多要素認証（MFA）とSaaS利用時のISMSアクセス管理

SaaSの利用が進むなか、SaaSごとのID管理や、多要素認証（MFA）の適用・運用に課題を感じていませんか？

本記事では、ISMSの管理策を踏まえ、セキュリティとユーザーの利便性を両立するアクセス管理について解説します。

多要素認証（MFA）とは？ISMS担当者が押さえておきたい基本

ISMSにおける多要素認証（MFA）は、単なる便利な機能ではありません。組織が保有する情報資産を不正アクセスから守るための技術的な管理策の一つです。ISO/IEC 27001:2022の附属書Aでは、A.8.5「セキュリティで保護された認証」が関連する管理策として定められています。

サイバー攻撃への対策として、MFAは有効な手段の一つです。情報資産の重要性やリスクに応じて適切な認証方式を選び、実装することが求められます。

ここからは、ISMS担当者が押さえておきたい基本を解説します。

多要素認証と二要素認証の違い

認証の基本要素は、「知識（知っていること）」「所持（持っているもの）」「生体（その人自身）」の3つに大別されます。

異なる2つの要素を組み合わせるのが二要素認証、2つ以上の要素を組み合わせるのが多要素認証（MFA）です。二要素認証は、多要素認証（MFA）に含まれる認証方式の一つと考えると分かりやすいでしょう。

SaaS利用でMFAが求められる理由

クラウドサービスの利用が進むなか、パスワードリスト攻撃やフィッシング、退職者のアカウントを悪用した不正アクセスなどへの対策が求められています。

IDとパスワードだけで認証する場合、認証情報が窃取されると、第三者に不正アクセスされるおそれがあります。MFAを導入すれば、パスワードが漏えいした場合でも、別の認証要素によって不正アクセスのリスクを低減できます。

ISMS要求事項におけるMFAの位置づけ

ISO/IEC 27001:2022の附属書Aでは、情報資産を保護するための管理策が定められています。MFAには、A.5.15「アクセス制御」、A.5.17「認証情報」、A.8.5「セキュリティで保護された認証」などが関係します。

MFAは、これらの管理策を実務に反映し、利用者を適切に認証するための重要な手段です。ただし、具体的な対策はリスクアセスメントの結果などを踏まえて選定し、自社のISMSに適した形で運用する必要があります。

SaaS環境でMFAを導入するときの3つの課題

SaaSの利用拡大に伴い、セキュリティ対策としてMFAの導入が重要になっています。しかし、実際の運用では、導入するだけで課題が解決するわけではありません。運用負荷や利便性との兼ね合いなど、さまざまな課題があります。

ここでは、SaaS環境でMFAを導入する際に押さえておきたい3つの課題を紹介します。

①SaaSごとにMFAの認証方式・設定方法が異なる

利用するSaaSによって、対応する認証方式や設定手順は異なります。SMS認証、認証アプリ、パスキーなど、方式ごとにセキュリティ上の特徴があるため、自社のリスクに合った方式を選ぶ必要があります。

また、SaaSごとに設定が分散すると、誰がMFAを設定済みで、どのサービスが未設定なのかを把握しにくくなります。設定状況を組織全体で管理する仕組みが必要です。

②全社員への導入・運用に負荷がかかる

MFAを全社に導入すると、初期登録だけでなく、機種変更や端末紛失時の再登録など、ユーザーと管理者の双方に継続的な運用負荷が発生します。

利便性が低下して業務に支障が出ると、社員の不満やシャドーITを招くおそれもあります。セキュリティを確保しながら、現場の負担を抑えられる運用フローを構築することが重要です。

③端末紛失や退職などの例外対応が発生する

運用中には、端末の紛失や退職、異動、不正アクセスの疑いなど、通常とは異なる対応が必要になる場面があります。アカウントの停止や再登録、MFAのリセットを誰がどのように行うのか、ルールが曖昧だと対応が遅れ、不正アクセスにつながるおそれがあります。

