2要素認証の必要性は理解していても、導入の検討が途中で止まってしまう企業は少なくありません。その理由として実務でよく挙がるのが、従業員の私物スマートフォンを業務に使わせられないという事情です。この記事では、スマートフォンを前提にできない環境で、PCログインの認証をどう強化するかという観点から、選択肢と決めておくべき運用を整理します。認証方式そのものの基礎は多要素認証の基本で扱っています。
認証強化が現場で止まる理由
止まる理由は技術的な難しさよりも、現場の事情に起因することが多いです。代表的なものを挙げます。
- 私物端末を使わせることへの抵抗 — 業務のために個人の端末にアプリを入れてもらう形になり、従業員側から反発が出る、あるいは労務面での説明が難しい
- 会社支給端末のコスト — 全員に業務用のスマートフォンを配ると、本体費用と通信費が継続的に発生する
- 作業中に端末を持てない職場 — 製造現場や倉庫、厨房、医療・介護の現場など、手がふさがる、あるいは持ち込みが制限される環境がある
- 共用PCの存在 — 交代勤務で複数人が同じPCを入れ替わりで使う運用では、個人の端末を毎回取り出す前提が業務の流れに合わない
つまり、スマートフォンを使う方式が悪いわけではなく、全員に一律で適用できないことが問題です。前提を変えれば選択肢は残ります。
私物端末を前提にすることの問題
私物のスマートフォンで認証を回す運用は、初期費用がかからないため選ばれやすい一方、後から整理が必要になる論点を抱えます。
- 業務利用のルールが曖昧になる — 何をどこまで私物端末で行ってよいのかが決まっていないまま運用が始まりやすい
- 退職時に何が残るか把握できない — 認証用のアプリや設定が個人の端末に残った状態を、会社側から確認できない
- 費用負担の線引き — 通信費や、故障・機種変更時の対応を誰が負担するのかが不明確になりやすい
- 利用者の同意 — 私物端末の業務利用は、本人の同意を書面などで取得しておく必要がある
これらを整理できるのであれば私物端末の活用も選択肢になりますが、整理が難しい場合は、はじめからスマートフォンに依存しない方式を検討したほうが運用が安定します。
スマホに依存しない選択肢の整理
スマートフォンを前提にしない場合、実務で選ばれる方向性は大きく3つに分かれます。それぞれ向き・不向きがあるため、現場の状況と照らして選びます。
物理的な認証デバイスを貸与する
会社が認証用のデバイスを購入し、利用者に貸与する方式です。個人の端末に依存せず、退職時は回収すれば済むため、私物端末に関する論点をまとめて回避できます。一方で、貸与台数分の費用と、受け渡しや紛失時の管理が必要になります。仕組みや選び方はハードウェアセキュリティキーの解説記事で詳しく扱っています。
PC本体に備わる生体認証を使う
指紋や顔などによる認証機構をPC本体が備えている場合、追加の機器を持たずに認証を強化できます。持ち歩くものが増えないため、作業中に端末を持てない職場と相性がよい方向性です。ただし対応するPCが必要で、手袋やマスクの着用など現場の作業条件によって使いにくい場合があります。導入手順の観点はWindows OSログインの2要素認証を参照してください。
業務用の端末を必要な人にだけ配る
全員に配るのではなく、管理者権限を持つ担当者など、対象を絞って会社支給の端末を用意する方式です。費用を抑えつつ、影響の大きいアカウントから優先的に守れます。ソフトウェアを使う方式の整理はソフトウェア型の多要素認証の解説、ワンタイムパスワードの扱いはワンタイムパスワードの記事で扱っています。
共用PC・交代勤務の環境で特に注意すること
複数人が同じPCを使う環境では、方式の選択以上に運用面の落とし穴があります。
- 共有アカウントに逃げてしまう — 認証の手間を避けるために全員で同じアカウントを使うようになると、誰が操作したかを追えなくなり、認証強化の意味そのものが失われます。この論点は共有アカウントの廃止に関する記事で扱っています
- 認証が業務のボトルネックになる — 交代のたびに時間のかかる手順を挟むと、現場が回避策を探し始めます。所要時間を実際に測って判断することをおすすめします
- 貸与デバイスの受け渡し管理 — 交代時にデバイスを引き継ぐ運用にすると、結果として共用と変わらなくなります。誰が保管し、いつ返すのかを決めておく必要があります
決めておくべき運用
方式を決めるより先に、次の運用を明文化しておくと導入後の混乱を避けられます。
- デバイスの貸与台帳 — 誰にどの個体を貸しているかを記録し、定期的に実態と突合する
- 紛失・忘れたときの当日対応 — その日の業務を止めないための手順と、連絡先をあらかじめ決めておく
- 退職・異動時の回収 — 回収と、認証設定の解除をセットで行う手順にする
- 代替手段の承認者 — 例外的な認証手段を、誰がどの条件で承認し、いつまで有効とするかを決める
台帳の運用そのものについてはアカウント管理システムの解説記事も参考になります。
全員同じ方式にしなくてよい
認証強化が止まる原因のひとつは、全社で単一の方式を選ぼうとすることです。事務職と製造現場で作業条件が違うのであれば、方式を分けて構いません。優先順位としては、管理者アカウントとサーバーへのアクセスから着手するのが現実的です。影響が大きい範囲を先に固め、現場向けの方式は運用条件を確かめながら広げていく進め方であれば、途中で止まりにくくなります。自社の対応状況の整理には中小企業向けのセキュリティチェックリストも活用してください。
まずは自社の状況を確認する
どの方式が適しているかは、現場の作業条件や共用PCの有無、管理者アカウントの数によって変わります。applippliの無料診断では、約3分の質問に回答するだけで、自社の認証・アカウント管理の対応状況を確認できます。方式の比較を始める前の現状整理としてご利用ください。