OpenTextのホームページ。
技術トピックス

リスクベース認証（RBA）とは何か？

ノートPCを中心としたITアイテムの図解

概要

アクセスを要求するユーザーのリスクを計算し、それに応じて認証を適応させる。

あなたの組織も含めて、サイバー犯罪の影響を免れることはできない。ヘルスケアから金融サービス、消費財などに至るまで、今日、サイバー犯罪者が手をつけていない業界はない。機密データへの不正アクセスは、組織のブランド・エクイティ、競争力、評判に対する広範な脅威となる。今日の進化する脅威の状況を考えると、従来のIDおよびアクセス管理テクノロジーではもはや十分ではない。企業のトップは、セキュリティ・インシデントが及ぼす影響を当然ながら懸念しており、脅威を検知するだけでなく、より重要なこととして予防することへのプレッシャーが高まっている。その目的が、混乱させることであれ、困惑させることであれ、個人情報から利益を得ることであれ、侵害の増加の一途は、環境全体のセキュリティレベルを引き上げる必要性を示している。幸いなことに、次世代 ID およびアクセス管理ソリューションは、目下のリスクに適合する高度なリスク・ベース認証技 術を採用している。

認証の欠如を指摘する情報漏洩

より高度な本人確認の必要性は、毎週発表される絶え間ない情報漏えいが物語っている。ソニー、ターゲット、ホーム・デポ、NPモルガン・チェース、アンセムなど、誰もが知っているブランド名は、顧客の信頼や金銭的損失を危険にさらすことがいかに身近なことであるかを思い起こさせる。

従来のクレデンシャルの使用と比較して、リスクベース認証（適応型認証とも呼ばれる）は、 ID 検証の動的レベルである。ユーザーの行動やその他の特徴的な属性を活用し、ユーザーが本人であることを確認するために追加ステップが必要かどうかを判断するという点で、インテリジェントなのだ。これらの特性には、場所、アクセス時刻、デバイスが既知かどうか、アクセスされている資産の種類などの特性が含まれる。すべての内部情報が機微なわけではなく、同じレベルのリスクを生むわけでもない。 OpenText™ NetIQ™ Access Managerリスク・ベース認証エンジンは、そのようなコンテキストをすべて処理し、別のレベルの ID 検証が必要かどうかを判断することができる。

良いアイデンティティ指標は何か？

それは、既知の特徴と個人の日常的な行動を特定する要素に行き着く：

アクセスの場所は、アクセスのリスクスコアに寄与する：

  • ユーザーはオフィスにいるのか、それとも遠隔地にいるのか？
  • 遠隔地にある場合、それは予想される場所にあるのか？
  • アクセス時間は一般的か、それとも範囲外か？

ログイン・パラメータは、アクセスのリスク・スコアに寄与する：

  • 以前にも、保護された情報へのアクセスに同じデバイスが使用されたことがありますか？
  • この装置の検証レベルは？

情報やサービスのリスク

  • 情報やサービスにはどの程度のリスクが伴うのか？
  • 同じユーザーが以前にもこの情報にアクセスしたことがあるか？

ダイナミック認証

リスクをどのように測定したいかをより高いレベルで理解したら、それに応じて保護するためのポリシーを作成する時が来た。NetIQ Access Manager の主な利点は、市場に出回っている多くの堅牢なソリューションと異なり、 リスクベース認証の設定と導入に開発者や専門家のチームを必要としないことである。

  • 保護したいアプリケーション、サービス、内部情報、その他のリソースのリストを作成する。
  • アクセス時に評価したいパラメータ（メトリクス）、または初回ログインが必要な場合は測定したいパラメータを特定します。注：認証前に NetIQ Access Manager と最初に接触した時点で、デバイスの潜在的なリスク（既知かどうかなど）を評価することもできます。
  • 各パラメーターに、その変数がどの程度リスクに影響するかという重み付けをする。さまざまな状況をカバーできるよう、ある程度の計画を立てる必要があるだろう。例えば、国外、あるいは遠隔地からアクセスする場合、二要素認証が必要な情報があると判断することができる。
  • 好きなだけ多くのリスクレベルを定義でき、そのリスクレベルにはアクションが伴います。一般的な企業情報の場合、イントラネット・ユーザにはストレート・アクセスを許可し、リ モート・ユーザには認証を要求することができます。財務文書や技術文書へのリモート・アクセスには二要素認証が必要と定義することもできる。
  • 認識できないデバイスや承認されていないデバイスについては、特定のタイプの資産に対して、特定のジオロケーションからのリモートアクセスを完全に防止することを選択できます。
  • 必要であれば、後で分析するために、各アプリケーションやサービスへのアクセスに対するリスク評価の詳細を記録することができます。

認証を適切なレベルまでステップアップさせるこのダイナミックなアプローチは、組織のデジタル環境のセキュリティをアップグレードするために不可欠な要素ですが、顧客の利便性と従業員の生産性を向上させるためにも使用できます。ユーザー認証が必要な状況を絞り込むことができれば、1回認証、2回認証、または強力な認証が呼び出されるタイミングを柔軟に制限することができます。つまり、NetIQ Access Managerを使用することで、データとユーザーによってもたらされるリスクを測定し、可能な限り頻繁に自由なアクセスを提供することができます。

リスクベース認証の利点

リスク・ベース認証は、顧客体験を最適化し、さらなるエンゲージメントを促進する必要がある企業にとって、特に大きな利益をもたらす。NetIQ Access Managerのリスクベース認証は、ユーザーができるだけ頻繁にソーシャル認証情報を使用し、金融取引や規制情報へのアクセスなど機密性の高い操作を実行する場合にのみ認証済みアカウントにアップグレードできるようにするために使用することもできます。製品や在庫情報へのアクセスを必要とするパートナーについても同様である。しかし、より機密性の高い情報が要求された場合には、本人確認のための追加ステップが必要となる。

NetIQについて

NetIQは、従業員や消費者のアイデンティティとアクセス管理を企業規模で支援するセキュリティ・ソリューションを提供しています。安全なアクセス、効果的なガバナンス、スケーラブルな自動化、実用的なインサイトを提供することで、NetIQの顧客は、クラウド、モバイル、データプラットフォームにわたるITセキュリティ体制に、より大きな信頼を得ることができます。

詳しくはNetIQホームページをご覧ください。

NetIQは、オープンテキストのビジネスラインであるCyberResの一部です。

OpenText™ リスクベース認証 (RBA)

今日から始めましょう。

詳細情報

お問い合わせはこちら

脚注