2001年以降、インターネットの普及により、ビジネス・システムへのアクセス方法は大きく変化しました。ネットワーク・アクセスを必要とするユーザが増加する一方、ネットワーク境界部におけるセキュリティはあらゆるレベルで綻びを見せています。また、ユーザの居場所も、部門別のオフィスや支社・支店に留まらず、世界中のあらゆる場所に広がっています。
ネットワークにアクセスするために使用されるデバイスも増加・多様化が進んでおり、ユーザは、ノート PC や各種のモバイル・デバイス、無線デバイスからネットワークにアクセスすることを求めるようになっています。さらに、ユーザがアクセスを必要とする対象も、電子メールや各種のアプリケーション、データなど、ビジネスで使用されるあらゆる情報へと広がってきています。
さまざまな方法でネットワークにアクセスできるようになることは、生産性の面で大きなメリットをもたらす一方、セキュリティ・リスクの増大というデメリットももたらします。これまで、システムへのアクセスを保護するためには、パスワードを使用して認証を行うという方法が一般的でした。しかし残念ながら、従来型のパスワード認証は、今日のように物理的にさまざまな場所に点在するユーザのアクセスを保護する方法としては、全く不向きであると言わざるを得ません。
2007年に実施された複数の調査によれば、企業システムにアクセスしようとするユーザのアイデンティティをチェックするために、大多数の企業はいまだにユーザIDとパスワードを使用しており、認証、アクセス制御、ユーザ・プロビジョニングからなる包括的なアイデンティティ管理手法を導入しているのは、全体のわずか1パーセントに留まっています。認証に関して言えば、本稿で述べる6つのいずれの方法を採用するかによって、セキュリティのレベルは大きく違ってくる可能性があります。
脆弱な1ファクタ認証
現在も多くの企業で採用され、単一の静的なパスワードを使用する脆弱な1ファクタ認証には、1つの大きなメリットと数多くのデメリットがあります。メリットは、静的なパスワードは簡単に覚えられるということです。
しかしながら、複数のシステムに対してそれぞれ異なるパスワードを使用している場合、それらを1つ1つ覚えておくことは容易ではありません。そのためユーザは、パスワードをメモに書き留めるなどするようになり、結果としてパスワードはより脆弱になってしまいます。
数あるデメリットのうちの最もリスクとなるポイントは、暗号の解読が非常に容易ということが挙げられます。多くの場合、これらのパスワードは文字数が少なく、ユーザの個人的な属性（誕生日、パートナーの名前、子供の名前など）に基づいており、また文字のみで構成されていることが少なくありません。
単一の静的なパスワードには、何らかの方法でパスワードを尋ねたり推測したりするソーシャル・エンジニアリングの手法に弱いというデメリットもあります。人々からパスワードを聞き出すことが容易であることは、電車の駅で実施された複数の調査でも実証されています。さらにこの種のパスワードは、スパイウェアによって盗まれてしまうことも考えられます。
単一のパスワードを多少は安全に使用する方法としては、パスワードを定期的に変更するというやり方もあります。この方法は、適切に運用することができるのであれば、静的なパスワードを使用する方法よりも本質的に安全であると言えます。デメリットは、パスワードが頻繁に変更されるためユーザが忘れやすく、パスワードを忘れたユーザに対するサポート・コストや結果的に管理コストが増大する可能性があることです。このデメリットは、アプリケーションの数が多い組織ほど顕著になります。
シングル・サインオン
シングル・サインオン（SSO）は、パスワード管理コストを大幅に低減すると共に、セキュリティとユーザの利便性の両面で大きなメリットをもたらします。ユーザにとってのメリットは、一度認証を受けるだけで、権限のある複数のシステムにアクセスできるようになることです。これは特に、アクセスする必要のあるアプリケーションが多い場合に大きな効果を発揮します。
