これら4つの主要MFA製品のうち、Microsoftの「Active Directory」、Webサービス認証、Webサーバ強化という、主要な3つの認証機能を単一製品内にまとめて提供しているものは1つもない。それどころか、製品ごとに「Security Assertion Markup Language」（SAML）または「Active Directory」をサポートするアドオンモジュールが必要になる。

　例えばRSA Authentication Managerは、RSA Securityの「RSA Adaptive Federation」製品と連携することでSAMLによるWebサービス統合を実現する。Symantec VIPでは、Active Directoryと統合するために同社の「VIP Enterprise Gateway」を必要とする。

　追加要素の導入は、MFA製品分野では一般的だ。そのため、追加の導入が必要になる機能と状況を理解しておくことが重要になる。

　アドオンについては、使用できる機能を基準にMFA製品を選ぶ前に、各製品がそうした機能をどのように提供するかを把握しておくことが大切だ。多要素認証の主要ベンダーの4製品にはどれも、サーバソフトウェアコンポーネントやエージェントが複数含まれる。Microsoftの「SharePoint」サーバや「Outlook」などのプログラムのログインを強化するには、これらのコンポーネントやエージェントをインストールする必要がある。

　アドオンは利用できる機能の範囲を広げるのには役立つが、複数の要素を組み合わせる必要があるため、インストールや運用が複雑になる。クラウドの要素とオンプレミスの要素を両方含む製品もある。オンプレミスとクラウド両方のサーバやサービスでユーザー認証を使えるようにするには、両方の機能を連携させる必要がある。

　自社のニーズに応じて、MFA製品ではなくシングルサインオン（SSO）製品を検討することも考えられる。MFAをSSO製品と連携させることも可能だ。

複雑なワークフロー

　MFAツールの評価基準として、これらのシステムが日常業務にどのように影響するかが挙げられる。新しいトークンや新しいユーザーの登録、新しいアプリケーションの保護設定、セキュリティポリシーの変更、ユーザーが企業アプリケーションにログインできない原因の解明などを考慮するとよい。

　トークンワークフロープロセスに関する柔軟性が他の製品よりもずっと優れている製品もある。これには、各ベンダーがMFAビジネスに携わってきた経験の長さが一部反映されている。例えば企業がログインダイアログのさまざまな場所に追加の要素認証手順を加えられるようにしている製品もある。

レポート機能

　これら4つの製品は全て、さまざまなレポートや多様な形式のエクスポートオプションを備える。

　CA Strong Authenticationには、管理、ユーザー認証、トランザクションリスク評価を追跡するレポートが組み込まれている。トランザクションリスク評価にはログイン履歴も含まれる。この製品は、VPN、Outlook Webアプリ、Salesforce.comの「Salesforce」、SharePointなどの主要ツールと連携する。

　OneSpan Authentication Serverでは、ヘルプデスクのトラブルシューティング、システムとセキュリティの監査、会計用途を対象にする広範なレポートがXML形式またはHTML形式で提供される。

　レポートはRSA Authentication Managerの弱点分野の1つだ。用意されているレポートの種類は30を超えるが、そのほとんどは見栄えを良くしたログファイルにすぎない。ただしこれらのレポートを出力する日時の設定機能と、さまざまな形式でエクスポートする機能は強みになる。

　Symantec VIPは競合製品に比べてカスタマイズ可能なレポートが少ない。その一方で、本格的なエクスポート機能が用意されている。競合製品に搭載されているエクスポート機能は最低限のものだ。

これらの主要MFA製品はどれも、指定したレポートの公開スケジュールを設定する機能と、アラートなどのアクティビティーをリアルタイムに監視する機能を備えている。

モバイルサポート

　モバイルデバイスで仕事をする従業員が増えている。そのためMFAベンダーは、モバイルデバイスやWebアプリケーションからのログインをサポートする必要がある。複数の要素をユーザーのスマートフォンやタブレットに保存する方法を求める企業もある。従来のハードウェアベースの認証トークンをユーザーが持ち歩いたり、企業がそうしたトークンを導入したりせずに済むようにするためだ。

　先述の4つの製品は全て、企業が最もよく使用するモバイルOSである、Appleの「iOS」、Googleの「Android」、Microsoftの「Windows Phone」、BlackBerryの「BlackBerry」をサポートする。そのため多くの場合ベンダーがサポート対象外にしている古いスマートフォンのOSや、風変わりなAndroid端末で利用する場合を除いて、問題にはならないはずだ。

　MFAツールを調査するときは、サポート対象のOSバージョンを書面で確認しておかなければならない。

複数トークンのサポート

　トークンに関してはRSA、Symantec、OneSpanがいい選択肢になる。各製品には、必要に応じて追加の認証要素として導入できる幅広いハードウェアトークンとソフトウェアトークンがある。そのためほとんど全てのログインやサービスの保護が可能だ。

　Symantec VIPなどの一部の製品では、ワンタイムパスワードジェネレーターを実行するモバイルアプリ以外に、デスクトップソフトウェアも提供する。これは便利な機能になる可能性はあるものの、サービス選定の決め手にはならないだろう。

FIDOへの準拠

　MFAに関心を寄せる多くのベンダーや組織は、認証方式の標準化団体FIDO Alliance（Fast IDentity Online Alliance）のメンバーになっている。RSA Security、CA Technologies、SafeNet、OneSpanなどもこれにあたる。

　FIDOの目標は、幅広いWebサービス全体で認証を統合し、特定のサイトにデジタルIDを保存しなくても済むようにすることだ。ただし今回取り上げているMFAベンダー4社のうち、FIDO認定製品を提供しているベンダーはRSA SecurityとOneSpanの2社しかいない。

結論

　これらの4社のMFA製品はどれも確かな性能を持っているだろう。いずれもモバイルトークン手法をサポートし、ニーズに応じた多様な認証方式を備えている。

　これらの製品の差別化要素は、どちらかといえばパッケージや料金の問題になる。加えて製品が生成するさまざまなレポートを従業員が理解して、行動につなげられるかどうかも重要だ。