イベント報告 2023/05/15

【対面イベント】「Security Days」講演レポート#2「ハイブリット時代、人と情報をつなぐ最適な『認証』とは？」

ネットワークに潜む攻撃者は、機密情報を抱える企業にとって大きな脅威の一つです。攻撃者は企業のセキュリティ環境に合わせて攻撃手段を変化させるため、企業側も同様に環境変化に合わせて強固な対策を実施することが求められます。

ソリトンシステムズは、最新のセキュリティ動向や当社製品の魅力をもっと多くの企業担当者様に知っていただくため、2023年3月7〜10日にJPタワーホール＆カンファレンスで開催されたサイバーセキュリティ専門の対面イベント「Security Days Spring 2023」に参加。最新の脅威動向やセキュリティ対策、そして当社製品について、全4セッションの講演を行いました。

今回の記事では、イベント2日目に実施した講演「ハイブリット時代、人と情報をつなぐ最適な『認証』とは？」について、概要とポイントをご紹介します。

“ハイブリッド環境”の選択によって散在する人・端末・情報

2020年以降テレワークが急速に広まった中、セキュリティやコミュニケーション、従業員の心身の健康など、さまざまな面で課題が出てきました。また、クラウド活用が進む一方で、組織によってはクラウドへ完全に移行できないシステムがあることも……。

これらを背景に、リモートワークとオフィスワーク、クラウドと社内システムを組み合わせた「ハイブリット環境」を選択する企業が増えてきました。ハイブリッド環境を構築すれば、社員が自身の業務や働き方に合わせ、働く場所を選択できるようになります。

柔軟なハイブリット環境ですが、人や端末、そして情報が様々な場所に散在するという課題が出てきます。ハイブリッド環境で安全に業務を行うためには、セキュリティ対策のあり方を変えることが必須です。

一般に、ハイブリット環境においては “情報資産にアクセスするものは、すべて信用しないもの”として検証する「ゼロトラスト」の考え方を前提としたセキュリティ対策が有効です。
しかし、ゼロトラストセキュリティの実現には、ネットワークやデバイス、クラウドといったさまざまな構成要素に対して対策を行う必要があり、一挙に実現するのはなかなか難しいものです。

そこで、ソリトンではゼロトラストセキュリティ実現の第一歩として行うべき取り組みは、情報資源にアクセスする際の入り口部分である「認証の強化」だと考えています。

システムへの認証で使用するアカウント情報は、攻撃の標的とされやすい部分でもあるからこそ、対策を強化し守ることが重要です。認証の強化はITを活用する上で必ず向き合わなければいけない課題であるため、改めて、昨今の脅威動向に合わせた見直しを行う必要があります。

複数の認証要素を組み合わせた確実な認証が、強固なセキュリティ実現の第一歩に

機密情報の保管場所へ人がアクセスできる場所に、認証の仕組みは必要です。そして、人は、必ず「端末」を使って「ネットワーク」経由で情報にアクセスします。分かりやすく2つに分類すると「ネットワーク認証」と「端末認証」に分類でき、認証強化を考えることができます。

現在、最も広く採用されているのはID・パスワードによる認証ですが、これによって情報を完全に守り切れている企業は非常に少ないのが現状です。ソリトンが民間企業や政府機関、学術機関など約2000のドメインを対象に実施した調査では、99.9%で社員のパスワード漏えい記録があったことが発覚しています。原因としては推測されやすいパスワードを使用していたことや、外部攻撃を受けたことが考えられます。しかし、だからと言って「パスワード変更や外部攻撃対策をすれば万全」というわけではありません。
そのため、より強固なセキュリティを実現するためには、複数の認証方法を組み合わせた「多要素認証」を導入することが望ましいと言えるでしょう。

ID・パスワード以外の認証方法には、ICカード・USBなどの “所有情報” を用いるものや指紋・顔といった “生体情報” によるものなど様々な方法があります。ソリトンは、ネットワーク認証には「デジタル証明書」、端末認証には「顔認証」をおすすめしています。

