技術記事・調査 2023/11/13

【エンドポイント実態調査2023】ID/パスワード認証と顔認証の印象の違い

現在はID/パスワード認証が多くの企業・団体で利用されていますが、今後どのような変化を見せるのでしょうか。多要素認証を実現するための手段として近年注目を集める「顔認証」と比較しながら、これまでとこれからの状況をアンケート調査の結果から確認していきましょう。

➤【エンドポイント実態調査2023】トップページ

現状はID/パスワードの利用が圧倒的

認証と一言でいっても、その方式はさまざまです。そこで企業・団体が利用する『業務端末ログイン時の認証方式』についてアンケートを取った結果、やはり「IDとパスワードによる認証」は圧倒的に多く、88.6%の企業・団体が利用していることがわかりました。ID/パスワードのみの認証の危険性は多くの情報システム担当者が理解しているところであり、このうち一部の企業・団体は他の認証要素と組み合わせて「多要素認証化」しているものと考えられます。しかし現実として、残る多くの企業・団体では、ID/パスワードのみの単要素認証で業務端末が操作できる環境にあると考えられます。

「今後に拡充（統一）していきたい認証方式」を1つ選択してもらった結果では、「IDとパスワードによる認証」は45.8%と、現状の半分ほどの回答結果となりました。今後はより強固な認証方式を選択する必要があるとして、検討されている企業・団体が多いと思われます。一方で顔認証に関しては、現状と利用計画の割合でみると、利用計画の割合が比較的高いといえます。スマートフォン等でユーザーにとってなじみ深いものになりつつある顔認証は、今後企業・団体における業務認証要素としても利用が増していく可能性があります。

その他でいえば、「指紋認証・静脈認証」の現在利用している割合が25.9%と、「顔認証」の18.9%よりも広く普及していることが示されています。この理由は「指紋」と「静脈」が分けられていない設問になっていることと、「顔」に比べると認証要素として歴史が長いことが影響していると考えられますが、いずれにしてもID/パスワードより強固な認証の選択肢として、引き続き検討されていくものと思われます。

認証情報はほとんどの企業・団体で漏えいしている

ID/パスワード認証はいまも多くの企業・団体で利用され続けていますが、その情報は頻繁に漏えいしていることをご存知でしょうか。ソリトンシステムズが提供している「漏えいアカウント被害調査サービス」にて、これまでにご依頼いただき調査を実施した企業・団体のうち、驚くべきことに全体の99.9%で、現職職員のパスワードを含むアカウント情報の漏えいが確認されています（ドメインベースでの調査。調査実績は2,000ドメインを超える）。そしてそのほとんどの企業・団体は、職員のアカウント情報がインターネット上に漏えいしている事実に気付いておらず、調査によって初めて漏えい被害の実態が明らかになりました。

2010年代に入って以降、サイバー攻撃によるユーザー情報の漏えい事故は名だたる大企業でも発生しています。2013年にはAdobe社で1.5億件のパスワードが流出し、同年にYahoo!社でも個人情報の流出が発覚、さらに2017年には米国のYahoo!社で30億件以上のアカウント情報が流出していたことが報告されました。そして、こういった大手企業をはじめとしたインターネット上の提供サービスに自社ドメインのメールアドレス等をアカウントとして登録していることで、多くの組織が「知らぬ間に」職員の認証情報を漏えいしてしまっているのです。ID/パスワードといった文字列の認証情報は、攻撃者にとって簡単に入手できるものだと理解して、セキュリティを考えなければなりません。

セキュリティ性と利便性を考慮すれば「顔認証」

「IDとパスワードによる認証の印象」では、「セキュリティ強度」が優れている（「大きく優れている」「優れている」）との回答は23.6%にとどまっています。前述のようなデータで示すまでもなく、ID/パスワード認証ではセキュリティ面に課題があると認識している企業・団体が多いようです。一方で、「導入の容易さ」は37.6%、「運用の容易さ」は35.9%、「トータルコスト」は29.9%が「優れている」と回答しています。

「バイオメトリック認証（顔認証）の印象」については、「セキュリティ強度」は51.2%、「ユーザーの利便性」は40.5%が優れていると回答しており、セキュリティだけでなく利便性についても、顔認証には高い評価がなされているということがわかります。

顔認証の導入の課題はコスト面と運用面

それでも、端末の認証要素としてID/パスワード利用が大勢を占めている背景には、コスト面と運用面における印象の差があります。前述の回答結果を見ると、顔認証は「導入の容易さ」（20.2%）、「運用の容易さ」（21.4%）、「トータルコスト」（17.6%）と低い数値が並んでおり、それぞれ30%程度の企業・団体は劣っていると回答しているほどです。特に劣っているとする回答の割合はID/パスワード認証と比べると顕著であり、顔認証の導入におけるハードルとして広く捉えられているといえるでしょう。

逆にいうと、コスト・導入・運用の課題さえクリアになれば、利便性とセキュリティを両立できる顔認証を採用しない理由はないともいえます。たとえば、PCログオン認証実績No.1であるソリトンシステムズの「SmartOn」は、導入や運用を容易にすることにこだわりを持って開発しています。また、顔認証は高額な専用デバイスが不要であることから、他の生体認証と比べてむしろコストを抑えて実現することが可能です。コスト面や運用面に難があるというイメージが変わっていけば、顔認証はより多くの企業・団体で利用が進んでいくと考えられます。

【SmartOn ID 紹介ページ】
https://www.soliton.co.jp/products/category/product/pc-security/smarton/

➤【エンドポイント実態調査2023】トップページ