スマホなしで二要素認証を実現する方法

　まず、私なら無理やりスマホを持たせることは選びにくいかと思います。スマホの操作は最初だけ懇切丁寧に教えれば、おそらくすぐに活用できるとは思いますが、それなりに守らなければならないルールもあり、持ちたくないという人に持たせるのも考えものです。

　しかし、二要素認証を特例で除外するというのもなかなか選びたくないのは事実です。特に今では、テレワークが進み会社の外でもメールくらいは見たいもの。スマホがなければ二要素認証はできないわけではないので、スマホ以外の方法で二要素認証を実現したいと思います。それはより直感的に「デジタル鍵」を使うこと。

　Gmailをはじめ著名なサービスでは、セキュリティキーと呼ばれるハードウェアの“鍵”が利用可能です。これは小さなUSBメモリのような形をしているもので、パスワードに加えてセキュリティキーをUSBコネクタに挿すことで「所持情報」をクリアするというものです。Googleでは「Titan Security Key」や、Yubicoが提供する「YubiKey」などが有名です。

図4　筆者所有の「Titan Security Key」（左）とYubiKey（右）。アカウントとこのハードウェアキーを関連付けることでセキュリティを強化可能

図5　Googleアカウントでは、2段階認証でセキュリティキーを選択可能

　これを導入すれば、スマホなしでもパスワードだけに頼らない、安全なログインが実現可能です。攻撃者はいま、メールとVPNを集中的に狙っています。組織でそれらの機能をオフィス外でも利用させる場合、万が一スマートフォンを持っていない、持ちたくないという利用者がいた場合、こういったハードウェアキーやハードウェアトークンと呼ばれるものが利用できるサービス／製品を活用するよう、検討してみてください。

例外を認めないこと

　ただし、これらは「どうしてもスマホを持たせられない」場合にのみ、考えるべきことだと思っています。せキュリティにおいては特に「例外を認めない」ことこそが、コストを適正化する方法だと思っています。今回のように例外を認めると、それだけでルールは倍になり、それぞれの運用手順書やリスク算定をしなければなりません。セキュリティ強化は経営層の判断がもととなっているはずですが、その経営層が「オレは例外にしろ」というような、仕事を増やすような指示をするようであれば、それだけのコスト増を認められるのかも確認しておかないといけないかもしれません。

　その意味では、上記の熊本県立大学の事例においては、例外を認めないのであればスマートフォンを持たない利用者は外部からのアクセスを禁止する、パスワードをさらに強化し使い回しを認めないなどの運用を徹底しなければならなかったかもしれません。サイバー攻撃においては、攻撃側は“偉い人”かどうかを考慮してはくれません。むしろ、偉い人ほどセキュリティが甘く、より狙われやすいと考えても良いでしょう。さらには偉い人ほど、無意味に権限がたくさんあるアカウントを持ちたがるのも問題です。経営層のアカウントこそ、セキュリティ対策を強化する必要があると思っています。

　その意味では、今回の事例が発表されたことは非常にありがたいと思います。こういった事件が発生していること、そして新聞やテレビ報道でもサイバー攻撃の実情が多く取り上げられていることから、説得の材料は増えていると思います。

　本稿に共感してくれた方はおそらく、かなり苦労されている方々かと想像します。もし社内に、セキュリティ向上になかなか協力してくれない方がいたとしたならば、ぜひこういった事例を元に、世間話として取り上げてみてはいかがでしょうか。

⇒ 新着ホワイトペーパーをチェックする

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！