はじめに
転職して驚いたことの一つが、
「会社携帯が支給されていない」
ことでした。
パスワードの流失やフィッシング詐欺などによって、MFAによるセキュリティ強化は当たり前の時代に、社員に会社携帯を支給し、それを使用してのMFAの実施というのは、ある種IT業界におけるデファクトスタンダードだと思い込んでいました。ある意味カルチャーショックです。
しかし、色々と裏どりを進めると見えてきた現実があります。
- 社員全員に会社携帯を配る金銭的、工数的余裕がない情シス
- 個人スマホの利用には抵抗があるユーザー
- セキュリティ強化は進めたい役員
という、まあ確かにそうだよな、という当たり前の事実が並びます。
なので今回は、
「会社携帯を支給しない前提でMFAをどう導入するか」
について考えてみます。
なぜ問題になるのか
MFAというと、多くの人は次を思い浮かべます。
- Microsoft Authenticator
- 電話、SMS認証
しかし、これらは大抵スマートフォンが必要です。
つまり、
MFA導入
↓
スマホ必須
↓
会社スマホがない
↓
個人スマホ利用？
という問題に突き当たります。
情シスから見ると、
「個人スマホにAuthenticatorを入れてください」
で終わりかもしれません。
しかし従業員からすると、
- 私物端末を業務利用したくない
- 会社に管理されたくない
- 退職時の取り扱いが不安
- 業務都合で個人端末の変更を求められたくない
といった懸念があります。
案1. 個人スマホ利用（BYOD）
最もコストを抑えられる方法です。
そもそも Microsoft Intune なんかは、こういったシナリオを想定して、Intune のシステムを作ってたんだろ?
って思ってます。
メリット
- 初期費用がほぼゼロ
- 導入が早い
- 多くの企業で実績がある
デメリット
- 従業員の反発が出やすい
- プライバシー面の懸念
- 端末紛失時の責任範囲が曖昧
個人の所有物に頼る以上、社内規程や利用者の同意取得は必要でしょう。
無理に導入を進めようとするならば、少額でも何らかの手当を用意しろ、という事態になりかねません。
案2. SMS認証
スマホアプリではなく、SMSに届く認証コードを利用する方式です。
メリット
- 利用者が理解しやすい
- ユーザー教育コストが低い
デメリット
- SIMスワップ攻撃に弱い
- Authenticatorアプリより安全性が低い
- 携帯電話番号が必要
短期的な導入はしやすいものの、セキュリティ強度の観点では将来的な見直しが必要になるでしょう。
また、こちらも社員の所有物を使う前提なので、実際の導入難易度は案1と大差ないでしょう。
案3. 電話認証
固定電話や携帯電話へ自動音声を発信する方式です。
利用シーン
- コールセンター
- 工場
- 常設オフィス
など、常に決まった場所で業務を行う環境です。
メリット
- スマホ不要
- 比較的低コスト
デメリット
- 出張や営業先などの外出先で利用できない
- 共用電話運用との相性が悪い
- リモートワークに向かない
限定的な環境では有効ですが、全社員向けの解決策にはなりにくそうです。
案4. YubiKeyなどのセキュリティキー
個人的には最も現実的な選択肢の一つだと思います。
Yubikey って何?という人は↓を参照してください。
https://www.yubico.com/yubikey/?lang=ja
仕組み
USBやNFC対応の物理キーをユーザーへ配布します。
パスワード入力
↓
YubiKeyを接続
↓
タップ
↓
認証成功
メリット
- フィッシング耐性が高い
- 個人スマホ不要
- パスワードレス認証にも対応可能
- 管理者アカウント保護に向いている
デメリット
- 購入費用が発生する
- 紛失対策が必要
- 予備キー運用を考える必要がある
難しいのは、どちらかというと運用面になりそうです。
会社貸与物になるので、定期的な棚卸が必要になるかもしれません。
ただし、会社スマホ支給と比較すると長期的には安価になるケースもあります。
社員100人、1-2拠点程度の会社であればアリかも?
