保護されたリソースにアクセスするときは、クレデンシャル情報でデータストアに対して認証を行う。それは、主張されるアイデンティティと、それに付随する秘密で構成される。伝統的に、これは単純なユーザー名とパスワードだけで行われており、今日最も一般的な認証方法である。残念ながら、ユーザー名／パスワード認証は、フィッシングやクレデンシャル・ハッキングに対して非常に脆弱であることが示されている。パスワードは覚えるのが難しいため、人々はシンプルなものを選び、さまざまなオンラインサービスやクラウドサービスに再利用する傾向がある。つまり、あるサービス上でクレデンシャルがハッキングされると、悪意のある部外者はそれを他の個人的・職業的デジタル・サービス上で試すことになる。

多要素認証（MFA）は、アプリケーション、データ・ストレージ、プライベート・ネットワークのような特定のリソースにアクセスできるようになる前に、2つ以上の認証方法を提供することをユーザーに要求することによって、これらの脅威や他の種類の脅威から保護するように設計されています。

ファクタ」という用語は、誰かの主張する身元を検証するために使用されるさまざまな認証のタイプまたは方法を示す。さまざまな方法がある：

パスワード、暗記した暗証番号、チャレンジクエスチョンなど、知っているもの。
持っているもの--歴史的にはハードトークンだったが、今日ではスマートフォンや安全なUSBキーが一般的だ。
一般的なバイオメトリクスは指紋や顔認識であり、音声やその他の認識技術のようなバイオメトリクスはあまり一般的ではない。

多要素認証

保護されたリソースに設定すべきファクターの数を決めるにはどうすればよいですか？

セキュリティ要件および使いやすさ要件は、要求者の ID クレームを確認するために使用されるプロセスを決定する。多要素認証によって、セキュリティ・チームは、要求者（個人またはプログラム・プロセス）のコンテキストや状況に対応できるようになり、最も一般的なシナリオであるアクセスを取り除くことができる。何種類の認証が必要かを決定するだけでなく、IT 部門は、ユーザビリティ要件とそれを実装するコストとのバランスをとる必要がある。

シングルファクター認証（SFA）

SFAは、モバイル、オンライン、その他のセキュリティで保護された情報および施設へのアクセスを確保するためのデフォルトであり、現在もそうである。SFAはどこにでもあり、安価であるため、最も一般的なタイプはユーザー名とパスワードである。それでも、さまざまなフィッシング攻撃による脅威を回避するために、パスワードレス技術が採用される割合は増えている。例えば、モバイルベースのアプリの大半は、従来のユーザー名とパスワードの代わりに指紋認証や顔認証を使うことができる。

現在、Microsoftとヤフーが提供するオンライン・サービスは、パスワードなしのSFAオプションを提供しており、アップルやグーグルといった他のベンダーも、今年中に同じオプションを提供する予定だ。

認証トークンは身元を確認するために使用されるため、部外者から保護する必要がある。強力なトークン・セキュリティに加えて、トークンはかなり頻繁に失効するように設定されていることが多く、更新率が高くなっています。パスワードレス・インターフェースの下で使用される短命トークンを実装することでセキュリティは向上するが、二要素認証が提供するレベルには達していない。

二要素認証 (2FA)

2FA は、本人確認のために第 2 のタイプ（know、have、are）の提供をユーザーに要求することで、セキュリティを強化する。ID の証明の 1 つは ID カードのような物理的トークンであり、もう 1 つはチャレンジ／レスポンス、セキュリティ・コード、パスワードのような記憶されたものである。第二の要因は、悪質業者やその他の外部アクターがセキュリティを突破するハードルを大幅に引き上げることである。

以下は、一般的な認証方法のリストである：

ワンタイムパスワード- TOTP、HOTP、YubiKey、その他のFIDO準拠デバイス
その他の帯域外- 音声通話、モバイル・プッシュ
PKI - 証明書
バイオメトリクス - 指紋、顔、音声認識
近接 - カード、モバイルアプリのジオフェンシング
知っていること- パスワード、チャレンジ・クエスチョン
社会的資格

三要素認証（3FA）

2つのファクターにもう1つのファクターを加えることで、主張する1つの身元を偽ることがさらに難しくなる。典型的なシナリオは、既存のユーザー名／パスワードにバイオメトリクスを追加し、さらに近接カードによるログインを追加することであろう。これは顕著なレベルの摩擦を加えるので、高度なセキュリティが必要な状況でのみ使用されるべきである。銀行は、様々な政府機関と同様に、3FAが意味を持つ状況を見出すかもしれない。空港や病院内の特定の厳重管理区域も、セキュリティチームが3FAが必要と判断した区域である。

