要素

生体要素とは、私たちが持つ個々の身体的な特徴や特性のことを指します。多要素認証では、これらの生体要素を使って認証することが可能です。

身体的な特徴は人それぞれ異なるため、悪意のある第三者にアカウント情報が盗まれたとしても、本人と判断できないため不正アクセス防止が期待できます。

生体要素を使用した認証はパスワードやカードなどの物理的なアイテムを持ち歩く必要がなく、簡単で便利な認証方式と言えます。

また、生体要素は盗まれたり忘れたりするリスクも低いため、セキュリティの面でも優れています。

生体要素としてあげられる主なものは以下のとおりです。

• 指紋
• 静脈
• 声紋

それぞれどのようなものなのか、詳しく見ていきましょう。

①指紋

指先にある模様の一部を読み取り、その情報をもとにユーザーを識別するのが指紋認証です。指紋は人それぞれで異なるため、本人を確認できる重要な要素となるのです。

生体要素である指紋を使用することで、パスワードやPINコードのような記憶に頼らない認証が可能となります。

ただし、指紋認証は指を負傷していたり油分や水分が付着していると正しく認証できないというデメリットもあります。

そのため、指紋を生体要素として使用したい場合には、複数の指の指紋を登録しておくといいでしょう。

②静脈

静脈認証は、手のひらや指の静脈の模様をかざすことで読み取り、その情報をもとにユーザーを識別します。

静脈の配置やパターンは人それぞれなため、他の人と区別が可能なのです。静脈認証では、近赤外線などの光を利用して静脈の模様を映し出しデジタルデータとして取得します。

取得したデータは暗号化され、認証の際に登録された静脈データと比較されます。静脈のパターンが一致した場合は認証が成功となるのです。

静脈認証は、厳しいセキュリティ体制が必要となる金融機関や企業のアクセス管理などで利用されています。ただし、静脈は手のひらの温度により変化するため認証がしづらい面もあります。

静脈認証は、現在の状況を踏まえて使用するか検討するべきでしょう。

③声紋

声紋認証は、声の特徴を解析しその情報をもとにユーザーを識別します。人の声は、発声器官や気道の形状、発音方法によって異なる振動や音のパターンを持っています。

そのため、声紋は生体要素の認証方式として有効な手段とされているのです。

声紋認証は、声を発するだけで簡単に認証が行えるため、利便性アップとセキュリティ強化の両立が可能になります。

ただし、声紋認証は騒音が多い環境で使用すると認証制度が落ちるという特徴があります。そのため、声紋認証は環境による影響を受けにくい場所で使用するといいでしょう。

多要素認証を導入するポイント3つ

多要素認証を導入するときは、メリットデメリットのバランスに気をつける必要があります。

導入するためのポイントは3つあります。

1. 自社に最適な認証方式を選択する
2. シングルサインオンでクラウドサービス利用時の利便性が向上
3. 所有するものが必要な場合は管理に注意する

それぞれ、詳しく説明します。

（１）自社に最適な認証方式を選択する

多要素認証を導入する時には、自社の社員や利用者に最適な認証方式を選択しましょう。

たとえば、入館システムでICカード付きの社員証を使用している場合は、ICカード認証で多要素認証が利用できます。

また、近年では大抵の社員がスマートフォンを所有していることでしょう。そこで、多要素認証もスマートフォンのアプリを利用したものにすると、現在の所有物を活用でき導入コストも下げられます。

多要素認証を導入するときは、自社の現在の状況やかけられるコストも考慮して、無理のない認証方式を選択することが重要です。

（２）シングルサインオン（SSO）でクラウドサービス利用時の利便性が向上

多要素認証を導入する時は、シングルサインオンができるソリューションを選ぶことでクラウドサービス利用時の利便性が向上します。

シングルサインオン（SSO）とは、1つのアカウント情報で複数のシステムやサービスにログインできる仕組みです。

シングルサインオンと多要素認証を併用して、アカウント情報のセキュリティを更に高めたい方は、弊社が提供するメタップスクラウドがおすすめです。

メタップスクラウドは、さまざまなSaaSを一元管理できるアカウント管理ツールです。

シングルサインオンや多要素認証にも対応しており、端末ごとのアクセス制限もかけられるのでセキュリティレベルの向上も期待できます。

また、SaaSの利用状況なども可視化されるので、使われていないものは契約を解除するなどのコストダウンにも貢献可能です。

アカウント管理に発生するさまざまな問題を解決可能なメタップスクラウドを、一度試してみるのはいかがでしょうか。

メタップスクラウドの詳細が知りたい方は、こちらからご覧ください。

（３）所有するものが必要な場合は管理に注意する

所持要素を利用した認証形式では、パソコンやカード・トークンなど機器の管理に十分な注意が必要です。なぜなら、紛失や盗難の場合、その端末を元に不正アクセスなどのサイバー攻撃の被害に遭う可能性があるからです。

また、一度端末を紛失すると端末の再発行や再設定が必要になる可能性があります。紛失や盗難に対するリスクを最小限に抑えるために、適切な管理とセキュリティ対策を実施しましょう。

まとめ

多要素認証（MFA：Multi-Factor Authentication）は、セキュリティを強固にするための認証方式で、導入することによりセキュリティの強化が期待できます。

また、多要素認証を導入すると、どの場所からでも安全にサービスを利用可能になるためリモートワークも有効です。

現在は、Office365やEvernote、Dropboxなどクラウドサービスのほとんどが多要素認証や二段階認証を無料で設定できます。

クラウドサービスの設定をしつつ、自社システムの入り口であるVPNに多要素認証を導入し、シングルサインオンに移行するなど段階的に利用しても良いでしょう。

メタップスクラウドでは、シングルサインオンに対応したSaaS一元管理ツールを提供しています。

SaaSアクセスの多要素認証やIP制限など、リモートワークでのセキュリティにも対応しています。

リモートワークでのSaaSのセキュリティにお悩みの方は、お気軽にご相談ください。