アダプティブMFAとは何ですか？

適応型MFAでは、すべてのユーザーに対して毎回同じ一連の認証手順を適用するのではなく、デバイスの信頼性、位置情報、ネットワーク、ユーザーの行動、およびアクセス対象のリソースの機密性といったコンテキスト情報を評価し、それに応じて認証レベルを調整します。.

適応型MFA（文脈型MFAやコンテキスト認識型認証とも呼ばれる）は、従来の 多要素認証 アクセスにリスクが認められる場合はより厳格な管理を適用し、リスクが認められない場合はより緩やかな確認を行うように設計されています。.

従来のMFA環境では、ユーザーが社内ネットワークに接続された使い慣れたノートPCからログインする場合でも、見知らぬ国にある未登録のデバイスからログインする場合でも、ログインのたびにすべてのユーザーが同じ認証手順を踏む必要があります。適応型MFAはこのパターンを変えます。 システムはアクセス時にコンテキスト情報を読み取り、適切な認証レベルを判断します。リスクが明らかに低いリクエストに対しては手間のかからないサインインを、不審な点がある場合や重要なリクエストに対してはフィッシング攻撃に耐性のある強化認証を適用します。.

その結果、アクセスセキュリティに対するよりダイナミックなアプローチが実現されます。通常のワークフローを処理する信頼できるユーザーは不必要に手間取ることがなく、一方で、不審なリクエストや機密性の高いリクエストについては、アクセスが許可される前により厳格な検証が行われます。.

静的な認証ポリシーでは、現代の働き方の実情に対応しきれていません。従業員は自宅のネットワークからクラウドアプリケーションにアクセスし、外部委託業者は管理対象外のデバイスから接続し、特権ユーザーはさまざまな場所やデバイスから機密性の高いシステムを操作しています。こうしたアクセスイベントをすべて同じように扱うと、ユーザーに不要な確認画面を表示して負担をかけるか、あるいはリスクの高いリクエストに対する保護が不十分になってしまうかのどちらかになります。.

適応型MFAは、これら2つの問題を同時に解決します。. その内容は次のとおりです：

• 認証情報が不正利用された場合、重大な損害につながるおそれのある高リスクなアクセス試行に対して、より強力な保護措置を講じる
• 信頼できるユーザーにとっては手続きがスムーズになり、日常的なサインイン作業を最小限の待ち時間で済ませることができます
• 使いやすさとセキュリティのバランスを改善し、ユーザー体験とアクセス制御の間のトレードオフを軽減する
• スマートフォンを利用した ゼロトラスト アクセス戦略。これには、ログイン時の1回限りの信頼ではなく、継続的な検証が必要となる
• 機密性の高いリソースへのアクセス管理を強化し、最も重要なシステムやデータに対して最高レベルの認証を確実に適用する

セキュリティ責任者にとって、適応型多要素認証（MFA）は、アクセス制御を「静的なゲート」から、「継続的かつコンテキストに応じた意思決定」へと転換させるものです。.

適応型多要素認証（MFA）は、各アクセス要求に関するコンテキスト情報を収集し、そのコンテキストがリスクの高まりを示しているかどうかを評価した上で、適切なレベルの認証を適用することで機能します。この処理はリアルタイムで行われ、多くの場合、ユーザーはそれに気づくことはありません。.

ログインコンテキストを評価します

ユーザーがサインインを開始すると、システムはそのリクエストに関する情報を収集します。これには、使用されているデバイス、ネットワークおよびIPアドレス、ユーザーの所在地とアクセス時刻、リクエストされたアプリケーションやリソース、そして最近の認証履歴などが含まれます。これらの情報から、アクセスコンテキストの全体像が把握されます。.

適切な保証レベルを設定する

システムは、そのコンテキストを想定されるパターンやポリシー上の閾値と比較します。管理対象デバイス上の既知のユーザーが、重要度の低いアプリケーションにアクセスする場合、通常はより低いレベルの保証で済みます。一方、特権ユーザーが不慣れな場所から規制対象のシステムにアクセスする場合は、より高いレベルの保証が必要となります。最新の適応型MFAソリューションでは、機械学習や行動分析を活用し、時間の経過とともにこうした評価の精度を高めています。.

