多要素認証は、製品を決めた時点で作業が終わるわけではありません。実際に難所となるのは、その後の社内展開と運用です。どの範囲から広げるか、利用者にどう説明するか、キーを紛失したときにどう戻すか。ここが決まっていないまま進めると、現場の混乱によって導入自体が止まってしまいます。製品の比較や選定の観点は多要素認証の製品選定、方式そのものの違いは多要素認証の基本で扱っているため、この記事では選定後の展開と運用に絞って整理します。
製品を決めた後にこそ難所がある
多要素認証の導入でつまずきやすいのは、全社一斉に切り替えようとするケースです。利用者の環境や業務の進め方は部署ごとに異なるため、一斉展開では想定外の不具合が同時に発生し、情シスへの問い合わせが集中します。対応が追いつかなくなると、現場からは「業務が進まない」という反発が出て、結果として展開そのものが止まります。段階的に範囲を広げ、都度手順を直していく前提で計画を立てるほうが確実です。
段階導入の順番の考え方
順番を決めるときの基準は、侵入された場合の被害が大きい範囲から先に守ることです。優先順位としては、管理者アカウントとサーバーへのログイン、次に社外からアクセスする経路、最後に一般利用者の端末、という並びが実務的です。
- 管理者アカウントとサーバー — 権限が広く、悪用されたときの影響が最も大きい範囲です。権限そのものの整理は権限管理の考え方も参照してください
- 社外からアクセスする経路 — 社内ネットワークの外から届く入口は、攻撃を受けやすい位置にあります
- 一般利用者の端末 — 対象人数が多いため、前段で手順が固まってから広げます。Windowsのログインに適用する場合の方法はWindows OSログインの2要素認証で解説しています
最初の対象を情シス自身にしておくと、登録の手順や引っかかりやすい箇所を、業務への影響が小さい範囲で確かめられます。そこで見つかった問題を手順書に反映してから次の範囲に進めるのが安全です。
利用者への説明で用意しておくもの
展開時に説明が不足すると、利用者は認証を回避する方法を探し始めます。最低限、次の三つを文書として用意しておきます。
- なぜ必要かの説明 — 手間が増える理由を伝えないと、負担だけが記憶に残ります
- 初回の登録手順 — 画面の流れに沿って、順を追って書いたもの
- うまくいかないときの連絡先 — 誰にどう連絡すればよいかを明記します
スマートフォンを業務で使わない利用者がいる場合は、代替となる手段を先に決めておく必要があります。選択肢はスマートフォンを使わない多要素認証で整理しています。
紛失・故障・忘れたときの復旧手続きを先に決める
運用面で最も重要なのは、認証手段が使えなくなったときの復旧手続きです。キーの紛失、端末の故障、パスワードの失念は必ず起こります。手続きが用意されていないと、その時点で業務が止まり、現場では担当者の判断で認証を一時的に外す対応が生まれます。そうした例外は記録に残らないまま定着し、抜け道が恒常化します。展開を始める前に、手続きを文書化しておくことをおすすめします。
復旧手続きを設計するときの注意
復旧手続きは、それ自体が新たな抜け道になりえます。緩すぎれば、なりすましによって認証を突破される経路になります。次の点を決めておきます。
- 本人確認の方法 — 電話やチャットの申し出だけで解除しない仕組みにします
- 承認する人 — 依頼者と承認者を分け、単独では解除できないようにします
- 一時的な迂回の期限 — やむを得ず認証を外す場合は、いつまで有効かを必ず区切ります
- 予備の手段の事前登録 — 平常時に代替の認証手段を登録しておけば、復旧作業そのものを減らせます。物理的なキーを使う場合はハードウェアセキュリティキーの項も参考になります
展開後に確認すること
展開が一通り終わった後も、運用が意図どおりに続いているかを定期的に見直します。確認する観点は次の通りです。
- 認証を経ない入口が残っていないか — 古い接続方法や個別の設定が抜け道として残っていないかを確認します。サーバーの特権アカウントについてはWindows Serverの特権アカウント管理も併せて確認してください
- 例外扱いの利用者が放置されていないか — 一時的に対象外とした利用者が、そのまま残っていないかを見ます
- 退職・異動時にデバイスが回収されているか — 認証用のキーや端末の回収は、入退社の手続きに組み込んでおく必要があります。全体の流れは入社・異動・退職時のID管理で解説しています
- 問い合わせの傾向 — 同じ内容の問い合わせが続く箇所は、手順書か設定に原因があります。傾向を見て運用を直していきます
審査までに展開が終わらない場合は、計画として示す形になります。示し方は Pマーク審査で認証を指摘されたときの対応で扱っています。
Microsoft 365 で全員に必須にする具体的な手順と、有効化で止まりやすい箇所は Microsoft 365で多要素認証を必須にする手順で扱っています。
いまの運用を棚卸ししてみる
多要素認証をどこから広げるべきか、復旧手続きが十分かは、現在の管理体制や利用環境によって変わります。applippliの無料棚卸しでは、10問・約3分で、自社の認証・アカウント管理の対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。