• 自分が知っているもの（知識要素）
• 自分自身（固有要素）
• 自分が持っているもの（所有要素）

　自分が知っているものの代表例は、ユーザーが記憶しているパスワードだ。自分自身を使った認証の一つに生体認証がある。指紋や虹彩などの遺伝的識別子で、ユーザーが本人かどうかを確認する。自分が持っているものによる認証は、モバイル端末やハードウェアトークンといったユーザーの持ち物を利用する。ユーザーは自分の端末でワンタイム認証コードを受け取るか、USBメモリまたはRFIDチップといった小型トークンのセキュリティキーを端末に読み取らせる。

　最新のモバイル端末は、各種認証手段を利用するためのハードウェアを搭載している。ユーザーは数字と文字、記号を組み合わせた従来のID／パスワード認証に加え、画面を指でなぞるパターン認証、または生体認証によって端末を保護できる。

　Googleの「Pixel 3」、Samsung Electronicsの「Galaxy A9」など、さまざまな端末が指紋スキャン用のハードウェアを搭載している。Appleの「iPhone XS／XR」は、顔認証機能の「Face ID」を組み込んでいる。Samsungの「Galaxy S9」は指紋と虹彩の両方で認証できる端末だ。

　不正なログインを防ぎ、かつユーザーが端末へ簡単にアクセスできるようにするために、生体認証の検討をお勧めする。IT部門は「Windows Hello for Business」や「VMware Identity Manager」といったID・アクセス管理ツールを通して、生体認証など複数の認証要素を端末に搭載できる。

　使い勝手の観点から見ると、ユーザーの虹彩や指紋のスキャンはうまく機能する。パスワードを忘れたりセキュリティキーを紛失したりすることはあっても、指紋や虹彩は変わらないからだ。ただし生体認証には、カメラの不具合や誤認証によってユーザーがログインできなかったり、反対に外部の第三者が端末にアクセスできたりしてしまう恐れがある。

　モバイル端末へのアクセスを制御するには、一般的には単一要素認証で十分だ。ただし端末で保管している重要なデータやアプリケーションを保護するためには、多要素認証（MFA）を検討する必要がある。

重要なアプリとデータの保護

　モバイル端末のセキュリティ対策として一般的なアプローチの一つに、社内データにアクセスするためのアプリケーションに照準を絞って保護する手法がある。適切な手法を使えば、攻撃者が端末に侵入できたとしても、電卓やソーシャルメディアアプリケーションのような、保護されていないアプリケーションにしかアクセスできないように制御できる。

　IT担当者は不正アクセスを受けた場合を想定し、端末内の重要なアプリケーションやデータに、「Microsoft Authenticator」をはじめとするアカウント管理ツールを使い、複数の認証方法でロックを掛ける必要がある。アカウント管理ツールは一般的に、保護対象のアプリケーションへのアクセスを許可する、認証用アプリケーションの形態を取っている。認証に2番目の層を設けることで、攻撃者が不正な端末からアクセスすることも防ぐことができる。

他の選択肢

　直接自律認証（DAA）のような新たな認証技術は、ユーザーによる追加操作を必要としない。DAAは、携帯電話会社が用いるユーザーの電話番号に基づいた認証と同じ技術を利用する。DAAツールは、ユーザーがポータルや保護されたアプリケーションにアクセスする際に、その端末の電話番号に基づいてユーザーを識別し、アプリケーション認証のための個別キーを生成する。この方式のモバイル端末認証では、ユーザーには一切の行動を求めない。