ステップアップ認証をトリガーする

状況に応じてさらなる確認が必要な場合、システムはユーザーに対し、より強力な認証要素または追加の認証要素の入力を求めます。これには、登録済みのデバイスへのプッシュ通知、ワンタイムパスコード、生体認証、あるいはフィッシング攻撃に耐性のあるハードウェア認証デバイスなどが含まれます。 パスワードレス認証 導入。セキュリティ上の価値が実質的に高まる場合にのみ、ステップアップが行われます。.

不要なプロンプトを減らすのに役立ちます

保証基準を明らかに満たすリクエストについては、適応型MFAにより、追加の手順を必要とせずにアクセスを許可します。これにより、プロンプトによる煩わしさを軽減し、ヘルプデスクへの問い合わせ件数を減らし、ユーザーの生産性を維持しつつ、必要な場面では強力な認証を確実に実施することができます。.

適応型MFAは、幅広い状況に応じたシグナルを活用することができます。より厳格な認証が行われる最も一般的なトリガーには、次のようなものがあります：

• 新しいデバイスまたは不明なデバイス： ユーザーが、システムがこれまで認識したことのないデバイスからサインインした場合、その利用状況の変化によりリスクが高まる可能性があり、新しいデバイスが信頼されるようになる前に、追加の認証が求められることがあります。.
• 通常とは異なる場所や移動パターン： 見慣れない国からのログインや、ユーザーが短時間のうちに地理的に離れた2つの場所に同時に現れるといった現実離れした移動状況は、認証情報が漏洩したことを示す有力な兆候です。.
• 信頼できないネットワークまたは不審なIPアドレス： 匿名化ネットワーク、既知の悪意のあるIPアドレス範囲、または管理されていないWi-Fiネットワークからのアクセスは、より厳格な認証要件が適用される原因となる場合があります。.
• ログイン時の異常な動作： 通常とは異なるログイン時間帯、典型的な操作の流れとは異なる一連の操作、あるいは予想外のアクセス速度など、ユーザーの通常のログインパターンからの逸脱は、何か異常があることを示唆している可能性があります。.
• 機密性の高いアプリケーションやデータへのアクセス： リクエストの対象となるリソースの機密性は、それをリクエストするユーザーと同様に重要です。金融システム、人事データ、ソースコードリポジトリ、および規制対象の情報については、ユーザーがどれほど信頼できそうに見えても、より厳格な本人確認が必要です。.
• 特権アカウントまたは権限が強化されたユーザーロール： 管理者、経営幹部、および特権権限を持つその他のユーザーは、アカウントが侵害された場合に高いリスクをもたらすため、適応型MFAでは、デフォルトでこれらの役割に対してより強力な認証を要求するように設定できます。.

従来のMFAと適応型MFAの違いは、結局のところ「状況」によるものです。.

従来のMFAでは、ログインのたびに同じ認証チャレンジが適用されます。ユーザーが午前10時に慣れ親しんだネットワーク上の管理対象の社用ノートPCからサインインする場合でも、午前3時に別の国にある未登録のデバイスからサインインする場合でも、認証手順はまったく同じです。 この一貫性により、導入や説明は簡単ですが、実用上2つの欠点があります。低リスクのユーザーは不必要な手間を強いられ、高リスクのリクエストに対しては追加の精査が行われないのです。.

次のような適応型MFA RSAリスクAI リアルタイムの状況に応じて要件を調整します。同じユーザーであっても、午前中は低リスクのサインインを簡単に済ませられる一方で、その日の後半に新しいデバイスから機密性の高いアプリケーションにアクセスする際には、強化された認証が必要になる場合があります。これにより、認証ポリシーは各アクセスイベントの実際のリスクに応じて柔軟に対応できるようになります。.

実用的なメリットは、同じレベルの プロンプト疲労. ユーザーには全体として表示されるチャレンジの数は少なくなりますが、表示されるチャレンジはより有意義であり、攻撃者が回避するのはより困難です。このコンテキスト主導型のアプローチは、 リスクベース認証, これは、同様の信号を用いて、IDプログラム全体にわたるより広範なアクセス許可の決定を行うものです。.

いくつかの簡単なシナリオを通じて、適応型MFAが実際にどのように動作するかを説明します。.

信頼できる従業員が、管理対象のデバイスからサインインする

ユーザーは、通常の業務時間中に、既知のノートパソコンから、認識済みのネットワークを介してサインインします。状況から見てリスクが低いと判断されるため、システムは追加の手間を最小限に抑えてアクセスを許可する場合があります。.

