フィッシング攻撃をはじめ、認証情報が窃取されるリスクが高まる中、MFAが有効になるユースケースは拡大している。主なユースケースとしては、以下が挙げられる。

安全なリモートアクセスを提供する

　早くから導入が進められてきたMFAのユースケースの一つが、「リモートアクセス」だ。特に、強固な物理的セキュリティが確保できない自宅や出張先などから社内システムにアクセスするユーザーにとって、MFAは不可欠なセキュリティ手段となっている。在宅勤務を実施するテレワーカーは、MFAによって自らのアカウントを保護しているケースが多い。

従業員による機密情報へのアクセスを制御する

　MFAは、従業員が機密情報に安全にアクセスできるようにするための主要な手段として、広く活用されてきた。保護すべき情報には、従業員や顧客の個人データ、金融口座の情報、自社の知的財産や営業活用状の機密データなどが含まれる。銀行振込など機密性が高く、通常は職務分離が求められる操作にも、MFAによる厳格な認証が求められる。

顧客の機密情報を保護する

　顧客向けサービスにおいても、MFAは重要なセキュリティ対策として普及しつつある。金融機関の顧客や医療機関の患者などは、自身のアカウントへの不正アクセスを防止する対策を当然のように期待している。その中にはフィッシング耐性のあるMFAの導入も含まれる。他人による金銭の不正引き出しや、個人情報の窃取といったインシデントを抑止する対策は極めて重要だ。

MFA実装のベストプラクティス

　MFAを効果的に導入するには、事前にMFA実装の選択肢を慎重に評価することが欠かせない。CISO（最高情報セキュリティ責任者）やセキュリティチームは、全社的なMFAの本格展開に当たり、評価プロセスを通じて潜在的な課題を洗い出し、MFAのユースケースに適切に対応できるようにすることが望ましい。

　安全かつ確実にMFAを実装するためのポイントは以下の通りだ。

フィッシング耐性のある認証方式を採用する

　生体認証、ワンタイムパスワード（OTP）、暗号認証など、より強固な手法を検討する。例えば、従業員が既に社内で使用しているスマートカードをMFAにも活用できることも選択肢になる。

認証手段の紛失・忘失時の対応策を用意する

　MFAでは、ユーザーが使用する認証手段を紛失したり忘れたりする事態が想定される。こうした場合に備え、代替手段や一時的なアクセス方法をあらかじめ設計しておくことが重要だ。

　例えば、ユーザーが物理的なセキュリティキー「YubiKey」を自宅に忘れたまま海外出張に出てしまった場合などを想定し、代替手段や一時的なアクセス手続きなどを事前に設計しておくことが求められる。

MFA自体のセキュリティを確保する

　攻撃者が認証サービスを乗っ取るなどしてMFA実装の侵害に成功したら甚大な被害につながる可能性がある。MFAの運用環境を多層的に保護し、監視体制を整備して、不審な挙動を早期に検知・対処できる体制を構築する必要がある。