ネットワーク：デジタル証明書

デジタル証明書は偽造が難しく、無線LANやクラウドサービスといったあらゆるネットワーク認証に適応できます。また、デジタル証明書を持っていないアカウントはログイン画面にすら到達できないため、不正入力によるサービス利用の妨害など “ログイン画面の脆弱性” を狙った攻撃にも対応できます。

また「デジタル証明書が入っていない端末はネットワークに接続できない」状態になることから、個人のスマートフォンをはじめとした企業側が把握・管理できていない端末（シャドーIT）の利用を防ぐ効果もあります。

端末：顔認証

デジタル証明書によって排除すべき端末を取り除いたら、今度は管理すべき端末のセキュリティ強化を考えます。ログイン時にID・パスワードを用いるという前提のもと、もう一つの要素として生体認証、なかでも顔認証を用いるのがおすすめです。

ICカードやUSBを所有する形の認証とは異なり、生体認証であれば貸し借りや盗難による “なりすまし” を排除できる上、出社時に持参を忘れることもありません。「カードを忘れたので一度だけログインできるようにしてほしい」といった対応が不要な点は、情報システム部門担当者にとってメリットとなるでしょう。顔認証は、汗や手荒れ、乾燥などの影響を受けてしまう指紋認証よりも、季節に左右されずに使え、認証デバイスも不要で手軽に認証を行うことが可能です。

“セキュリティのソリトン”が自信をもっておすすめする認証ソリューション

どこから情報が漏れるかわからない今の時代は、危機感を持ってセキュリティ対策を実施していく必要があります。その具体的な手段として、ソリトンではネットワーク認証で「Soliton OneGate」と「NetAttest EPS」、端末認証で「SmartOn ID」という製品をご提供しています。

ネットワーク認証

多要素認証クラウドサービス「Soliton OneGate」では構築・運用が難しいデジタル証明書を簡単に発行・管理できるため、セキュリティに関する専門知識は不要です。SAML認証に対応したクラウドサービス、社内システムへは、「Soliton OneGate」とSAML連携し、シングルサインオンが実現します。また、SAML対応していない社内システムに対しては、代理認証アプリが認証代行し、シングルサインオンできます。
クラウドサービスも、社内システムも、VPN/無線LANもデジタル証明書を使った強固な認証ができます。ネットワーク利用者や情報システム担当者の負担を軽減できることが特徴です。

さらに自社での運用を想定しているお客様には、オールインワン認証アプライアンス「NetAttest EPS」をご提供。デジタル証明書を利用し、VPN・無線LANといったあらゆるネットワーク機器の認証実績があります。さらに国内シェアNo.1かつ、20年提供の実績があるソリューションです。

端末認証

デバイス認証ソリューション「SmartOn ID」では、顔・指紋といった生体認証やICカード・USBなどの所有認証など、あらゆる認証方法に対応しており、業務や働き方に合わせて選択可能です。また、顔認証の場合はマスクや眼鏡をかけていても99.9%認証できるため、スムーズに認証できることを強みとしています。

必要な要件を満たした製品を導入し、ネットワーク認証と端末認証を強化することでハイブリット環境でも、企業情報を守り、安全に業務ができます。認証の強化をすることで、ゼロトラストセキュリティ実現の第一歩を踏み出すことができます。自身の講演について、ソリトンシステムズプロダクト＆サービス統括本部プロダクトマーケティング部・担当部長の新井ひとみは最後にこう語ります。

“人や端末、そして情報が社内外に散在する今、外部ネットワークと社内ネットワークの境界部分にセキュリティ対策を施す従来の境界型セキュリティでは、守るべきものを守れません。社内に侵入して機密情報を奪おうとする攻撃者によって、思いもよらぬ所から情報が漏えいすることもあります。そのことを企業担当者がご認識され、情報へアクセスできる入り口の認証を強化し、ゼロトラストの実現に向け踏み出される一助となれれば幸いです。”