企業におけるセキュリティ強化、重要なのはサービスの安全性とエンドポイントの認証強化

近年、クラウドサービスの普及に伴い、ユーザーが一度の認証で複数のシステムにアクセスできるシングルサインオン（SSO）を利用する企業も増加しています。SSOの認証にはこれまでID/パスワード認証が最も一般的な方法として広く用いられてきましたが、これらは漏洩・窃取などのリスクが伴います。SSOの場合、ログインの認証情報が一度でも悪意のある第三者の手に渡ってしまえば、なりすましによる不正アクセスに繋がり、企業の機密情報を保有する複数のサービスやシステムが一度に攻撃されてしまう恐れがあるため、重大なセキュリティリスクに直面しています。今回のブログでは、企業のセキュリティレベルを向上させるために必要な2つの要素である「サービスの安全性」と「エンドポイントの認証強化」についてご紹介いたします。

企業のセキュリティレベルを向上させるための2つの要素

脆弱なセキュリティのSSOを利用することで発生するサイバーインシデントを防ぐには、ユーザー企業が現状のセキュリティレベルを見直し、全体的に強化させることが必要です。下の図はユーザー企業のセキュリティレベルを表すものです。縦軸はSSOサービスを提供するベンダーのセキュリティの高低を表し、横軸はユーザー企業のエンドポイントで使用される認証方法の強度を表しています。SSOベンダーのセキュリティとエンドポイント認証強度が共に低い場合、企業はグレーのゾーンに位置するということになります。

ユーザー企業のセキュリティ向上においては、特に注目すべき2つの要素があります。1つ目は、サービスを提供するベンダーのセキュリティ対策が適切であるかどうかを評価し、より強固なセキュリティ対策を実施しているベンダーを選定することです。SSOベンダーのサービス運用に関するセキュリティポリシーは様々で、中には不十分なセキュリティ対策により、不正アクセスによる情報漏洩が発生したり、外部の業者にサービス運用を委託することでサプライチェーン攻撃を受けるケースも報告されています。そのため、SSOを導入する際、ベンダーのセキュリティ方針を慎重に確認することが極めて重要です。

2つ目は、エンドポイントのセキュリティ強化です。ID/パスワードや古いタイプのMFAなどは、認証情報の窃取による不正アクセスのリスクが伴います。特にグレーのゾーンに位置するユーザー企業は、フィッシングに強いFIDO2セキュリティキーを導入することで、システム全体の安全性を飛躍的に向上させることが可能です。もし現在利用しているSSOベンダーのセキュリティ対策に不安がある場合、SSOベンダーを変更するよりも、まずFIDO2セキュリティキーの導入を検討される方が、より迅速にセキュリティの強化を図ることができます。

手軽に導入できるサブスクリプション型セキュリティキーサービスのご紹介

しかし、いざFIDO2セキュリティキーの導入を検討していても、「どの種類を選べば良いのか」「システムにどのような変更が必要なのか」といった疑問や、不安を感じる方も多いでしょう。また、導入後には初期コストや在庫管理など、運用面での課題が生じることもあります。

そのような不安や課題を解消するため、弊社は2024年7月24日よりYubico社のFIDO対応セキュリティキー「YubiKey」をサブスクリプション形式でご利用いただける「YubiKey as a Service」の提供を国内で初めて開始しました。セキュリティキーを購入して所有するのではなく、ライセンスとして使用する形ですので予備等を考慮せず、必要な分だけ利用することができます。また、サブスクリプション形式で費用を平準化することができるため、導入にかかるコストが高くて二の足を踏んでしまうというお客様にも適しています。配送や導入支援等が含まれており、導入後の管理の手間軽減、豊富なラインナップの中からニーズに合ったセキュリティキーを選択することができます。

YubiKey as a Serviceについて詳しくはこちら

また、セキュリティキーのキッティング作業が負担となるお客様もいると思いますので、その作業を我々で代行する事前登録サービスもリリース予定です。CloudGate UNOへの資格情報のプロビジョニングまでを弊社側で行うため、設定にかかるお客様の負担を減らすことができ、エンドユーザーはセキュリティキーを受け取ってすぐにCloudGate UNOにログインできます。

セキュリティキー導入で企業の安全性を次のレベルへ

前述のとおり、どのようなSSOを利用していても、FIDO2セキュリティキーを導入してエンドポイントのセキュリティを高めることで全体のセキュリティを向上することができます。実際に弊社でYubiKey as a Serviceを導入していただいた企業様の中には、CloudGate UNO以外のSSOサービスを利用されているケースもありましたが、弊社でYubiKey as a Serviceを導入していただくことでエンドユーザーの認証の安全性が向上し、セキュリティレベルを強化することに成功しています。

弊社は10年以上にわたり、自社開発・運用のアイデンティティ管理プラットフォーム「CloudGate UNO」の機能の1つとしてSSOを提供し、多くの企業の情報資産を守ってきました。CloudGate UNOの高度なセキュリティと高い信頼性を維持するため、運用部では厳格なアクセス制限と管理体制を敷き、多要素認証を用いてサーバーへアクセスを行っています。また、全社員がフィッシング耐性のあるFIDO2認証を利用し、セキュアOSのみを使用することを徹底するなど、組織全体での取り組みによってセキュリティの強化に努めています。CloudGate UNOは、サービス運用とエンドポイントのセキュリティの両面において高い水準を誇り、導入していただくことでユーザー企業のセキュリティ維持に大きく貢献いたします。

今後は、CloudGate UNOをご利用中でパスワード認証を採用されている弊社のお客様にも、FIDO2セキュリティキーを導入していただくことで、より高いセキュリティレベルを実現する企業を増やしていきたいと考えています。現在、セキュリティの強化をお考えの企業様は、ぜひYubiKey as a Serviceをお試しください。私たちは、導入支援から運用まで、全力でサポートいたします。貴社のセキュリティを次のレベルへと引き上げるために、今すぐお問合せください。

お問合せはこちら

まとめ

今回ご紹介したとおり、FIDO2セキュリティキーを導入してエンドポイントの認証を強化することは全体のセキュリティ向上に繋がります。すでにご利用中のSSOサービスがある場合でも、YubiKey as a Serviceをご利用いただくことでより一層コスト面でも運用面でも管理者の方々の負担を低減できます。

現在、日本でも大規模なサイバー攻撃が多発しており、ランサムウェア攻撃等に対する危機感が高まっています。「全力でお客様の情報資産を守る」という経営理念に則り、今後はCloudGate UNOとYubiKey as a Serviceを広く展開していくことにより高いセキュリティレベルに到達する企業を増やしていくことが我々の目指すところです。