MFAは通常どこで使われるのか？

多くの組織がユーザー検証を後回しに考えているが、ベライゾンが毎年発表するDBIRでは、クレデンシャル・ハッキングが常に侵害戦略の上位に挙げられていることに注意する必要がある。事実上すべての組織が、機密情報の紛失という事態に見舞われ、具体的な金銭的損失や顧客の信頼を失う可能性が出てくるのは時間の問題である。

このようなトレンドが注目されるのは、多要素認証が今日ほど便利で安価に導入できる時代はかつてなかったからだ。従来、企業はMFAの実装を、ビジネスにとってより高いレベルのリスクをもたらす情報を扱う一部の専門的なユーザーに限定してきた。コストとユーザビリティが、強力な認証技術の普及を阻む要因になることが多い。歴史的に、強力な認証方法は、購入、配備（ユーザ登録を含む）、および管理にコストがかかっていた。しかし最近、業界全体、組織自体、顧客（あるいは患者、市民、パートナーなど）、そして彼らがアクセスするテクノロジーにおいて、大きな変化が起きている。

多要素認証を導入する主なビジネス・ドライバーは何ですか？

各組織にはそれぞれ具体的な要件があるが、各組織に共通する高レベルのビジネス・ドライバーが頻繁に存在する：

ほとんどの業界は、顧客、患者、財務情報に関する何らかのプライバシー法を遵守しなければなりません。さらに、政府機関はユーザーの身元確認にMFAを要求する方針を固め続けている。
リモートワーク - これまで以上に、プロフェッショナルは、ロードウォリアーとして、あるいはリモートワーカーとして、オフィスの外で仕事をするようになっている。リスク管理の一環であろうと、政府の認証義務の対象となる情報（顧客、患者、市民、人事など）をカバーするコンプライアンス・イニシアチブの一環であろうと。
パワー・ユーザーと彼らが働く組織は、広く接続された世界でそうしている。つまり、彼らのクレデンシャルが侵害された場合、彼らの雇用主が露呈する脆弱性は、MFAでアカウントを保護するための説得力となる。
事実上、誰もがポケットにコネクテッド・コンピューター（スマートフォン）を入れており、そこからソーシャルメディア、消費者向けパーソナライズド・コンテンツ、eコマースといった生活を営んでいる。顧客は自分のデバイスで企業とデジタルにやり取りすることを期待しているため、企業はしばしば積極的なモバイルアプリ戦略を追求し、そのリスクを管理するためにMFAを必要とする。

組織がコンプライアンスに準拠するためにMFAを使用することを義務付けているのはどの法令か。

連邦金融機関審査委員会（FFIEC）は 2005 年 10 月、銀行に対し、ログイン・プロトコルを再評価し、唯一の管理メカニズムとして使用される場合、アクセスや資金の移動を伴う高リスクの取引には 1 要素認証では不十分であると考え、そのサービスのリスクに基づいて認証を強化するよう求めるガイダンスを発表した。金融機関もまた、顧客の信頼を得るために高いハードルを課せられている。
グラム・リーチ・ブライリー法（GLBA）-米国の金融機関は、顧客記録の安全性と機密性を確保しなければならない。
サーベンス・オクスリー法（SOX法）第404条は、上場企業の最高経営責任者（CEO）と最高財務責任者（CFO）に対し、組織の内部統制の有効性を証明するよう求めている。
PCI DSS 要件 8.2は、カード会員データ環境（CDE）のリモートアクセスの MFA を含む認証要件を定義しています。また、どのような方法を用いるべきかを推奨している。

MFAをユーザーエクスペリエンスに干渉しないようにするには、どのような方法があるだろうか？

IT部門は、MFAがユーザーに与える可能性のある摩擦を減らすために、いくつかのテクノロジーを利用することができる：

シングルサインオン。
アクセス要求のリスク評価
ユーザに最適な認証タイプを合わせる。

シングルサインオン（SSO）

シングルサインオン（SSO）は、ユーザが1つのクレデンシャルを入力するだけで、ユーザが複数のリソースに対して認証できるようにする。SSOに対する最も安全なアプローチは、認証エンジンがSSO用にセットアップされた各リソースに対して一意の認証情報のセットを使用することである。これにより、高いレベルのセキュリティが構築されるからだ：

ユーザーは、リソースの実際のクレデンシャルを知らない。むしろ、認証ゲートウェイに提供されたクレデンシャルが使用されるだけである。これにより、ユーザーはリソースに直接アクセスするのではなく、認証ゲートウェイを使用することになる。これはまた、各リソースが固有のクレデンシャルを持つことを意味し、そのうちの1つのIDストアが侵害されても、他のリソースが危険にさらされることはない。このアプローチにより、IT部門は、保護されたリソースへの連続認証を実行しながら、MFA要件に準拠することができる。
ユーザーのコンテキストを活用することで、リスクベース（RBA）技術を使用して、必要なときだけMFAを呼び出すことができる。政府からの指令に従うためであれ、組織のリスク管理ポリシーを実施するためであれ、RBAを使用することで、認証要求がユーザーに課されるケースを減らすことができる。ポリシーは一般的に、場所、デバイス、アクセス時間の組み合わせである。

