RSA ID Plusで世界最大級の銀行にパスワードレスを導入
世界最大級の銀行の一つが、次のように決定しました。 RSA ID Plus 完全にパスワードレスな未来に向けた基盤を構築し、社内従業員、契約社員、および重要顧客にわたるパスワードに起因する脆弱性を排除すること。同銀行のアプローチ、採用した認証手段、および導入に必要な要件については、ケーススタディの全文に記載されています。.
大規模なパスワードレス銀行業務の取り組みを形作る重要な課題や、こうした導入が実際にどのように進められるかに基づいた実装フレームワークについては、以下をお読みください。あるいは、 ケーススタディの全文をダウンロードする.
FIDO2は、フィッシング攻撃に強く、パスワード不要のログインを可能にするオープンスタンダードです。ユーザーがFIDO2対応デバイスを登録すると、一意の暗号鍵ペアが生成されます。秘密鍵はデバイス外に出ることはなく、公開鍵はアプリケーションに登録されます。 ログイン時、デバイスは正規のウェブサイトと暗号的に紐付けられたチャレンジに署名を行います。そのため、たとえユーザーが騙されて偽のページとやり取りをしてしまったとしても、そのページでは認証応答を使用することはできません。.
デバイスに紐付けられたパスキーは、この機能をさらに拡張します。認証情報は単一の物理デバイスに紐付けられており、エクスポートや複製はできません。内部者による脅威やデバイスの共有が深刻な懸念事項となる銀行業界において、このレベルの紐付けは、利用可能な最高レベルの保証を提供します。. RSAによるFIDOアライアンスへの長年にわたる関与 これらの基準がどのように策定・実施されるかという点において、これを中核に据えている。.
銀行の利用者層は一様ではありません。社内従業員、契約社員、富裕層の顧客、モバイルワーカーは、それぞれデバイスへのアクセス状況、セキュリティ要件、操作上の煩わしさに対する許容度が異なります。固定のワークステーションを利用するトレーダーには有効でも、共有デバイスを利用する契約社員やモバイル端末を利用する顧客には機能しないようなパスワードレス導入は、完全なソリューションとは言えません。.
RSA ID Plus この問題に対処するため、パスワードレス認証のあらゆる形態をサポートし、 フィッシングに強いMFA クラウド、ハイブリッド、オンプレミスの各環境において、ハードウェアセキュリティキー、デバイスに紐付いたモバイルパスキー、ハードウェアトークンといった手法。. ハイブリッド・フェイルオーバー 接続が途絶えた場合でも認証機能が利用可能な状態を維持することを保証しており、これは金融サービスの業務において不可欠な要件です。.
大規模なパスワードレス化の導入は、一朝一夕には実現しません。複数のシステムや地域にまたがり、数万人のユーザーを抱える銀行にとって、パスワードベースのアクセスからフィッシング攻撃に完全に耐性のある認証方式への移行は、多段階にわたるプログラムとなります。以下に、この規模の導入が通常どのように進められるかを説明します。.
フェーズ1. 評価と計画
いかなる技術を導入するに先立ち、銀行のアイデンティティおよびセキュリティチームは、すべてのユーザー層、システム、および認証のユースケースを洗い出します。つまり、どのユーザーにハードウェアキーが必要で、どのユーザーにモバイルパスキーが必要か、どのレガシーシステムにブリッジングソリューションが必要か、また特定の環境で認証方法が失敗した場合のロールバック計画は何かを特定するということです。 この段階で綿密な計画を立てることで、導入の途中で顕在化し、多額のコストを要する手直しを余儀なくされるような不備を防ぐことができます。.
フェーズ2：パイロット導入
特定のユーザーグループ（通常は単一の事業部門、あるいは部門横断的なパイロットグループ）が、管理された環境下で新しい認証手段を導入します。 その目的は、単なる技術的な検証にとどまらず、ワークフローの検証にもあります。つまり、これらのユーザーが実際に業務を行う上で、認証の体験が適切に機能するかどうかを確認することです。プロビジョニング、ヘルプデスクのプロセス、ユーザーへの周知に関する問題は、本格展開後よりもパイロット段階で解決する方が、はるかにコストを抑えられます。.
