MFAとは

詳細な図解

MFAを読むときの前提

MFA（Multi-Factor Authentication）は、パスワード以外の要素も使って本人確認する仕組みです。管理画面、VPN、SaaS、ゼロトラスト、特権操作で使われます。

実務では、対象範囲、認証要素、TOTP、プッシュ通知、FIDO2/パスキー、SMS、リカバリーコード、端末紛失、例外、復旧手順、フィッシング耐性を確認します。

証跡には、MFA適用ポリシー、対象/除外グループ、管理者適用状況、登録済み要素、失敗ログ、復旧承認、例外期限、利用者案内を残します。

対象範囲と例外を見る

MFAは一部の管理者だけに適用しても、一般利用者のメールやSaaSアカウントが侵害されると被害が広がります。対象範囲を業務影響とリスクで決めます。

例外アカウント、古いプロトコル、サービスアカウント、共有アカウントは抜け道になりやすい領域です。期限と承認を必ず残します。

• 対象外アカウントを棚卸しする。
• 例外に期限を付ける。
• 管理者と高リスク利用者を優先する。

フィッシング耐性を比べる

MFA方式には強弱があります。SMSや音声は乗っ取りに弱く、プッシュ通知は疲労攻撃の対象になります。FIDO2やパスキーはフィッシング耐性が高い方式です。

全員へ最強方式を一度に求めるのが難しい場合でも、管理者、経理、情報システム、外部公開管理者から強い方式を適用します。

• 方式ごとのリスクを説明する。
• プッシュ疲労攻撃を考慮する。
• 高権限者へ耐性の高い方式を使う。

紛失時と復旧を設計する

MFA端末を紛失すると、正規利用者もログインできなくなります。本人確認、仮復旧、再登録、旧要素失効、監査ログを手順化します。

ヘルプデスクが本人確認を弱くすると、攻撃者が復旧手順を悪用します。復旧経路にも認証強度が必要です。

• 復旧時の本人確認を決める。
• 旧要素の失効を確認する。
• 復旧ログを保存する。

変更証跡と引き継ぎ

MFA導入や必須化は、利用者体験とセキュリティの両方に影響します。段階適用、除外、問い合わせ増加、戻し手順、利用者案内を残します。

引き継ぎでは、IdP管理者、ヘルプデスク、セキュリティ担当、関連語として認証、SSO、条件付きアクセス、リカバリーコードを残すと確認しやすくなります。

• 適用ポリシーを保存する。
• 例外と期限を台帳化する。
• 問い合わせRunbookを用意する。

関連語

同じ主要カテゴリの用語

セキュリティ・認証の学習順

同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。

InfraEngKit内の関連機能