ただし、SSO の場合でも静的なパスワードを使用することはセキュリティ・リスクとなります。万が一あるユーザのパスワードが漏れてしまえば、そのユーザがアクセスできるすべてのシステムに影響が及ぶ可能性があるからです。そのため、通常 SSO は2ファクタ認証を用いて導入することになります。SSO は現在、その導入コストを大幅に引き下げる新技術が登場したことにより、急速に普及が進んでいます。
強固な認証
強固な認証を行うには、ハードウェア・トークン、ソフトウェア・トークン、指紋照合、スワイプ・カード（磁気カード）などの仕組みを使用します。さらに強度を高めるには、パスワードを組み合わせて2ファクタ認証とします。
強固な2ファクタ認証
強固な2ファクタ認証では、2つの異なるセキュリティ要素を用いることで、ネットワークにアクセスしようとするユーザをより厳格に認証します。
この認証方法では、そのユーザだけが知っていること（パスワードなど）と、そのユーザだけが持っているもの（トークンなど）を使用します。トークンは、コストの低さ、導入および管理のしやすさ、そしてセキュリティの高さから、2ファクタ認証ソリューションとしては現在最も広く普及しています。
マーケット・リーダーの1つである Vasco
社は、ワンタイム・パスワードを生成するハードウェア・トークンを提供しています。この種のトークンの価格は急速に下落しており、現在ではユーザあたり年間わずか数ドルで利用することが可能です。これは、ヘルプデスクに対してパスワード関連の問い合わせを1回行うよりも低コストです。ヘルプデスクへの問い合わせのうち、パスワードに関係するものが全体の30～50パーセントを占めることを考えると、トークンを導入することは、セキュリティを向上させるだけでなく、コスト削減にも寄与することが分かります。
2ファクタ認証には、携帯電話に送信可能なソフトウェア・トークン、スワイプ・カード、USB 認証、指紋照合なども使用できます。また、一度認証を受ければ、電波が届く範囲にいる限り再度認証を受ける必要がない近接認証という手法もあります。近接認証では、例えば SecureClient Mobile を使用して、携帯電話網と WiFi ネットワークをローミングするといったことが可能です。
また、物理的なスワイプ・カードによる入場システムを IT セキュリティと連携させることで、物理的なアクセス・セキュリティと論理的なネットワーク・セキュリティの統合を図ることも可能になります。
3ファクタ認証
3ファクタ認証は、いずれの認証方法よりも遙かに強固な手法です。3ファクタ認証では、ユーザだけが知っていること（パスワード）、ユーザだけが持っているもの（認証トークン）、そしてユーザの身体の一部（指紋、網膜、顔の形など）を使用します。バイオメトリクス認証は、比較的高コストではあるものの、研究開発や財務など、特に高いセキュリティが必要とされる部門に適しています。
バイオメトリクス認証
バイオメトリクス認証は、比較的新しく、発展段階にあるセキュリティ技術で、2ファクタ認証でも3ファクタ認証でも使用できます。身体的、生理的、生体的な特徴を利用するこのバイオメトリクス認証の例としては、指紋認識、網膜/虹彩スキャン、顔認識、掌紋認識などがあります。一部の製造業といった特定の用途には、トークンよりもバイオメトリクス認証が適しています。
結論
インターネットの普及、ネットワークへのアクセスを必要とするユーザの増加、テレワークの一般化は、この数年で認証に関する要件を一変させました。しかしながら、多くの企業はこうした変化に追随することができず、もはや現在のセキュリティ事情を考えると明らかに不適当と言えるとても安全とは認識することができない、単一の静的なパスワードを使い続けています。
強固な認証に対するニーズがかつてないほど高まる中、 UserAuthority などのシングル・サインオン技術や強力な2ファクタ認証といったソリューションのコストは低下し、その使い勝手も向上しています。組織のセキュリティを維持し、ビジネスの混乱や経済的損失、企業イメージの低下を阻止したいのであれば、今このタイミングで認証手続きの改善に取り組むべきと言えるでしょう。
原典： Authentication-A Market Update, Ian Kilpatrick, Wick Hill Group, Woking, Surrey, United Kingdom, June 27, 2007.