摩擦の少ない認証オプション

伝統的な OTP/TOTP が第 2 因子認証の最も一般的なタイプであり続けるだろうが、状況に応じてより理にかなった他のオプションがあるかもしれない。帯域外のプッシュ型モバイル・アプリは、ユーザーが必要なのは承認ボタンを押すだけなので、OTPの摩擦の少ないオプションを提供する。よりリスクの高い状況のために、プッシュ型アプリにはオプションがある。プッシュ型モバイルアプリは、本人の身元を確認するために指紋を要求し、さらにユーザーがデスクトップとスマートフォンの両方を所有していることをさらに確認するために、デスクトップに提示された番号などの情報の確認を要求するように構成される場合がある。

顔認証は、急速にバイオメトリクス認証の選択肢になりつつある。Windows Helloの低摩擦性は、時間の経過とともに改善されることを指摘し、便利なユーザー体験を提供する。最大の課題は、Windows Helloがさまざまな照明状況でうまく機能しないことだ。照明の違いによる顔認識の失敗は、顔登録を追加することで対処できる。最近では、モバイルアプリの中には、その人の目の虹彩パターンを登録する機能を提供しているものもある。顔、指紋、虹彩）を併用することで、バイオメトリクス認証オプションは、部外者が破るにはかなり高いセキュリティ・ハードルを上げる。バイオメトリクス方式は、フィッシング攻撃から身を守るための摩擦の少ない方法を探している組織にとっても、優れた選択肢である。

音声認識は金融サービス分野で人気を博している。顧客がサービス担当者と話す際に、完全に受動的であるため、各機関はこれを好んでいる。顧客の本人確認が完了すると、担当者に通知される。彼らは、チャレンジ・クエスチョンに対する正しい回答を覚えるのが難しい顧客に対して、チャレンジ・クエスチョンの代わりに音声認識を使用している。この場合、セキュリティと使い勝手が最適化される。

FIDO/FIDO2は、ユーザーが複数のデバイスをローミングする場合に魅力的なオプションである。FIDOが魅力的な認証オプションである理由の一つは、幅広いベンダーのサポートとユーザビリティへの注力である。FIDOは、さまざまなデジタルサービスを利用する多数の学生を扱う大学で、顕著な支持を得ている。FIDOは、異なるデバイスやプラットフォーム間でのパスワードレス認証のポータビリティを可能にする。

スマートフォンのジェスチャーのプロファイリングは行動分析の一種であり、所有者がデバイスをどのように扱い、物理的に操作するかをヒューリスティックに分析する。出力は、トラッキングのジェスチャーパターンに基づく信頼度評価である。時間の経過とともに、プロファイリングは信頼性を増し、ジェスチャーの忠実度を高めていく。ジェスチャ・プロファイリングは、当初は ID 検証の主要な形式となるには十分な強度を持たないが、他の認証タイプと組み合わせて使用される適切な方法として役立つ可能性がある。

NetIQは他のMFAソリューションとどう違うのですか？

セキュリティ・チームは、採用する認証に付属するサポート・ソフトウェアを実装することが多い。これは、異なるソフトウェアの実装を必要とする異なるデバイスが購入され、さらに別のサイロができるまではうまく機能しているように見える。大規模な組織では、多要素認証やその他の認証要件を満たすために、複数のパスワードレス技術がサイロ化されていることがよくある。この状況の弱点は、各認証サイロが独自のポリシー・セットを持つことである。このような複数のポリシー・ストアを最新の状態に保つには、管理者のオーバーヘッドが大きくなり、ポリシーにばらつきが生じるリスクがある。

OpenText™ NetIQ™ Advanced Authenticationは、最大規模の組織における多要素認証のニーズにも対応できるよう設計されています。標準ベースのアプローチにより、ベンダーロックインのリスクから解放されたオープンなアーキテクチャを提供する。このフレームワークは、さまざまなデバイスや追加メソッドをすぐにサポートするが、新しいテクノロジーが市場に提供されるにつれて拡張することもできる。

プラットフォーム（ウェブ、モバイル、クライアント）に関係なく、AAは最も一般的なプラットフォームとアプリケーションをすぐにサポートします。AA は、全社的な認証の中央ポリシー・エンジンとしての役割を果たすだけでなく、MFA がいつ呼び出されるかを制御するリスク・ベース・エンジンも提供している。AA は、独自のビルトイン・エンジンだけでなく、NetIQ Access Manager と統合することで、アダプティブ・アクセス管理のユースケースの一部として使用できる、堅牢なシングル・サインオン・オプションとリスク・メトリクスのセットを提供する。