セキュリティ効果絶大！多要素認証の義務化～新たなセキュリティ標準～

サイバー攻撃の手法が高度化・多様化しており、企業や個人のアカウントをターゲットにした被害が年々増加しています。
国立研究開発法人情報通信研究機構（NICT）によりますと、大規模サイバー攻撃観測網（NICTER）で確認された2023年の総観測通信数は、2015年と比較して9.8倍となっており、依然多くのサイバー攻撃関連の通信が届いている状態であることが読み取れます。なお、2023年は過去最高の観測数を記録しており、インターネット上を飛び交うサイバー攻撃の通信は、2022年と比較してさらに活発化している状況であると言えます。

2023年度は、国家を背景とするグループからの攻撃をはじめとするサイバー攻撃の洗練化や巧妙化が一層進展しています。政府機関等への攻撃や、重要インフラ事業者を中心とした民間企業へのサプライチェーン・リスクを突いた攻撃、ランサムウエア等による被害、テレワーク等に利用される機器のぜい弱性や強度の弱い認証情報等を利用して侵入する手口が拡大しました。また、いわゆるゼロデイ攻撃に係るリスクや、生成AIをはじめとする新たな技術の普及に伴うリスク等、従来の対策では容易に対処できない新たなリスクも増大しています。

特に、フィッシング攻撃やパスワードのリスト型攻撃により、侵害リスクの高まるアカウント乗っ取りに対抗する手段として、多要素認証の導入が急務となっています。Microsoftの調査によれば、多要素認証を導入することでアカウントに対する攻撃の99.2%を防ぐことが可能とされています。このように、サイバー攻撃への対策として多要素認証の必要性がますます高まっているのです。

モバイルワーク、自宅でのテレワーク、そしてワーケーションなど、オフィス外での業務が増える中で、社内システムの利用に対するセキュリティの重要性はすでに広く認識されていると思いますが、企業は改めてセキュリティ対策の強化・見直しが必要です。
例えばMicrosoft 365では多要素認証の機能が用意されており、携帯電話などへ確認コードを送信したり（所持情報）、Microsoft Authenticatorアプリケーションによる顔認証・指紋認証などを利用したり（生体情報）することができます。
この機能より、よりセキュアな環境下でシステムを使用することが可能となっています。
クラウドサービスではあらかじめ多要素認証の機能が準備されていることもありますので、ご利用のサービスをご確認いただき、積極的な利用をご検討ください。

Microsoftは「Secure Future Initiative」の一環として、2024年10月15日を期限にAzureログインなどの主要サービスにおいて多要素認証の義務化を開始すると発表しました。
この義務化はAzure PortalやMicrosoft 365管理センターを含む幅広いプラットホームに適用され、段階的に展開される予定です。

多要素認証は、次のようなサービスで義務化されています。

法規制の進展は、多要素認証義務化を後押しする要因の一つです。
例えば、「改正個人情報保護法」では、個人情報の取り扱いに関するルールが強化されました。この法律は、個人情報の取得・利用に際しての事前同意の義務化や、データ漏洩時の報告義務などを定めており、企業はこれに対応するために多要素認証を導入することが求められています。

また、海外では「一般データ保護規則（GDPR、EU）」が、EU域内の個人データの処理に関する厳格なルールを定めています。GDPRは、データ保護のための技術的および組織的な対策を企業に求めており、その一環として多要素認証の導入が推奨されています。これにより、個人データへの不正アクセスを防ぎ、データの機密性を確保することが求められます。
「カリフォルニア消費者プライバシー法（CCPA、アメリカ）」も、消費者に対して自身の個人情報に関する権利を強化し、企業に対して透明性のあるデータ処理を求めています。CCPAは、消費者が自分のデータにアクセスし、削除を要求する権利を持つことを保証しており、企業はこれに対応するために多要素認証を導入することが推奨されています。

これらの法規制は、日本の企業にとっても無関係ではなく、特に国際的な取引を行う場合には重要な規制となります。企業が顧客のデータを安全に管理し、プライバシーを保護するための重要な基準となっているのです。多要素認証の導入は、これらの法規制に対応するための効果的な手段の一つであり、企業のセキュリティ対策の強化に寄与します。

中小企業にとって、多要素認証の導入はコストがかかると思われがちですが、それ以上のメリットを享受することができます。

政府や規格団体によるセキュリティ基準が厳格化されていますが、サイバー攻撃被害は年々増加しております。また、ログイン情報の不正取得やパスワード推測によるアカウント乗っ取り被害が増えています。単一パスワードでのセキュリティには限界があるため、多要素認証が今後さらに普及すると考えられます。
一方で、セキュリティを破る技術も向上しているため、過信すると情報漏えいにつながります。最後のとりではパソコンや携帯電話を使うユーザー自身です。必要な対策を講じたうえで、個人個人が高い意識を持って取り組むことが大切です。