コラム

多要素認証・SSOとは:セキュリティ対策が必要な理由や認証強度を高める方法を解説
クラウドERPは、今や企業のビジネス運営に欠かせない存在となっています。しかし、その利便性の裏側では、セキュリティ問題という避けて通れない課題が常に伴います。万が一、セキュリティ対策が不十分であれば、データ漏えいや不正アクセスが発生し、企業の信頼を損ない、業績にも深刻な影響を及ぼす可能性があります。これらのリスクは、どの企業にとっても大きな懸念と言えるでしょう。
この記事では、クラウドERPに求められるセキュリティ対策の重要性とその手法について詳しく解説します。多要素認証(MFA)やシングルサインオン(SSO)といった実践的な対策を正しく理解し、導入する際のポイントを掴むことで、セキュリティ強化に役立つ情報をお届けします。
目次
1. クラウドERPにおけるセキュリティ対策が重要視される背景
クラウドERPの利用が広がる中、そのセキュリティ対策が重要視される背景にはいくつかの要素があります。
- • ERPの特性上、企業の重要な情報が集約されている
- • 社会全体として働き方改革が進んでいる
- • 企業に求められる社会的責任が高まっている
上記の3点について、以下のセクションで詳しく解説します。
(1)ERPの特性上、企業の重要な情報が集約されている
クラウドベースのERPシステムは、企業の財務、人事、販売といった重要な経営資源を一元的に管理します。これにより、効率的な運用が可能となりますが、同時に大量の機密情報が集約されることにもなります。
このような集約された機密情報が外部に漏えいすると、企業の社会的信用や顧客からの信頼の失墜を含む重大な損失を引き起こすリスクが非常に高まります。そのため、これらの機密情報を保護するために、ERPには高度なセキュリティ対策と厳格なアクセス管理が求められます。
(2)社会全体として働き方改革が進んでいる
現代社会では働き方改革が進み、リモートワークやテレワークが一般的になってきています。これに伴い、企業の業務システムもクラウド化が進み、ERPシステムも例外ではありません。一方で、働き方の変化により、セキュリティリスクが増加するという新たな課題も生まれています。
クラウドERPはインターネットを通じて利用するため、セキュリティ対策が不十分な場合、サイバー攻撃のリスクが高まります。
さらに、従業員が自宅や外出先など、会社の直接的な管理が及ばない場所から業務システムにアクセスすることで、非承認の個人端末を利用した業務、いわゆるシャドーITの増加も問題視されています。管理外デバイスからのアクセスは、サイバー攻撃や人的ミスによる情報漏えいのリスクを高める要因となるため、企業にとって大きな課題となっています。
こういった事情から、クラウドERPのセキュリティ対策は、今後ますます重要視されるべき課題となっています。
(3)企業に求められる社会的責任が高まっている
情報漏えいなどのセキュリティインシデントが発生した場合、その影響が自社内にとどまらず、サプライチェーンや企業グループなどにも及ぶケースが数多く見られます。このため、企業は、株主や取引先、関係会社を含むステークホルダーに対して、十分なセキュリティ対策を実施していることを示す必要があり、例えば入札参加や新規取引開始時の条件、定期的な監査などで、実施しているセキュリティ対策に関する説明責任を求められることがあります。
このような社会的責任の高まりから、クラウドERPのセキュリティ対策は、必要不可欠なものとなっています。
2. 多要素認証(MFA)とは
多要素認証(MFA)とは、ユーザー認証の際にパスワードなどの知識情報だけでなく、所持情報や生体情報など、複数の要素を組み合わせて認証を行う方法です。
これにより、パスワードが漏えいした場合でも、不正ログインを防止できます。
具体的には、知識情報として「パスワード」、所持情報として「スマートフォンやトークン」、生体情報として「指紋や顔認証」が用いられます。これらを組み合わせることで、セキュリティを大幅に向上させることができます。
ただし、設定や管理が複雑になるため、ユーザーの利便性とセキュリティ強化のバランスを考えながら導入することが重要です。
また、どの要素を組み合わせるかによって、セキュリティの強度が変わるため、自社の情報資産の重要度に応じて適切に組み合わせる必要があります。
3. シングルサインオン(SSO)とは
シングルサインオン(SSO)は、ユーザーが一度ログインするだけで複数のシステムやサービスにアクセスできる仕組みです。例えば、社内のメール、クラウドストレージ、会議システムなど、それぞれにログインする手間を省き、効率的に作業を進めることが可能になります。
また、パスワード管理の負担も軽減され、セキュリティリスクの軽減にも寄与します。しかし、SSOの設定や管理は専門的な知識が必要であり、その利用にあたっては実装及び運用負荷も考慮する必要があります。また、悪意のある攻撃者がユーザーの認証情報を取得した場合、そのユーザーがアクセス権を持つ全てのシステムにアクセスできる可能性があります。
そのため、適切なセキュリティ対策と併用することが重要です。SSOは利便性とセキュリティのバランスを考えながら適切に利用することが求められます。
SSOの主な方式は以下の4つです。
① エージェント方式
エージェント方式では、システムに認証を代行するモジュールをインストールします。このモジュールは、ユーザーが最初に入力したログイン情報を安全な方法で保存します。その後は保存されたログイン情報を使って、自動的にログイン可能です。
② 代理入力方式
