強固なモバイルデバイス認証がこれまでになく重要になっている理由

データの暗号化はセキュリティ対策の第一歩として良いことだ。だが、ユーザーを適切に認証できなければ、機密情報は悪の手に渡る恐れがある。ユーザー認証で覚えておくべき幾つかのヒントを紹介する。

公開 2014年11月26日 12時04分

著者

Craig Mathias

[TechTarget]

印刷する

　ITの議論がセキュリティに及ぶと、暗号化が重視されるのがお決まりのコースだ。機密データを暗号化して、盗聴や盗難からデータを保護することは出発点としては悪くない。だが、ユーザー認証も同じくらい重要であることを忘れてはならない。ユーザー認証では、少なくとも接続の一方の関係者がもう一方の関係者に身元を明らかにする必要がある。また、両方の関係者が相互に身元を明らかにするのが理想的だろう。

　暗号化と同様に、認証は完全なセキュリティを保証するものではない（完全なセキュリティを保証するものなど存在しない）。ほとんどの場合、資格情報はユーザー名とパスワードで構成されている。この情報は、盗まれたり、何らかの方法によって悪の手に渡る可能性がある。また、資格情報は暗号化と暗号化の解除のキーを特定するために使用される。そのため、認証に問題があると悲惨な結果を招く恐れがある。機密なデジタル情報はいったん危険にさらされると、永遠に危険な状態にさらされることになる。このように危機的な情報漏えいの状態から回復するには、時間とコストが掛かる。回復が不可能な場合もある。

　企業ではモバイルユーザーの認証が重要になっている。本稿では、このことに関して覚えておくべき幾つかのヒントを紹介する。

デバイスユーザーの認証ポリシー

　セキュリティと認証のポリシーは組織に固有のものだ。どの組織でも効果を発揮する万能なセキュリティは存在しない。基本的なセキュリティポリシーは必須アイテムだ。基本的なセキュリティポリシーでは、幾つか定義すべきことがある。具体的には、何を機密情報と見なすか、機密情報にアクセスできる人、どのような状況でアクセスできるか、情報漏えいが発生したときの対策を定義する必要がある。シンプルで明白な対応は必要不可欠だ。例えば、モバイルデバイスではPINコードの使用と定期的なパスワードの変更を義務付けることなどである。認証ポリシーでは、資格情報とコンテキストに基づいて特定のユーザー／デバイスの組み合わせが行えることを規定できる。ユーザー認証に使用する具体的なテクノロジーを検討するのは、分離された環境／パイロット環境で認証ポリシーを設定してテストしてからだ。

モバイルユーザーの2要素認証を検討する

　2要素認証の重要性は増している。大まかに定義すると、2要素認証では、ユーザーにアクセス権を付与する前に「持っているもの」に加えて「知っているもの」を要求する。一般的に「知っているもの」に該当するのは従来のユーザー名とパスワードの組み合わせだ。「持っているもの」は、専用のハードウェアデバイスで生成されたセキュリティトークン、米Googleの「Google認証システム」などのモバイルアプリ、SMSメッセージである。特定のユーザーを特定のデバイスに結び付けることが鍵となる。ユーザー名とパスワードの組み合わせだけを使用するよりもずっと安全だ。

　マルウェアの脅威もモバイルユーザーの認証プロセスを強化すべき理由の1つだ。特定のアプリが実行している処理を把握するという課題は依然として残る。サイバー泥棒が資格情報をひそかにキャプチャーできることは、2要素認証を取り込む動機となるだろう。

ID管理を飛躍させよ

　ユーザー認証の実装は「ID管理」といわれることが多い。ID管理では、ユーザーの種類を定義し、種類ごとに特定のアクセス許可を付与する。ユーザーは、ゲストやナレッジワーカー、システム管理者、上級管理者以上などの種類に分類することができる。多くのID管理製品は既存のディレクトリサービスを活用する。実装の問題を最小限に抑え、悪影響をもたらす恐れがある冗長性を排除している。

　コンシューマライゼーションとモバイルが普及するにつれて、従業員は、さまざまなデバイスから企業の資産にアクセスできることを求めるようになっている。デバイスは、従業員が所有しているものもあれば、会社が所有しているものもある。その結果、ID管理の需要が高まっている。ユーザー、デバイス、資格情報、コンテキストに基づいて行えることを一元管理するのは大いに意味がある。管理者の負担が軽減され、結果的に運用コストの削減にもつながる。

　適切なセキュリティ手法が実施されているかどうかは、どのように把握できるのだろうか。また、その機能と効果は、どのように確認できるのだろうか。残念ながら、セキュリティはITが適切な対応を成し得ていない分野の1つである。使用しているポリシーやソリューションに関係なく弛まぬ努力が必要なのだ。

印刷する