適応型認証とは何ですか？

多要素認証（MFA）を含む標準的な認証方式では、ユーザーがログインしたり、企業のリソースにアクセスしたりするたびに、特定の認証情報を要求します。一方、適応型認証では、状況に応じて異なる認証情報を要求し、侵害のリスクが高い場合にはセキュリティを強化します。

ユーザーが常にユーザー名やパスワードといった標準的な認証情報でログインしていると、サイバー攻撃に対して脆弱になってしまいます。MFAなどのIDおよびアクセス管理（IAM）向け認証ツールは、スマートフォンアプリから生成されたコードなどの追加の認証情報を要求することで、より高いセキュリティを実現します。 他の対策も有効ですが、サイバー犯罪者がユーザーのさまざまな認証情報を取得またはハッキングし、それを利用してアクセス権を得ることは依然として容易です。適応型認証は要件をインテリジェントに変更するため、攻撃者が回避することが困難なシグナルが使用されることから、ハッカーが企業ネットワークにアクセスすることをはるかに困難にします。

組織内でリスクベースの認証を導入する際には、特定のユーザーまたはユーザーグループに対する基本的なログイン要件を決定します。特定の地域にいるユーザーや、機密情報へのアクセスを許可されている役割を持つユーザーに対しては、より厳格な要件を設ける場合があります。

適応型認証は、各ユーザーごとにプロファイルを作成することで機能します。このプロファイルには、ユーザーの地理的位置、登録済みデバイス、役割などの情報が含まれます。 ユーザーが認証を試みるたびに、そのリクエストが評価され、リスクスコアが割り当てられます。リスクスコアに応じて、ユーザーには追加の認証情報の入力が求められる場合もあれば、逆に、必要な認証情報の数を減らして認証が許可される場合もあります。

たとえば、ユーザーが未登録のデバイスからアプリケーションにアクセスしようとすると、そのデバイスの登録を求められる場合があります。また、ユーザーがオフィス以外の地理的位置からログインする場合、セキュリティ質問への回答を求められることがあります。

IT部門は、リスクスコアが異なるリクエストに対する対応を決定します。どのようなシナリオにおいても、ユーザーは認証が許可される場合もあれば、アクセスが拒否される場合もあり、さらには本人確認を求められる場合もあります。

リスクベースの認証ソリューションの多くは、機械学習を採用しています。これらのツールに組み込まれたアルゴリズムは、ユーザーの行動を長期にわたって監視・学習し、特定のユーザーのログインパターンに関する正確なプロファイルを構築します。デバイスや、ユーザーの通常のログイン時間、あるいは普段の勤務地などを追跡する場合もあります。また、IPアドレスやネットワークのレピュテーションに加え、それらのネットワークに関する脅威データも確認します。

適応型認証ソリューションは、行動やコンテキストに基づいてリスクスコアを割り当て、IT部門が定めたルールに基づき、認識されたリスクに対応します。これらのルールは、リスクスコア、ユーザーの役割、場所、デバイスなどによって異なる場合があります。 人工知能（AI）を活用することで、高度な認証技術は進化を遂げ、リアルタイムで監視を行い、ユーザーの認証パターンにおける異常や、認証パス上の脅威（侵害されたネットワークなど）を特定できるようになっています。

最先端のアダプティブ認証ソリューションは、リスクスコアとITポリシーに基づいて認証要件を自動的に調整します。 リスクスコアが低いユーザーに対しては、追加の認証手順をほとんど、あるいは全く要求しない場合があります。一方、リスクスコアが高いユーザーに対しては、ワンタイムパスワードと生体認証の組み合わせなど、複数の認証手順を追加する場合もあります。これらの高度なソリューションは、リスクスコアとITポリシーに基づき、ユーザーのアクセスを制限または拒否することさえ可能です。

適応型認証は、セキュリティを強化するだけでなく、業務を遂行しようとするユーザーの負担を軽減します。標準的な多要素認証（MFA）では、ユーザーに常に名前、パスワード、アプリからのコードの入力を求めたり、社外から認証を行う際にセキュリティ質問への回答を求めたりするなど、煩わしいログイン要件が課される場合があります。

適応型認証では、システムに認識されており、想定通りの行動をとっているユーザーに対しては、要求する情報を最小限に抑えることができます。セキュリティリスクが高まると判断される状況においてのみ、時折、ユーザーに追加情報の入力を求めます。これにより、ユーザーへの中断が少なくなり、利用のハードルが下がり、セキュリティが強化されます。