• 「多要素認証」（MFA）の導入
  • IDやパスワードといった「知識要素」だけでなく、ハードウェアトークンやIDカードといった「所有要素」、指紋や虹彩といった「固有要素」（生体要素）など、複数の認証要素を要求する。Office 365ではMFAを使い、認証のステップを増やす「二段階認証」を実現している。
• 「POP3」「IMAP4」「SMTP」といった旧来のメール送受信プロトコルの排除、あるいは部分的な利用制限
  • これらのプロトコルは、IDとパスワードによる従来の認証（レガシー認証）を要求するため、セキュリティホールとなる。

　アカウントの認証にMFAを導入すると、たとえ攻撃者がIDとパスワードを盗み取ったとしても、その情報だけではアカウントへの不正アクセスができなくなる。加えて攻撃者は旧来のプロトコルを侵入時の標的にしていることも少なくないという。

　講演で竹花氏は、実際のログデータを示しながら「POP3、IMAP、SMTP経由で身元不明の怪しいアクセスが発生している」と説明した。旧来のプロトコルを利用しないことは、これらの脅威リスクの排除につながる。

「多要素認証」「条件付きアクセス」でセキュリティ強化

　それらの要件を踏まえ、竹花氏を含むメールシステム管理担当者はOffice 365 Educationのライセンスを上位版に切り替える決断をした。Microsoftは、Office 365 Educationを含む同社の主要な教育機関向け製品群をサブスクリプション形式で利用可能にする「Microsoft 365 Education」を提供しており、同大学はその最上位ライセンスである「Microsoft 365 Education A5」を採用した。

　明治大学はメールシステムの切り替え時に移行期間を設け、その期間においてMFA利用に必要な設定をエンドユーザーに実行してもらうことを計画した。そのためには該当期間中、IDとパスワードを使った認証とMFAの2種類の認証方法を利用できるようにしておく必要がある。だがこの期間に、攻撃者がエンドユーザーの通常認証用のIDとパスワードを盗み、エンドユーザーのアカウントを乗っ取る恐れがある。

　脆弱（ぜいじゃく）なIDとパスワードによる認証をMFAと共存させるリスクを軽減する対策として、明治大学はメールシステムのアカウント認証に「条件付きアクセス」を適用することにした。これは条件に応じて認証方法を変更できる仕組みで、学内LANからのアクセス時には、学外からのアクセス時よりも少ない手順でログインできるようにした。これにより上述の課題を解決できるだけでなく、学内LANにアクセスするエンドユーザーが、メールシステムにログインするために必要な手続きを減らせる。

　条件付きアクセスは、Microsoftが提供するIDおよびアクセス権限管理サービス「Azure Active Directory」（Azure AD）で設定できる。そのためには契約するAzure ADのライセンスを「Azure Active Directory Premium Plan 1」（Azure AD Premium P1）あるいは「Azure Active Directory Premium Plan 2」（Azure AD Premium P2）にすることが必要だ。Azure AD Premium P1はMicrosoft 365 Education A3／A5に、Azure AD Premium P2はMicrosoft 365 Education A5に包含されている（注）。

※注：Azure AD Premium P1／P2自体は単独でもライセンス購入可能。

「認証に私物デバイスを使いたくない」ユーザーにも対処

　竹花氏らは段階的にメールシステムへのMFA導入を進めている。2018年12月には職員向けシステムへMFAを導入した。対象アカウントは約1000件で、エンドユーザーには設定用WebサイトのURLを送付するとともに、利用マニュアルを提供した。学生・教員向けシステムについては、2019年6月時点で移行進行中の段階にある。「各部門にいるITリテラシーの高い職員が、率先して他の職員の設定作業を支援する動きがある。こうした職員が、われわれシステム管理者の負担を軽減してくれた」と同氏は振り返る。

　メールシステムの運用方法を策定するに当たり、竹花氏らはMFA用のアプリケーションとして「Android」と「iOS」で利用できる「Microsoft Authenticator」を使用した認証を推奨することとした。一方で大学は学生や職員にMFA専用のデバイスを貸与していないため、Microsoft Authenticatorを利用するには私物のスマートフォンやタブレットにインストールする必要がある。そのため「業務用のアプリケーションを私物のモバイルデバイスに入れたくない」と不満を訴える職員がいたという。

　他にも、「そもそもアプリケーションをインストールできるデバイスを所持していない学生や教職員がいる」といった問題もあり、全てのエンドユーザーがMicrosoft Authenticatorを利用できる環境を持たない可能性もあった。これらの問題は学生・教員に対しても同様に懸念事項となる。そうした問題を解消するため、竹花氏らはPC用アプリケーションやハードウェアトークンといった代替手段の利用案内を用意したという。

コスト削減とセキュリティの両立が課題

　Microsoft 365 Educationを用いた運用の課題について竹花氏は、「見るべきダッシュボードが多い」と言及する。人手による確認作業の手間が掛かることも課題だ。Azure ADは、海外からのアクセスなど普段とは異なるアクセスを自動的に検出し、アラートを出す機能がある。現状は、本当に悪意あるアクセスかどうかを管理者が手動で精査する状態で、確認の手間が少なからぬ負担になっているという。「今後は機械学習などの技術を使った検出精度の向上に期待する」（同氏）

　運用体制に関する課題には「退職後もメールアカウントを使いたい教員に対するサービス提供」があるという。そうした要望には、Microsoft 365 Education A5で利用できるOffice 365 A5のアカウントから、無料のOffice 365 A1のアカウントに切り替えることで、コストをかけずに応えられる。だがOffice 365 A5アカウントと比べて実施できるセキュリティ対策のレベルは下がってしまうため、竹花氏は「そのようなアカウントがセキュリティホールになる恐れがある」と慎重な見方を示す。どの製品／サービスを使うかだけではなく、要件に応じてどのライセンスを選択するかを考えることは、サブスクリプションモデルが多様化している現代ではますます重要になるだろう。