モバイルデバイスやクラウドサービスが当たり前のように業務でも使われるようになったいま、「ワークスタイル変革」や「ワークライフバランス」といった言葉が、企業の競争力と社員の働きやすさの双方を実現するキーワードとして注目されている。しかし、いつでも誰でもどこからでも仕事ができるようにするには、安心と安全の担保も絶対に欠かせない。なかでも重要なのが、仕事で使うあらゆるアプリやサービスなどの入り口となる「認証」だ。

そこで本企画では、企業とITの関わりに詳しいジャーナリストの佐々木俊尚氏に、いま求められる業務におけるIT活用のあり方や、その中で鍵を握る認証の理想的なかたちなどについて話を聞いた。第二回目では、佐々木氏が提言する、簡単かつ安心、安全なアクセス環境の実現に欠かせないポイントに迫る。

佐々木 俊尚氏

企業に必要なアクセス環境実現の鍵を握る「認証」

──いつでも、どこでも、そして誰でも仕事ができるような、簡単で安全な業務アプリやクラウドサービスへのアクセス環境を実現するための「鍵」はどこにあると考えますか。

ズバリ「認証」ですね。それも様々なアプリやサービスをワンストップで認証できるようにすることが、利便性と安全性のどちらの意味からも重要になってくるでしょう。実は認証の方法というのは相当に古くから皆が悩み続けてきたテーマなんです。

認証の王道と言えば、もちろんIDとパスワードですよね。皆さんも業務用、個人用にそれぞれのアプリやシステム、クラウドサービスの認証のために様々なパスワードを駆使しているのではないでしょうか。しかし固定のパスワードでセキュリティを担保するためには、システムやサービスごとにオリジナルかつ複雑なパスワードを設定し、定期的に変更する必要があります。

とはいえ昨今では、業務用だけでも数多くのシステムやサービスを使いこなすのが当たり前となりました。そうなると、IDとパスワードを管理するためのユーザーの負担が大きくなり過ぎてしまうのです。とりわけセキュリティ・ポリシーとして、パスワードを一定以上に複雑なものとすることをきちんと定めているような企業では、システムやサービスとパスワードの組み合わせをユーザーの記憶に頼ることはほぼ不可能だと言えます。その結果、昔から笑い話として定着している、「PCモニターの脇にパスワードのメモを貼っておく」といった本末転倒な事態が起こってしまうのです。

「セキュリティと利便性はトレードオフ」というのは情報セキュリティの常識ですが、ユーザーが使いにくくならないようにするには、どこをどう守るべきなのか、IT活用のベネフィットとセキュリティのバランスについて考え直す必要があるのではないでしょうか。

認証の課題を解決する手法とは

──認証およびパスワードに関する課題を解決するために、様々な認証手法が普及してきましたが、注目しているものなどはありますか。

それぞれのサービスごとに異なるIDとパスワードでログインしていたのでは大変なため、認証プラットフォームにパスワード管理を集約するアプローチが多くの企業で取り入れられていますね。これは非常に有効だと思っています。いつ、どのサービスに、誰がアクセスしているのかを把握することも容易なので、ガバナンスの強化にもつながるでしょう。

ただ逆に言えば、認証プラットフォームへのマスターパスワードを使ったログイン1つですべてのサービスにアクセスできてしまいますので、「認証」の重要性はさらに高まることになります。認証プラットフォームにいかに安全に認証させるかが大きく問われてくるでしょう。

──先ほどお話にあったサービスごとの異なるパスワードの使い分けも容易にするのが、認証プラットフォームに「ワンタイムパスワード(使い捨てパスワード)」を用いる方法ですが、こちらについてはどう考えますか。

確かに、ワンタイムパスワードは利便性とセキュリティを兼ね備えた認証手段だと思います。ログインのたびに異なるパスワードを使うため、一度使ったパスワードを繰り返し使うことがなくなり、パスワードの漏えいや盗難による不正ログインを防止する効果が高いですから。ただし1つだけ問題を感じるのは、ハードウェアトークンや専用のアプリケーションを必要とする点です。

今や社外のどこでも仕事をするのが当たり前になりつつあるのに、ハードウェアトークンを忘れたので仕事ができない、ということでは意味がありませんよね。またハードウェアトークンには通常、デバイスそのものの使用期限がありますが、もし海外の出張中に期限が切れてしまったらどうしたらよいのでしょうか。ソフトウェアトークンだと、そのアプリがインストールされているスマホと、サービスにアクセスする端末を分けないと意味を成しません。業務にスマホを使用する場合、サービス接続用のスマホとソフトウェアトークン用のスマホを別々に用意するのはナンセンスです。

──新しい認証方式としては、生体認証が話題となっていますね。

生体認証については、現状では、少々世間の期待が大きすぎるかなと感じています。生体認証にはいろいろな種類がありますが、その多くはまだまだエラーが多く、少なくとも単体で認証が成立できるような段階にはないというのが現実です。また本来、生体認証というのは、スムーズな認証を実現するためのものであるはずですよね。身近なものではスマートフォンのロック解除に指紋を利用するサービスがありますが、指が濡れていると認識されないことがあります。このようなエラーが度重なり、ストレスを生むようでは、何のために導入したのかわからなくなってしまうでしょう。

──ここまで、IDやパスワード管理の問題、認証プラットフォームのマスターパスワード保護の問題、ワンタイムパスワードのトークンにまつわる問題、そして生体認証の問題についてお話しいただきました。ここで、今回のインタビュー記事を提供しているパスロジの認証製品「PassLogic」を体験していただきたいと思います。「PassLogic」は認証の問題を包括的に、トークンや生体認証とは別のアプローチで解決するシステムとして開発されています。

なるほど、複数のサービスへのシングルサインオン環境に対して、パターンの記憶によるワンタイムパスワードで強固な認証を実現するわけですね。パターンは同じでも、パスワードは毎回異なるものをつくることができる。パターンを覚えるというのは、文字列を記憶するよりも、人間の生理的な本能に合致しているように感じます。

佐々木氏とのやりとりから、簡単かつ安心、安全なアクセス環境の答えが見えてきたようだ。最終回となる次回は、実際に佐々木氏に「PassLogic」を使ってもらった感想と、将来の「認証」およびITはどう進化していくのかについての同氏の見解などをお届けしよう。

パスロジからの紹介

「PassLogic」は、クラウドとオンプレミスを問わず、様々なサービスへの「シングルサインオン」を実現する認証プラットフォームです。「ActiveDirectory」や「LDAP」などとの「ID同期」、業務内容や役職などによりアクセス可能なシステムを振り分ける「アクセスコントロール」の機能もワンストップで提供します。

  • 「PassLogic」製品紹介ページはこちら

さらに、「パターンの記憶」によるワンタイムパスワードで認証を行うので、認証用のデバイスを別途用意する必要はありません。ブラウザで完結するため、リモートワークやモバイルの活用と相性が良く「いつでも」「どこからでも」「どの端末でも」利用する事ができます。

また、クライアント証明書発行し、その証明書をインストールした端末からのみアクセス可能とすることで、「パターン＋証明書」による「認証用デバイスの要らない2要素認証」も実現可能です。

  • 「認証用デバイス不要の2要素認証」を実現する機能について、さらに詳しく！ セキュリティの知識と情報をわかりやすく伝えるサイト「せぐなべ」

[PR]提供：