スマホを使わない2要素認証私物端末に頼らずPCログインを強化する方法

2要素認証が必要だと分かっていても、検討が途中で止まる会社は少なくありません。よく挙がる理由が、社員の私物スマートフォンを業務に使わせられないという事情です。

この記事では、スマホを前提にできない職場で、PCログインをどう強化するかを整理します。方式の基礎は多要素認証の基本で扱っています。

認証強化が現場で止まる理由

止まる理由は、技術より現場の事情であることがほとんどです。

• 私物端末を使わせることへの抵抗 — 個人の端末にアプリを入れてもらう形になり、反発や労務面の説明が難しい
• 会社支給端末のコスト — 全員に配ると、本体費用と通信費がずっとかかる
• 作業中に端末を持てない職場 — 製造現場、倉庫、厨房、医療・介護など
• 共用PCの存在 — 交代勤務で、毎回個人の端末を取り出す流れが合わない

私物端末を前提にすることの問題

初期費用がかからない分、あとで整理が必要になる論点を抱えます。

• 業務利用のルールが曖昧になる — どこまで私物でやってよいかが決まらないまま始まりやすい
• 退職時に何が残るか分からない — 個人の端末に残った設定を、会社から確認できない
• 費用負担の線引き — 通信費や、故障・機種変更時の対応を誰が持つか
• 利用者の同意 — 私物の業務利用は、書面などで本人の同意を取っておく必要がある

これらを整理できないなら、最初からスマホに頼らない方式を選ぶほうが運用は安定します。

スマホに依存しない選択肢の整理

方向性は大きく3つです。現場の条件に合わせて選びます。

物理的な認証デバイスを貸与する

会社が買って貸す方式で、私物端末の論点をまとめて避けられます。仕組みと選び方はハードウェアセキュリティキーの解説記事にあります。

PC本体の生体認証は2要素認証の代わりにならない

指紋や顔でログインできるPCもありますが、これはパスワードの入力を置き換えてログインを簡単にする手段で、同じPCの中で完結します。パスワードでも入れる状態が残るため、それだけでは2要素認証になりません。2要素認証にするには、PCとは別の物理キーやICカードなどを組み合わせます。導入の観点はWindows OSログインの2要素認証を参照してください。

業務用の端末を必要な人にだけ配る

管理者権限を持つ担当者などに絞って、会社支給の端末を用意します。ソフトウェア方式はソフトウェア型の多要素認証の解説、ワンタイムパスワードはワンタイムパスワードの記事で扱っています。

共用PC・交代勤務の環境で特に注意すること

複数人で同じPCを使う職場は、方式よりも運用でつまずきます。

• 共有アカウントに逃げてしまう — 全員で同じアカウントを使うと、誰が操作したか追えず、強化の意味がなくなります（共有アカウントの廃止）
• 認証が業務のボトルネックになる — 交代のたびに時間がかかると、現場は回避策を探し始めます。所要時間を実際に測って判断します
• 貸与デバイスの受け渡し — 交代時に引き継ぐと、結局は共用と同じです。誰が保管し、いつ返すかを決めます

決めておくべき運用

方式より先に、次の4つを決めておくと導入後に混乱しません。

台帳の運用はアカウント管理システムの解説記事も参考になります。

全員同じ方式にしなくてよい

止まる原因のひとつは、全社で1つの方式を選ぼうとすることです。事務職と製造現場で条件が違うなら、方式を分けて構いません。

自社の状況の整理には中小企業向けのチェックリストも使えます。

普段の管理が楽になると何が変わるか

方式を分けると、「どのPCを誰が使っていて、誰がいつ入ったか」を把握する手間が増えます。全PC・サーバーの台数・利用者・ログイン記録が1画面で見られれば、共用PCでも誰がいつ入ったかを席まで行かずに確かめられ、台帳と実態の突き合わせも画面を見るだけで済みます。

そのうえで、管理者や事務職など、スマホを使える人から順にログインを2要素認証にしていけば、全員の条件がそろうのを待たずに始められます。ユーザーごとの2要素認証の設定状況も画面で分かるので、誰がまだ設定していないかを1人ずつ聞いて回らずに済みます。

いまの運用を棚卸ししてみる

どの方式が適しているかは、現場の作業条件や共用PCの有無、管理者アカウントの数によって変わります。applippliの無料棚卸しでは、10問・約3分で、自社の認証・アカウント管理の対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。方式の比較を始める前の現状整理としてご利用ください。