代理入力方式では、IDやパスワードを自動的に代理で入力します。ブラウザの拡張機能や専用ソフトウェアがIDとパスワードを保存し、毎回ログイン情報を入力する手間を省くことが可能です。
③ フェデレーション方式
フェデレーション方式では、異なる組織やドメイン間でユーザー認証情報を共有します。このフェデレーション方式を実現するための標準的なデータフォーマットの一つがSAML(Security Assertion Markup Language)で、現在広く普及しています。事前に信頼関係を構築したサービス提供者(SP)とアイデンティティプロバイダー(IdP)間で動作し、ユーザーはIdPでのログイン認証後、同じIdPと連携しているSPに自動でログイン可能です。
④ リバースプロキシ方式
リバースプロキシ方式では、リバースプロキシサーバがユーザーの認証情報を代行して管理し、ユーザーに代わって複数のバックエンドサービスへのアクセスを制御します。これにより、ユーザーは一度のログインで複数のサービスにアクセスできます。
4. 認証強度を高める方法
認証強度を高めるには、いくつかの実践的な方法があります。以下に、その具体例を解説します。
(1)パスワードポリシーを強化する
セキュリティ対策の一つとして、パスワードポリシーを強化することが有効です。パスワードポリシーとは、パスワードの長さや複雑さ、変更頻度などを規定するもので、これを適切に設定することで不正アクセスのリスクを軽減できます。
具体的な対策としては、まずパスワードの長さを12文字以上に設定することです。また大文字、小文字、数字、記号を組み合わせることで、パスワードの強度を高めることができます。
また、パスワードを複数のサービスで使いまわさないことが非常に重要です。同じパスワードを利用している場合、他のサービスから何らかの原因でパスワードが漏えいした際に、不正アクセスのリスクにさらされることになります。サービスごとに異なる安全なパスワードの管理を容易にするには、パスワード管理ツールの利用が有効です。
このような対策を実施することで、安全なクラウドERPの利用が可能になります。
(2)リスクベース認証を導入する
リスクベース認証とは、ユーザーのログイン状況やデバイス情報などを分析し、リスクに応じて認証強度を調整する方法です。
例えば、海外からのアクセスや新しいデバイスからのアクセスがあった場合、通常とは異なる行動パターンであることからリスクが高いと判断されます。そのため、より強固な認証を要求できます。また、不正ログインの疑いがある場合も同様です。
リスクベース認証は、状況に応じたセキュリティ対策を可能にします。これにより、ユーザー自身も安心してクラウドERPを利用することができ、企業全体のセキュリティレベルの向上にも貢献できるのです。
(3)ログイン試行回数を制限する
ログイン試行回数の制限も、セキュリティ対策の一つとして非常に効果的です。一般的には、システム設定、セキュリティ設定、アカウント設定などのメニューで、ログイン試行回数の制限項目を設定できます。
例えば、一定時間内に許可されるログイン試行回数を5回に設定すると、6回目の試行からは一時的にアカウントがロックされ、ログインができなくなります。これにより、パスワードを無制限に試行することで不正にアクセスしようとする試みを防げます。
また、ログイン試行が一定回数を超えた際には、管理者に通知される設定をすることも一つの方法です。これにより、攻撃者による不正アクセスの試みを検知し、影響範囲の特定や保護策の追加を含む迅速なインシデント対応が可能になります。
5. セキュリティ対策には適切なベンダー選定が重要
クラウドERPのセキュリティ対策として、適切なベンダー選定が非常に重要です。ベンダー選定の際には、多要素認証(MFA)やシングルサインオン(SSO)など、高度なセキュリティ対策が整っているかを確認することが求められます。
このような認証設定は、不正アクセスを防ぎ、データの安全性を保つための重要な要素です。特に、SCSK株式会社が提供する「PROACTIVE」は、MFAやSSO認証に対応しており、ユーザーの安全性を第一に考えたシステムを提供しています。
ベンダー選定の際には、セキュリティ対策だけでなく、サポート体制やアップデートの頻度なども考慮すると良いでしょう。適切なベンダー選定により、企業のデータ管理を安全かつ効率的に行うことが可能となります。適切なクラウドERPを選定することで、企業の働き方改革を進め、データの増加にも対応することができます。
6. まとめ
クラウドERPシステムの導入は、企業運営の効率化を図る上で非常に効果的である一方、企業の重要な情報が一元的に管理されるという特性上、万全なセキュリティ対策が求められます。働き方改革の進展や企業に対する社会的責任の高まりによってセキュリティ対策における課題は一層複雑化しています。これらの変化に対応するためには、信頼できるセキュリティベンダーを選定する必要があるでしょう。適切なパートナーシップとセキュリティ対策により、企業はその経営基盤を守り抜くことができるのです。

株式会社ノーヴィアス
代表取締役
米山 努
30年以上にわたるITセキュリティ分野でのコンサルティングとプロジェクトマネジメントを通じ、外資系金融機関や国内製造業、サービスプロバイダ、建設、ヘルスケアなど幅広い業界や規模のお客様のITレジリエンス体制強化に貢献。業務影響リスクに基づいた脅威分析や、特に人的リソースが限られている中堅・中小規模の企業における実践的な対策について定評がある。サイバーセキュリティやクラウド等の国際団体における資格試験問題や各種ガイドラインの策定、レビューにも参画。CISSP、CISM、CCSP、CCSK、PMP保持。
関連ページ
関連ホワイトペーパー
関連コラム