多要素認証 (MFA) とは?

サインイン時に、MFA はパスワードだけでなく、さらなる ID の確認を求めます。一般的なログインの流れの例を次に示します。
 

1. 自分のユーザー名とパスワードを入力します。
2. プッシュ通知の承認、ワンタイムパスコードの入力、生体認証スキャンの使用など、2 つ目の要素を指定します。

一般的な確認方法には次が含まれます。
 

• コードを生成または承認する認証アプリ。
• SMS または音声通話によるワンタイムパスコード。
• 指紋や顔認識などの生体認証オプション。
• ハードウェア トークンまたはスマートカード。
   

適応型認証は別のインテリジェンスの層を追加します。リスク要素 (場所、デバイス、ログイン行動など) を評価し、追加の確認が必要なタイミングを判断します。パスキーによるパスワードレス認証もますます普及してきています。パスキーは FIDO 認証情報であり、パスワードレス認証を実現するために、ブラウザーで検出可能であるか、またはネイティブアプリケーションやセキュリティキー内に格納されています。パスキーはパスワードを暗号化キー ペアに置き換え、フィッシング耐性のあるサインインセキュリティと向上したユーザー エクスペリエンスを提供します。

Microsoft では、Microsoft Authenticator を通じてパスワードレスでフィッシング耐性のある MFA を有効にし、それを Microsoft Entra ID とシームレスに統合して組織全体にわたってユーザーとデータを保護できます。

2 要素認証 (2FA) は多要素認証の一種ですが、確認ステップは 2 つのみに限定されます。一方、MFA は 2 つ以上の要素を要求でき、より柔軟で強力な保護を提供します。

次に例を示します。
 

• 2FA は、パスワード＋ SMS コードが必要な場合があります。
• MFA は、パスワード＋電話通知＋指紋を要求することがあります。

多くのコンシューマー向けアプリは 2FA に依存していますが、組織は通常、より高いリスクやコンプライアンス要件に対応するためにより幅広い MFA 設定を必要としています。組み合わせる要素が多いほど、攻撃者が突破するのがより難しくなります。

重要なすべての場所で MFA を有効にする

最も重要なアカウントから始めます。メール、財務システム、ビジネスアプリケーションです。これらは攻撃者の主要なターゲットであり、MFA を追加することで侵害のリスクを劇的に低減できます。

SMS より強力な方法を選択する

テキスト メッセージ コードは MFA が全くないよりはましですが、傍受される可能性があります。認証アプリ、プッシュ通知、生体認証は、より強力でより信頼性の高い保護を提供します。

回復とバックアップの計画を立てる

デバイスは紛失されたり、電話は交換されたりすることがあります。セカンダリデバイスや回復コードなどのバックアップ要素を設定しておくと、問題が発生したときにユーザーがロックアウトされないように確保するのに役立ちます。

MFA をできるだけ使いやすくする

プロセスがスムーズであるほど、ユーザーが使用を継続する可能性が高くなります。プッシュ承認や生体認証のような効率化されたオプションは、フラストレーションを軽減し、導入を促進します。

トレーニングとポリシーを使用してサポートする

テクノロジだけでは不十分です。MFA が重要である理由についてユーザーを教育し、組織全体で一貫したポリシーを適用することで、セキュリティを共有の責任にすることができます。