この記事は機械翻訳されました。
2019年の最初の9か月間に窃取されたレコード数は60億件に上ったことから、調査会社のRisk Based Securityは2019年をデータ侵害で史上最悪の年と呼びました。世界的に見ても、これらの侵害が引き起こすコストは高額化しており、Ponemon Instituteの推計によると、被害を受けた組織には平均392万ドルもの損害が発生しています。
データ侵害の規模が拡大し、深刻度が増すにつれ、企業は洗練された犯罪者の手口に後れをとらず、セキュリティを向上させるために一層努力する必要があります。その中、どんな組織も導入すべき「秘密兵器」と言えるコンテキストベースの認証は、潜在的リスクへの暴露を最小限に抑え、軽減するのに役立ちます。
コンテキストベースの認証とは？
簡単に言うと、コンテキストベースの認証は多要素認証（MFA）に柔軟性を与えるものです。アクセスの決定にリスク評価機能を組み込むため、ユーザーの行動や、どのデバイスやネットワークからログインしているかなどのコンテキストを分析します。適切に活用すれば、リソースの保護を強化し、従業員のログインエクスペリエンスを向上させることができ、多くの組織が目指すセキュリティと使いやすさの重要なバランスを実現できます。
セキュリティを底上げ
コンテキストベースの認証でセキュリティを底上げすることで、以下の3つの大きなメリットが得られます。
- 場所を問わず、さまざまなアプリケーション、システム、デバイスにアクセスする必要のある従業員、パートナー、顧客が、安全に認証できる
- エンドユーザーの生産性に影響を与えることなく、管理者が簡単に導入・保守できる
- インテリジェントなセキュリティポリシーにより、ログイン時のコンテクストに基づいて必要な場合にのみアイデンティティチャレンジを適用できる
これらの3つの要素により、組織は業務に支障をきたすことなく、データの保護を改善できます。この目標を達成するために、コンテキストベースの認証は以下の2つの機能を提供します。
ベースラインを確立する
アダプティブ認証は、行動のベースラインを確立することで、各ユーザーにとってどのような状態が「通常」であるかを理解しやすくします。これには、ユーザーが通常、どこで、いつ、どのデバイスから、特定のサーバーやアプリケーションにログインしているかという洞察も含まれます。
行動の異常に対応する
ベースラインが確立されると、コンテキストベースの認証はバックグラウンドで動作し、ベースラインに照らしてすべてのログインを評価し、潜在的な異常をスキャンします。たとえば、通常とは異なる場所や不審なVPNからのアクセス要求、ユーザーが普段活動しない時間帯に検出されたアクセス要求を、高リスクの要求として識別し、追加の検証要素を要求できます。このように、コンテキストを考慮した認証プロセスによって、ハッカーがユーザーアカウントを乗っ取り、組織全体を危険にさらす可能性を回避できます。
アダプティブ認証を活用
コンテキストベースの認証を実装することで多くのメリットが生まれます。しかし、アダプティブMFAを適切に実装しない場合、ユーザーエクスペリエンスが損なわれたり、企業のセキュリティ対策に致命的な欠陥が生じたりする可能性があります。それを避けるため、企業はコンテキストベースの認証ポリシーを実装するための以下のアプローチを検討する必要があります。
クリエイティブに考える
最善のコンテキストベースの認証プロセスは、複数のレイヤーやシグナルを評価しながらも、控えめな存在となります。場所、ネットワーク、デバイスのシグナルを評価することで、攻撃者がMFAを回避することが困難になります。その一方で、非常に過敏なソリューションを採用すると、MFAリクエストが増えすぎて、ユーザーエクスペリエンスに支障をきたす可能性があります。
パスワードレスへの移行
パスワードは、セキュリティチームはもちろんのこと、ほとんどの従業員にとって頭の痛い問題です。要素のリストからパスワードを取り除き、代わりに生体認証の要素やプッシュ通知を活用することで、コンテキストベースの認証システムの利用を簡素化できます。さらに、パスワードをなくすことで、組織内のクレデンシャル攻撃のリスクを軽減できるというメリットもあります。
大規模なデータ侵害が後を絶たない状況で、企業はセキュリティの水準を高める必要があります。リスクを軽減するためには、組織内のリソース全体にコンテキストベースの認証ポリシーを導入して、ユーザーアイデンティティを保護することを検討すべきです。
