アダプティブ認証とは?サイバーリスクを排除する次世代認証の仕組みと4つのメリット

はじめに：認証は「リスク対応型」へ進化している

サイバー脅威への対策は、今や企業にとって最重要課題の一つです。強力な認証方式を積極的に導入する組織が増える中、デジタルアイデンティティを守るための認証手法も、単一要素認証や多要素認証(MFA)から、リスクに応じて柔軟に対応する「リスクベース認証」へと変わりつつあります。

アイデンティティは、ユーザーの本人確認と権限付与における根幹となる情報源です。だからこそ、その保護は不可欠です。ワンタイムパスワード(OTP)は優れた認証ツールとして定着していますが、高度化するサイバー攻撃に対しては、もはや十分な安全性を保証できなくなってきました。

こうした背景から、デジタルアイデンティティに関わるさまざまな領域でセキュリティを強化・保証することを目的としたアダプティブ(適応型)技術が登場しました。これらの技術は柔軟に設定可能であり、データへのアクセス可否は複数の要因によって判断されます。その範囲は、要求される情報の価値から、アクセスを許可するユーザーの権限レベルまで多岐にわたります。

関連記事：企業はサイバー攻撃に備えられているか?

アダプティブ認証とは

アダプティブ認証は、多要素認証(MFA)を賢く進化させたものと捉えることができます。その動作はMFAと比較すると理解しやすいでしょう。

最大の特徴は、すべてのログインリクエストに一律のゲートウェイを設けるのではなく、ログイン要求の重要度に応じてゲートウェイを適用する点にあります。何より重要なのは、ユーザーがサイトにログインする際のリスクを正確に測定できることです。

リスクはどのように測定されるのか

リスク測定に用いられる要素は、いわば「無限の因子」と呼べるほど拡張性があります。具体的には、IPアドレス、地理位置情報(ジオロケーション)、プロファイル行動、生体認証(網膜スキャン、顔認識・音声認識、ジェスチャー、指紋)、そして共有インテリジェンス(過去のフィッシング攻撃パターン、脅威インテリジェンス、脆弱性情報)などが挙げられます。

リスクの深刻度に応じて、認証プロセスは段階的に強化されます。事前に定義されたリスクベースモデルに従い、SMSやメールによる追加認証が求められる仕組みです。適用対象はブラウザ、アプリケーション、ポータル、Webサイト、組織のデータなど多岐にわたります。

アダプティブ認証には、以下のような大きな強みがあります。

1. セキュリティ機能の最適化

データを無防備のまま放置したい担当者はいません。しかし、ログインプロセスにあまりにも多くのボトルネックを設けると、ユーザー体験が損なわれてしまいます。アダプティブ認証なら、ログインリクエストに応じてセキュリティを柔軟に設定できます。自社の専門知識に基づいて、リクエストごとにセキュリティ機能を配置することが可能です。ログインプロセスには、必要最小限の摩擦だけを実装できるのです。

2. 独自のセキュリティポリシー策定

ITチームは自社の方針に合わせてセキュリティポリシーを自由に設計できます。例えば、機密性の低いデータはユーザー名とパスワードの組み合わせによる制限の少ないアクセスを許可し、高度に機密性の高いデータは多要素認証などの強固なゲートウェイで保護する、といった使い分けが可能です。その結果、権限を持つ特定のユーザーだけが制限領域にアクセスできるようになります。

3. BYOD環境でのデータ保護

誰もが自分の都合に合わせて、どれほど機密性の高いデータでも手軽にアクセスしたいと考えるものです。しかし、BYOD(Bring Your Own Device:私物デバイスの業務利用)の普及により、ビジネスデータの脆弱性は増大しています。アダプティブ認証は、データアクセスに使用されたモバイルデバイスやネットワークを識別することで、この課題を解決します。

例えば、安全なネットワークを使用しているユーザーは最小限の認証チャレンジで済みますが、公衆Wi-Fiなど安全でないネットワーク経由でアクセスしようとすると、認証プロセスの「ステップアップ」が発生します。情報やサービスへのアクセスを望むなら、そのプロセスを通過する必要があります。アダプティブ認証を活用すれば、セキュリティ対策を容易に実行できるのです。

4. セキュリティを犠牲にせずビジネスを拡大

事業拡大の場面では、セキュリティ上の規制が足かせになるケースは少なくありません。アダプティブ認証があれば、リモートからのリソースアクセスやモバイルデバイスの利用も安心して実現できます。海外の人材を増やしたい? 問題ありません。新たに承認されたリモートワークポリシーを導入したい? 大歓迎です。アダプティブ認証が機能していれば、遠隔地の作業現場でもサイバー脅威は最小限に抑えられます。緊急時にはアクセスリクエストポリシーを柔軟に調整して対応でき、ビジネスは中断なく走り続けます。

アダプティブ認証の適用分野

アダプティブ認証はあらゆる業界のアイデンティティを保護できますが、特にデータの機密性が最優先される金融(銀行)部門や政府部門で広く採用されています。

ISCAおよびRSAが2015年に発表した調査によれば、エンドユーザーは攻撃者にとって格好の標的になりやすいことが示されています。こうした状況下で、アダプティブ認証はアクセス制御とユーザー認証における有効なテクノロジーとして証明されていくでしょう。

アダプティブ認証は現在、急速に普及しています。さらに、デバイスプロファイリング、行動プロファイリング、位置情報といったデータベースを統合することで、その精度は今後も向上していきます。扱うデータの種類が豊富になるほど、アダプティブ認証はよりスマートで直感的なものへと進化し続けるのです。