パスワードレス認証は、パスワードやその他の記憶情報を使用せずにユーザの身元を確認する方法です。その代わりに、セキュリティチームは「所持要素」(例:登録されたモバイルデバイス、ハードウェアトークン、生成されたワンタイムパスワード)や「生体要素」(例:指紋や顔認証)を使用してユーザの本人確認を行います。 多要素認証 (MFA)や シングル・サインオン (SSO)と併用することで、パスワードレス認証はユーザ・エクスペリエンスを向上させ、セキュリティを強化し、IT運用のコストと複雑さを軽減することができます。Translated
MFA(多要素認証)とパスワードレス認証は両方とも、ユーザにパスワード以外の情報を求めることでセキュリティを強化します。しかし、両者には重要な違いがあります。MFAは、ユーザの身元を確認するために2つ以上の独立した要素を要求することでセキュリティを高めますが、その要素の1つはパスワードである可能性が非常に高いのです。Translated
一方、パスワードレス認証はパスワードを一切使用しないため、パスワードに伴う脆弱性を完全に排除できるうえ、パスワード管理の煩雑さやヘルプデスクの負担も軽減されます。Translated
ハッキングされやすいTranslated
所持要素や生体要素と異なり、従来の認証はパスワードのように「ユーザが知っていること」のみに基づいており、本質的に再利用や盗難に対して脆弱です。2023年には、データ侵害の68%がフィッシングやその他のソーシャルエンジニアリング攻撃など、人為的な要因によるもので、これらの攻撃ではユーザが自覚のないまま認証情報を攻撃者に渡してしまうケースが含まれていました。Translated
継続的な管理Translated
パスワードは、ユーザとIT担当者の双方にとって継続的な管理が必要です。一般のユーザにとって、増え続ける複雑なパスワードを把握しておくのは、少なくとも面倒であり、しばしば困難を伴います。パスワードを忘れると、業務の遅延やアカウントのロックにつながることもあります。記憶を助けるために、ユーザはパスワードを使い回したり、紙に書いて保存したりすることが多く、こうした行動はすでに脆弱なシステムをさらに危険にさらします。パスワードの使い回しは、乗っ取りやフィッシング、データ侵害の影響を拡大させ、1つのパスワードが盗まれるだけで複数のアカウントが不正にアクセスされる可能性を高めてしまいます。Translated
多大な費用負担Translated
IT担当者にとって、正当なユーザのパスワードリセットを管理することは、高額で時間のかかる作業となります。大企業では、ITヘルプデスクのコストの最大 50% がパスワードリセットに充てられており、従業員のパスワードリセット対応だけで年間100万ドル以上の人件費がかかることもあります。また、パスワードリセット対応に時間を割くことで、より価値の高いデジタルトランスフォーメーションの推進や高度なサイバー攻撃への防御に注力できなくなるという問題もあります。Translated
セキュリティTranslated
最近のVerizonのデータ侵害調査報告によると、外部の攻撃者による侵害の49%の根本原因は、弱いまたは盗まれた認証情報にあります。この統計は、強力なパスワード管理と安全な認証手法の重要性を強く示しています。パスワードが漏えいすると、組織はデータの盗難、金銭的損失、評判の損害といった深刻なリスクに直面します。これらの頻発し、防ぐことができる脆弱性を防ぐために、安全な認証情報ポリシーの優先順位を高めることが不可欠です。Translated
ユーザ・エクスペリエンスTranslated
ユーザ・エクスペリエンスの観点から見ると、平均的な企業ユーザは 業務関連のアカウントで煩雑な87個ものパスワードを管理しており、これが負担であると同時にセキュリティリスクにもなっています。複数のパスワードを覚えたり管理したりすることが困難なため、パスワードの使い回しや安全でない場所への保存といった悪習慣が生まれ、脆弱性がさらに高まります。ユーザ認証を簡素化することは、セキュリティを強化するだけでなく、従業員の日常的な業務を向上させ、ストレスを軽減し、より良いパスワード管理を促進します。Translated
トータルコスト (TCO)Translated
パスワード管理にかかる総所有コストは高く、パスワードリセットの問い合わせがITコールの最大50%を占めています。リセットの対応には時間とリソースが消費され、本来は、より戦略的なIT施策に使うことができるはずです。より安全で効率的な認証方法によってパスワードリセットの件数を減らすことは、コスト削減と運用効率の向上につながり、ITスタッフがより重要な業務に注力できるようになります。Translated
パスワードレス認証は、ユーザのアイデンティティを一つの強力な方法で保証します。組織にとって、これは以下のことを意味します:Translated
