多要素認証（MFA）とは何ですか？

多要素認証（MFA）は、ユーザーがシステムやアプリケーションへのアクセスを許可されたり、取引を完了したりするために、様々な認証手順を経る必要があるセキュリティプロセスです。 

他の本人確認方法とは異なり、MFAは追加情報を要求することで、セキュリティの第二層を追加します。 

当然のことながら、これにより、たとえ詐欺師がパスワードを知っていたとしても、アクセスは複雑になります。

SaaS企業は、セキュリティとプライバシーを向上させるため、機密情報を扱う際にはMFAの導入を真剣に検討すべきです。 

MFAは、本人確認を行う際に特定のデータカテゴリに焦点を当てます：

• 知識要素： ユーザーが知っている情報。パスワードやPINなど。

• 所持要素： ユーザーが持っているもの。スマートフォン、ハードウェアトークン、認証アプリなど。

• 固有要素： 指紋、顔認識、または声紋などの生体認証特性。

• 位置情報または状況的要因： 地理的位置、IPアドレス、またはネットワーク評価などのシグナル。

認証プロセスで複数の要因を組み合わせることで、セキュリティが向上します。

MFAには以下の利点があります： 

• より強力なアカウント保護： 侵害されたパスワードだけでは、アクセスするには不十分です。

• 侵害リスクの低減： Microsoftは、MFAが99%以上のアカウント侵害攻撃をブロックできると報告しています。

• アクセス制御の改善： MFAは、ユーザーとシステム全体で一貫したポリシー主導型認証を適用します。

• ビジネスへの影響を軽減： 侵害によって引き起こされる金銭的損失、ダウンタイム、および風評被害を防ぎます。

• パスワードへの依存を低減： パスワードの使い回しやクレデンシャルスタッフィング攻撃に対するリスクを制限します。
  

MFAはわずかな摩擦や導入コストを伴う可能性がありますが、これらのトレードオフは、ほとんどの組織にとってセキュリティ上のメリットによって一般的に相殺されます。

パスワードは、多くのMFAワークフローにおいて依然として最初の認証ステップです。脆弱なパスワードや使い回されたパスワードは、ハッキングやソーシャルエンジニアリング攻撃のリスクを高めます。特に、サイバー犯罪者によってユーザーがログイン要求の承認を強制される「MFA fatigue（MFA疲労）」の場合に顕著です。

強力で固有のパスワードは、そもそも侵害される可能性を低減させ、MFAの有効性を強化します。 

企業環境では、MFAは次のように機能します。

1. ユーザーはユーザー名とパスワードを入力します。
2. システムは、デバイス、場所、行動などのコンテキストを考慮します。
3. ユーザーは、認証アプリのコード、生体認証スキャン、またはハードウェアトークンといった第2認証要素の提供を求められます。 
4. 正常な検証後にのみアクセスが許可されます。

SaaS企業は、プライマリデバイスが侵害されたり、その他の理由で使用できなくなったりした場合に備え、リストに追加の認証方法を加えることも検討する必要があります。

MFAシステムは、新規または不明なデバイスを識別するために、しばしば以下の様々な方法を利用します：

• デバイスフィンガープリント
• IP分析
• 位置情報履歴
• アクティビティ監視 

新しい場所や通常とは異なるデバイスがログイン試行に使用された際に、警戒を促すのはまさにこれらの方法です。このような慣行は、デバイスの多様性が高いリモートおよびクラウドアプリケーションで有用です。

アダプティブMFAは、リスク評価に基づいて、より高いまたは低いレベルを確立するために 認証 レベル。以下のような、より高いレベルの認証をトリガーする可能性のある数多くのシグナルがあります：

• 通常とは異なる場所
• 不可能な移動
• 通常とは異なる行動やネットワーク
• 不審なネットワーク。 

リスクの低い状況は最小限の摩擦で進行し、リスクの高い状況ではより多くの要素が必要となるか、ブロックされます。この慣行によりセキュリティが向上し、通常ユーザーに対する不要なMFA要求が排除されます。

はい。MFAの強度は、使用される基準によって異なります。 

• SMSベースのコードは、最も低いレベルの保護しか提供せず、SIMスワップに対して脆弱です。
• 認証アプリとハードウェア トークン より高いレベルの保証を提供します
• 生体認証要素（～によって採用されている 3Dセキュア）が適切に実装されていれば、最高レベルのセキュリティを提供します。 

SaaS企業は、データや保護対象システムの機密性に応じてMFAの強度を検討し、セキュリティ要件とユーザーエクスペリエンスのバランスを取るべきです。