注意
今回これを書いている最中に1つ思ったのは、
「あれ、会社の社員証で認証できないか?」というものですが、結論これは難しそうです。
何故かというと、理由はICカードで認証する場合に使用される X.509 という証明書にあります。
簡単に言ってしまえば、X.509 という証明書をカード内に保管すればOKっていうことみたいですが、
実際のビルなどで一般的に使用されるICカードはスピードが要求されるシンプルな構造、そんな難しい証明書を入れる機能は基本的にはないとのこと、残念。
もし会社で使用されているICカードが、こういった証明書にも対応するものであれば案の1つに入れられるかも。
案5. Windows Hello for Businessを活用する
会社からWindows PCが支給されているのであれば、
MFA
↓
Authenticatorアプリ
ではなく、
MFA
↓
Windows Hello for Business
を前提に設計する選択肢もあります。
Windows Hello for Businessは、
- 顔認証
- 指紋認証
- PIN
などを利用して認証を行う仕組みです。
認証情報はデバイス内のTPM（Trusted Platform Module）で保護されるため、従来のパスワード認証よりも安全性が高いとされています。
また、利用者視点では毎回スマホを取り出す必要がなく、
PC起動
↓
顔認証
↓
サインイン
というシンプルな体験を実現できます。
近年はMicrosoftもパスワードレス認証を推進しており、Windows Hello for Businessもその中核となる技術の一つです。
Microsoft はセキュリティ標準の強化に取り組んでいます。
そのため、個人の Microsoft アカウントの認証とアカウントの回復の方法として
SMS の段階的な廃止を開始します。
メリット
- 個人スマホが不要
- 追加のハードウェア購入が不要な場合が多い
- 顔認証や指紋認証による利便性が高い
- パスワードレス認証へ移行できる
- 認証情報がTPMで保護される
- 利用者がスマホの機種変更や再登録を意識する必要がない
デメリット
- Windowsデバイスが前提となる
- 顔認証対応カメラや指紋センサーが必要な場合がある
- 共用PC環境では運用が難しい
- 初期設定や展開計画を検討する必要がある
- Windows以外の端末からのサインイン時には別の認証方式も必要になる
本当にWindows Hello for Businessだけで運用できるか？
Windows Hello for Businessは非常に便利ですが、
- PC故障
- PC交換
- モバイル端末からのアクセス
- 初回セットアップ
といったケースも考慮する必要があります。
そのため実際には、
- 一般社員：Windows Hello for Business
- 管理者：Windows Hello for Business + FIDO2セキュリティキー
- 緊急時：Temporary Access Passやブレークグラスアカウント
のように複数の認証手段を組み合わせる構成が現実的でしょう。
特に「会社携帯を配布したくないが、MFAは強化したい」という企業にとっては、すでに支給済みの会社PCを活用できるWindows Hello for Businessは有力な選択肢だと考えています。
現場目線で考える
もし私が情シス担当で設計するとしたら、次のような形を検討します。
一般社員
- BYODを許可
- 希望者にはセキュリティキーを貸与
管理者
- FIDO2セキュリティキー必須
- 予備キーを登録
- SMS認証は原則使用しない
緊急アカウント
- ブレークグラスアカウントを用意
- 複数の認証手段を登録
- 定期的なサインイン確認を実施
コスト面を考える
よくよくかかる費用を計算していくと、
「会社スマホを支給する」
ことが必ずしも最も安い解決策ではなさそうです。
例えば100人規模の場合、
- 会社スマホ
- 本体代
- 通信費
- 管理工数
が継続的に発生します。
一方で、
- セキュリティキー
- 数千円〜1万円程度
- 通信契約不要
という特徴があります。
もちろん業務上スマホが必要なら別ですが、
「MFAのためだけに携帯を配る」
のであれば再検討の余地がありそうです。
まとめ
会社携帯が支給されない環境でMFAを導入する場合、
単純に
「個人スマホへAuthenticatorを入れてください」
だけでは運用上の課題が残ります。
選択肢を整理すると、
| 方式 | コスト | 安全性 | 利用者負担 |
|---|---|---|---|
| BYOD | ◎ | ○ | △ |
| SMS | ◎ | △ | ○ |
| 電話認証 | ◎ | △ | ○ |
| YubiKey | △ | ◎ | ◎ |
| FIDO2運用 | △ | ◎ | ◎ |
短期的にはBYOD、
長期的にはFIDO2セキュリティキーを中心とした運用が有力ではないかと感じました。
みなさんの職場では、会社携帯がない環境でどのようにMFAを運用していますか？
あとがき
この記事は、実際に「会社携帯が支給されない環境でMFAをどう実現するべきか？」という疑問から整理してみた内容です。
もしMicrosoft Entra IDを利用しているのであれば、
- Authentication Methods Policy
- Authentication Strength
- FIDO2 Security Key
- Temporary Access Pass
なども組み合わせることで、より実践的な運用が可能になります。
今後は実際のEntra ID設計例や、YubiKey導入時の検討ポイントなどもまとめてみたいと思います。