新しい国からのログイン試行がありました

ユーザーが、これまでログインしたことのない場所からビジネスアプリケーションにアクセスしようとします。適応型MFAでは、アクセスを許可する前に、フィッシング対策機能や生体認証などのより強力な認証を要求する場合があります。.

特権を持つ管理者が、機密性の高いシステムへのアクセスを要求した

デバイスやネットワークが判明している場合でも、要求されたリソースのリスクが高いため、システムは追加の認証を要求することがあります。ロールとリソースが相まって、保証のしきい値が高くなるのです。.

あるユーザーがサインイン中に異常な動作を示しています

ログインの挙動が通常のパターンと異なる場合（例：不自然なアクセス試行の連続や、通常とは異なる時間帯など）、適応型MFAは保証要件を引き上げたり、そのセッションにフラグを立てて追加の審査対象としたりすることができます。.

請負業者が、管理対象外のデバイスから重要なクラウドアプリにアクセスした

デバイスおよびユーザーのコンテキストは、管理対象の従業員用エンドポイントと同じ信頼閾値を満たしていないため、システムはより厳格な認証ルールを適用することができます。サードパーティによるアクセスには、多くの場合、独自の適応型ポリシーが必要となります。.

• リスクの低いユーザーにとっての負担を軽減します： 日常的なサインインは、追加の手順を最小限に抑えて行われるため、生産性を維持しつつ、ユーザーのストレスを軽減します。.
• 不審な動きが確認された際に防御体制を強化します： 重要な場面では多段階認証が適用されるため、認証情報を利用した攻撃の実行が大幅に困難になります。.
• より効率的なアクセスポリシーに対応しています： セキュリティチームは、画一的なルールにとどまらず、ユーザー、デバイス、リソースの実際のリスクプロファイルに合わせたポリシーを策定することができます。.
• 重要なシステムやデータの保護に役立ちます： 価値の高いリソースについては、ユーザーの事前の信頼レベルにかかわらず、より厳格な検証が行われるため、認証情報の漏洩による影響が軽減されます。.
• セキュリティを損なうことなく、ユーザー体験を向上させます： ユーザーに表示されるプロンプトの数は全体的に減り、表示されるプロンプトも明らかにリスクの高まりと関連付けられているため、導入率とセキュリティ態勢の両方が向上します。.

適応型多要素認証（MFA）には大きなメリットがありますが、導入を成功させるには綿密な計画が必要です。セキュリティ責任者は、以下の課題を想定しておく必要があります。.

• ポリシーの調整は複雑な場合があります： 適切な閾値、シグナル、およびエスカレーション要件を定義するには、特に大規模または多様な環境においては、時間と反復作業が必要となります。.
• 信号品質が悪いと、誤検知につながる可能性があります： コンテキストデータが不完全または信頼性に欠ける場合、システムはユーザーに不必要な警告を表示したり、真の脅威を見逃したりする可能性があります。.
• 一貫性のないユーザー体験は、混乱を招く可能性があります： ユーザーが状況に応じて異なるプロンプトが表示される場合、ヘルプデスクへの問い合わせ件数の増加やユーザーの不満を避けるためには、明確なコミュニケーションが不可欠です。.
• 脆弱な認証方式は依然としてリスクをもたらす： 適応型多要素認証（MFA）が真の価値を発揮するのは、その基盤となる要素が堅固な場合に限られます。SMSによるワンタイムパスワード（OTP）のようなフィッシング攻撃の標的となりやすい要素は、どれほど高度に導入されたとしても、依然として回避される可能性があります。.
• 長期的な成功には、透明性とガバナンスが重要です： 監査可能性、ポリシーの文書化、および継続的な見直しがなければ、適応型ポリシーは方向性を失い、攻撃者に悪用される可能性のある脆弱性が生じる恐れがあります。.

適応型MFAの導入は、単にログイン時の認証プロンプトを増やすことだけではありません。セキュリティ担当者は、適応型ポリシーが最も価値を発揮する場面、信頼性の高いシグナル、そして強固な保護とユーザーエクスペリエンスのバランスをどのように取るべきかを判断する必要があります。導入が最も成功している事例は、一律の有効化ではなく、運用上の意思決定、綿密なポリシー設計、そして管理された段階的な展開によって推進されています。.