- Translatedより良いユーザ・エクスペリエンス:ユーザはもはや複雑なパスワードやユーザ名の組み合わせを覚えたり更新したりする必要がなくなり、生産性を高めることができます。認証が簡素化されることで、ユーザはストレスを感じることなく、より速くログインできるようになります。
- Translatedより強固なセキュリティ体制:ユーザが管理するパスワードがないため、ハッキングされるパスワード自体が存在せず、これにより一連の脆弱性とデータ侵害の主要な原因が排除されます。
- Translatedトータルコスト(TCO)の削減:パスワードは高コストであり、ITスタッフによる継続的な監視と管理が必要です。パスワードを廃止することで、発行、保護、変更、リセット、管理の手間がなくなり、サポートチケットの数も減少します。また、IT部門はより緊急性の高い課題に集中できるようになります。
- TranslatedITの管理と可視性:フィッシングやパスワードの使い回しや共有は、パスワード保護されたシステムでよく見られる問題です。パスワードレス認証を導入することで、ITはアイデンティティとアクセス管理に対する完全な可視性を取り戻すことができます。
Translated名前が示す通り、パスワードレス認証(パスワード不要認証)は、本人確認のために記憶されたパスワードを必要としません。その代わりに、ユーザは以下のようなより安全な方法で身元を認証します:
- 生成されたワンタイムパスワード(OTP)Translated
- タップやプッシュによる承認を含むアプリベースの認証方法Translated
- FIDO2 セキュリティキーTranslated
- 認証プロセスを完了するための生体認証Translated
パスワードレス認証は、さまざまな認証や暗号化プロトコルを使用します。パスワードレス認証と従来の認証の大きな違いの一つは、従来の認証とは異なり、パスワードレスの認証情報は固定されず使い回されない点です。その代わりに、各セッションの開始時に新しい認証データが生成されます。Translated
すべてにパスワードを使う方法からパスワードレスの未来へ移行するには、一歩ずつ進めることが重要です。 以下のベストプラクティスを活用して実装を進めてください:Translated:
- ユーザに負担をかけない段階的なアプローチを取ってください。まずは一つのアクセス地点やユーザグループから始め、徐々に拡大していくことで、ユーザがシステムを学ぶ時間を確保できます。Translated
- セキュリティと同じくらい利便性にも注力しましょう。認証方法が使いやすいほど、ユーザがそのルールを守る可能性が高まります。Translated
- まずは脆弱な箇所に強力な認証を適用しましょう。従来の認証で最も危険にさらされている場所はどこですか?そこから始めてください。Translated
- 目標を見失わないでください。着実な改善が積み重なります。Translated
RSAは、世界で最も広く導入されている多要素認証(MFA)機能を提供しており、セキュリティ重視の組織からオンプレミスやクラウド環境で利用され、信頼されています。RSAのMFAには以下が含まれます:Translated
- TranslatedFIDO認定のRSA iShield Key 2シリーズや、iOSおよびAndroid向けのRSA Authenticator App 4.5をはじめとする、多様な パスワードレス認証 オプションを提供しています。これには、プッシュで承認する方式、指紋や顔認証などの生体認証、「自分の認証器を持ち込む(BYOA)」方式、そして認証のゴールドスタンダードとされるハードウェアトークンも含まれます。これらのソリューションはいずれもフィッシング耐性に優れ、ユーザがクラウド/SaaSやウェブベースのアプリケーション、さらにはWindows端末に安全にログインできるようにします。
- TranslatedRSA Readyパートナーシップにより、 FIDO認証のリーダー企業として、FIDOベースのパスワードレスソリューションとの即時相互運用性を実現しています。
- Translated高度なAIと機械学習に基づくリスクスコアリングは、ビジネスコンテキスト、デバイス属性、行動特性に基づいてアクセスリスクを算出し、それに応じて認証強度を調整します。
- Translatedパスワードに依存しないワークフローを排除する保護されたセルフサービスの認証情報管理オプションにより、オンボーディング、認証情報の回復、緊急アクセス時のセキュリティを強化します。
- Translated99.99%の可用性を誇る常時強力な認証と、ネットワーク接続が中断された場合でも安全で便利なアクセスを保証するユニークな「ノーフェイル」マルチプラットフォーム機能を備えています。