フェーズ3. 段階的な本格展開
導入は、部門ごと、あるいは役割ごとに段階的に拡大され、リスクが最も高いユーザー層（特権アクセスアカウント、トレーディングフロアのスタッフ、コンプライアンスシステムのユーザーなど）を最優先に行われます。各フェーズでは、前のフェーズで得られた教訓が反映されます。ケーススタディの対象となった銀行では、RSAプロフェッショナル・サービスがこのフェーズを通じてオンサイトサポートを提供し、導入が各段階で予定通りに進むよう支援しました。.
ほとんどの銀行では、リスクが最も高いユーザー層（特権ユーザー、トレーディングフロアのスタッフ、コンプライアンスシステムのユーザーなど）から順に段階的に移行を進め、その後、より広範な従業員へと拡大し、最終的には顧客へと拡大していきます。この移行において、MFAをすべての場所で一度に置き換える必要はありません： RSA ID Plus MFAとパスワードレス認証の両方を同時にサポートしているため、銀行は移行期間中もアクセスに支障をきたすことなく、独自のスケジュールに従って移行を進めることができます。.
デバイス紐付け型パスキーは、認証情報を特定の物理デバイスに紐付けるため、たとえ攻撃者がユーザーのアカウント認証情報にアクセスできたとしても、そのパスキーをエクスポートしたり、共有したり、他のデバイスから使用したりすることはできません。その理由は、 金融サービス 認証情報の盗難が主な攻撃経路となる環境において、このバインディングにより、従来のMFA手法では防ぎきれなかったリスクのカテゴリーが排除されます。.
RSA ID Plus ワークステーションに縛られたユーザー向けのハードウェアセキュリティキーや、スマートフォンを主に使用するユーザー向けのデバイス紐付け型モバイルパスキーなど、複数のパスワードレス認証方式に対応しているため、各ユーザー層が実際の業務スタイルに合った認証方法を利用できます。 これは特に銀行業界において重要であり、トレーダー、支店スタッフ、契約社員、顧客など、それぞれが異なる認証環境を持っており、単一の認証方法ではこれらを均一にカバーすることができないからです。.
数万人のユーザーと複数の地域にまたがって事業を展開する銀行の場合、段階的に計画した場合、完全なパスワードレス化の導入には通常18～24か月の期間を要します。このスケジュールは、既存のIDインフラの複雑さ、異なるユーザー層の数、および必要なレガシーシステムとの統合の程度に大きく左右されます。 このケーススタディでは、当該銀行が採用しているアプローチとスケジュールについて詳しく解説しています。.
FIDO2は、公開鍵暗号技術を用いて認証を特定の登録済みデバイスおよびアプリケーションに紐づけるため、不正なサイト上で認証応答を再利用することはできません。これにより、フィッシング攻撃は単に困難になるだけでなく、技術的に無効化されるのです。 高額な取引や機密性の高い顧客データを扱う銀行には、このレベルの暗号学的保証が不可欠です。共有秘密鍵に基づく従来のMFA手法では、その秘密鍵がどれほど複雑であっても、このレベルの保証を提供することはできません。.
RSAは、さまざまな銀行利用者層に適した、フィッシング対策機能を備えた3種類の認証手段を提供しています。それらは、 iShield Key 2シリーズ ハードウェアキー（FIDO2 + FIPS 140-3 認定、最高レベルのセキュリティが求められる環境向け）、RSA Authenticator アプリのデバイス紐付けパスキー（モバイル優先のユーザー向け）、および DS100 ハードウェアトークン （FIDO2のパスワードレス方式と、フォールバックが必要な環境向けのOTPの両方をサポートしています）。.
このケーススタディでは、当該銀行がどの認証手段を選定したか、およびその理由について詳しく説明しています。.
含まれる