リスクが最も高いユーザーやリソースから着手してください

まずは、特権アカウント、リモートアクセスワークフロー、機密性の高い業務アプリケーション、および高価値データから着手します。侵害された場合に最も大きな損害をもたらすユーザー層やリソースにまず焦点を当てることで、導入の正当性を説明しやすくなり、リスクの低いシナリオに対して過剰なポリシーを設定してしまう可能性を減らすことができます。.

ご自身の環境において最も重要な信号を特定してください

管理対象デバイスと非管理対象デバイス、社内ユーザーとサードパーティユーザー、通常とは異なる地理的場所、不審なIPアドレス、不自然な移動経路、規制対象または機密性の高いリソースへのアクセスなど、実用的なシグナルに注目してください。すべてのシグナルがあらゆる環境で同等の信頼性を持つわけではないため、シグナルに基づいてポリシーを策定する前に、その品質を検証しておくことが重要です。.

ログインイベントだけでなく、ビジネスリスクに基づいてポリシーを策定する

適応型MFAの目的は、単にユーザーに対してより頻繁に認証要求を行うことではありません。その真の目的は、セッションが侵害された場合に、ビジネス、運用、またはコンプライアンス上の重大なリスクが生じる場面において、より強力な制御措置を講じることにあります。ポリシー決定を行う際は、単に「何にログインしているか」だけでなく、「何を保護しているか」という観点から検討してください。.

段階認証を戦略的に活用する

状況に応じて必要な場合にのみ、より厳格な認証を行うようにしてください。これにより、プロンプト疲れを軽減し、システムに対するユーザーの信頼を維持し、すべてのユーザーやアプリケーションに対して同じ煩わしい体験を強いることを回避できます。.

セキュリティ、IAM、コンプライアンスの各チームを早い段階で連携させる

ポリシーが部門ごとに孤立して策定されると、導入が失敗することがよくあります。セキュリティ担当者は、IAM、IT運用、アプリケーション所有者、およびコンプライアンス関係者の意見を取り入れ、本格的な展開に先立ち、許容可能なリスク閾値、エスカレーション手順、および例外処理を定義する必要があります。.

高信頼性アクセスが必要な場所を特定する

ビジネスへの影響、機密性、およびコンプライアンス要件に基づき、より厳格な検証が必要なユーザー、システム、およびワークフローを特定します。特権アカウント、本番システム、機密性の高いアプリケーション、規制対象データ、および重要インフラについては、適応型MFA戦略の一環として、より高い保証要件を満たすよう評価を行う必要があります。.

本格的な展開に先立ち、試験運用、評価、および調整を行う

段階的な導入によりリスクを軽減できます。まずは限定された対象者から始め、誤検知を確認し、ユーザーによる利用上の不便さを監視し、組織全体への展開前にポリシーを調整してください。導入後の最初の数ヶ月間は、ポリシーを繰り返し見直す必要があることを想定しておいてください。.

可視化とガバナンスに関する計画

監査可能性と運用管理は、ポリシーそのものと同じくらい重要です。ポリシーを文書化し、責任の所在を明確にし、報告の頻度を定め、例外処理や継続的な見直しを行うプロセスを構築してください。適応型多要素認証（MFA）は、単発の設定としてではなく、継続的に更新されるプログラムとして管理される場合に、最も効果を発揮します。.

適応型MFAは、単に認証を求めるときのよりスマートな方法というだけではありません。これは、あらゆるアクセス要求に余計な手間をかけることなく、IDセキュリティを強化するための実用的な手法です。コンテキストにリアルタイムで対応することで、組織は適切なアクセスイベントに対して適切なレベルの検証を適用し、機密性の高いシステムに対する管理を強化し、認証をより広範なゼロトラストやセキュアアクセスという目標と整合させることができます。.

アダプティブMFAは、より広範なID戦略の一環として機能する場合、その効果が高まります。RSAは、組織がセキュアなアクセスをIDガバナンスやライフサイクル管理と連携させることを支援し、可視性の向上、ポリシーの徹底、およびクラウド環境やハイブリッド環境全体にわたる一貫性のある保護の実現をサポートします。詳細はこちら RSAのガバナンスおよびライフサイクルソリューション アクセスセキュリティとIDガバナンスがどのように連携しているかを確認するため。.