要約
アダプティブ認証は、ユーザーの行動、場所、リスクレベルに基づいてログイン要件を動的に調整します。これにより、疑わしいアクティビティに対してはセキュリティを強化し、日常的なアクセスに対しては手間を軽減します。静的な認証とは異なり、保護とユーザビリティのバランスを取りながら、データ侵害による平均386万ドルのコストを回避できるよう組織を支援します。Oktaのアダプティブ認証は、あらゆる規模の企業に対応する構成可能なソリューションです。
アダプティブ認証とは？
アダプティブアクセスコントロールを使用する場合、訪問者はログインする前にコンピュータプログラムに遭遇します。このプログラムは、（定義した基準に基づいて）各訪問のリスクを評価し、それに応じて認証要件を調整します。 従来の認証システムでは、パスワードの入力や指紋の提出など、訪問があるたびにすべてのユーザーに１つあるいは２つのことを要求していました。アダプティブアクセスでは、ユーザーが誰なのか、どこにいるのか、何をしようとしているのかによって、複雑さを追加したり削除したりすることができます。
このようなシステムについて考えると、すぐにアクセスを難しくするプログラムを思い浮かべます。例えば、ユーザーが送金などの重要な操作を実行する前に、網膜スキャンを要求するようなプログラムを想像します。
アダプティブアクセス制御はどのように摩擦を軽減するのでしょうか？
しかし、アダプティブアクセスコントロールなら、単純な操作をより簡単に完了することもできます。例えば、単に個人的なカレンダーを見ようとするだけなら、いくつかのセキュリティフープをスキップすることができます。 私たちの3分の1がいわゆる「パスワード疲れ」であることを考えると、このような簡素化は歓迎すべきことかもしれません。
セキュリティと使いやすさのバランスをとることも、従業員が職場のテクノロジーに満足し続けるための鍵です。
アダプティブアクセスはどのように機能しますか？
アダプティブプログラムは、アクセスゲートキーパーのように機能します。ユーザーは、サーバーにアクセスする前に、アダプティブプログラムと対話しなければなりません。
プログラムはそれぞれ異なりますが、ここでは、大半のブログラムの仕組みについて簡単にご説明します。
- 危険性を強調します。ユーザーの役割、場所、時間帯、要求されるリソースごとにリスクについて概説します。各ユーザーにプロファイルを与え、そのユーザーが通常どのようにシステムとやりとりしているかをプログラムに学習させます。
- ベースラインルールを決めます。受け入れる最低の認証方法を定義し、それに応じてリスクを階層化します。各シナリオをどのように処理したいかをプログラムに指示します。
- プログラムをオンにします。ユーザーがログインしようとするたびに、プログラムがリクエストを評価し、リスクを評価します。認証プロセスはそれに応じて適応します。
アダプティブアクセスコントロールの３つの例
マイクさんという会計士を想像してみましょう。 彼は、サクラメントを拠点としてあなたの会社で10年間働いています。彼のアダプティブ認証の経験がどのようなものかを見てみましょう。
| シナリオ | トリガー条件 | システム応答 |
|---|---|---|
| 1 | 午前8時に、使い慣れたIP（30日間のパターン）から会計サーバーにログイン | パスワードのみ |
| 2 | 午前2時に、使い慣れたIPアドレスから会計サーバーにログイン（通常とは異なる時間） | パスワード + 認証済み電話番号に送信されたコード |
| 3 | 午前2時に、普段とは異なるIPアドレスからマーケティングサーバーにログイン | パスワード＋2次コード＋生体認証の指紋 |
アダプティブアクセスを試すべきか？
壊滅的なデータ漏洩に対して金銭的余裕のある企業はほとんどありません。たとえ料金を支払って、失った資金を回収できたとしても、安全でセキュアなプロバイダーとしての評判は永遠に失われるかもしれません。
そのような状況でOktaが役立ちます。Oktaは、お客様にご満足いただけるアダプティブ認証製品をご用意しています。その仕組みをご覧ください。
よくある質問（FAQ）
アダプティブ認証とは？
アダプティブ認証とは、すべてのユーザーに毎回同じ認証方法を適用するのではなく、ログイン試行ごとにリスク要因を評価し、それに応じて要求される認証情報を調整するシステムです。
アダプティブ認証と従来の認証の違いは何ですか？
従来のシステムでは、すべてのユーザーに対して毎回同じ1つまたは2つの認証情報チェックが適用されますが、アダプティブ認証では、ユーザープロファイル、場所、時間、アクセス先のリソースに基づいて要件が調整されます。
アダプティブアクセス制御では、どのような要素が評価されますか？
考慮される要素には、ユーザーの役割、場所、時間帯、IPアドレスの親密度、要求されている特定のリソースやサーバーなどがあります。
アダプティブ認証は、ログインをただ難しくするだけでなく、より簡単にもできるのでしょうか？
はい。個人のカレンダーの閲覧など、リスクの低い定型的なアクセスの場合、アダプティブシステムは認証ステップを減らすことができます。これにより、過剰なセキュリティプロンプトに対するユーザーの一般的な不満を解消します。
アダプティブアクセス制御プログラムをセットアップする手順を教えてください。
（1）ユーザーの役割、場所、時間、リソースごとにリスクを定義する。（2）ベースラインとなる認証ルールとリスクの階層化を確立する。（3）プログラムを有効化し、各ログインリクエストをリアルタイムで評価・適応させる。
アダプティブ認証への投資がコストに見合う価値をもたらす理由とは
2020年には、1件のデータ侵害による企業の平均損失額が386万ドルに達しました。そのため、侵害発生後の損害対策と比較して、アダプティブセキュリティへの事前投資は財務的に賢明な判断であると言えます。
参考文献
What Is the Cost of a Data Breach? （2020年8月、CSO.
Do You Have 'Password Rage?' A Third of People Admit to Tantrums Over Password Frustration.（2015年6月、InformationAge）