こうした対応は、ISMSにおけるインシデント対応やアクセス権管理にも関係します。あらかじめ担当者や承認者、対応手順を明確にしておくことが必要です。

SaaS×MFAの導入と運用ステップ

MFAを導入し、ISMSの管理策として定着させるには、計画的な導入と運用設計が欠かせません。単にMFAを有効化するだけでなく、現状の把握から認証方式の選定、例外対応を含むルールの策定、導入後の周知・評価まで段階的に進める必要があります。

ここでは、自社で導入を進める際の4つのステップを紹介します。

ステップ1：対象SaaSの棚卸しと認証方式の整理

まずは情報資産台帳などと照らし合わせながら、社内で利用しているSaaSやMFAの設定状況、対応している認証方式を可視化します。

利用しているサービスと、それぞれにどのようなリスクがあるのかを把握することが、適切なアクセス管理の第一歩です。

ステップ2：IdP／SSOによる認証統合

認証をIdP（IDプロバイダー）に集約し、対応するSaaSへのアクセスに対してIdP側でMFAを適用すると、認証を一元管理しやすくなります。SSOは一度の認証で複数のアプリケーションにアクセスできる仕組み、IdPはID情報や認証を管理する基盤です。

SSOに対応していないSaaSがある場合は、サービスごとにMFAを設定するなど、個別の対応方法を整理しておく必要があります。

ステップ3：例外運用のルール化とアクセス記録

運用中には、MFAの一時解除や緊急アクセス、権限変更といった例外対応が発生することがあります。こうした事態に備え、誰が承認するのか、どのような条件で例外を認めるのかをあらかじめ定めておきましょう。

また、対応履歴やアクセス記録を残すルールも整備します。必要な記録を確認できる状態にしておくことで、事後の調査や監査に役立てられます。

ステップ4：社内周知と定期的な運用の見直し

MFAの導入後は、社員に設定方法や利用ルール、端末紛失時の連絡先などを周知します。利用者が手順を理解していないと、問い合わせの増加や不適切な対応につながるため、分かりやすいマニュアルを整備することも大切です。

さらに、MFAの設定状況や例外対応の記録を定期的に確認し、運用上の問題があれば見直します。SaaSの追加や利用者の異動などに合わせて管理方法を更新し、継続的に運用できる体制を整えましょう。

自社だけで進めるのは難しい…
と感じたときは
コンサル活用が近道

MFAの導入やSaaSのアクセス管理は、単に機能を有効化するだけでは完結しません。

IdPの選定や、SSOに対応するSaaSと対応していないSaaSが混在する環境での認証方式の整理、現場の負担と安全性を考慮した例外運用ルールの策定など、検討すべき事項は多岐にわたります。既存のISMS文書や運用規程との整合性を保つことも必要です。

自社のノウハウやリソースが不足している場合は、外部コンサルの活用も選択肢になります。
専門家の支援を受けることで、自社のリスクや運用環境に合った仕組みを設計し、規程の整備から運用体制の構築まで効率的に進められます。

目的別に選べる！
ISMS認証コンサル
おすすめ3社

まとめ

SaaSの利用が前提となった業務環境では、MFAを個々のSaaSで設定するだけでなく、組織全体の認証・アクセス管理の一環として運用することが重要です。

対象SaaSの棚卸しや認証方式の整理、IdP／SSOによる認証統合、例外ルールの策定と記録管理、導入後の定期的な見直しまで、一貫した管理体制を整える必要があります。

自社の運用環境やリスクに合った方法でMFAを導入・運用し、ISMSの管理策を実効性のあるものにして、安全で効率的なSaaS利用環境を整えていきましょう。

関連ページ

目的別に選べる！
ISMS認証コンサルおすすめ3社
【コスト・対応力・運用重視】

ISMS（ISO27001）認証を取得する企業が増える中で、「自社のリソースが限られている」「取得したはいいが運用が続かない」といった課題を抱える企業は少なくありません。そこで重要になるのが、自社の状況に合ったコンサルティング会社の選定です。
ISMS認証コンサルを活用することで、「専門知識や担当者が不在でも取得を実現」「取得後も運用が続く“使える体制”を構築」といったメリットを得られます。
今回は、こうしたニーズに応えるISMS認証支援会社の中でも、「費用」「対応業種」「実務運用力」という観点に強みを持つ3社をご紹介します。

コストを抑えて手間なく
「まず取得したい」
なら

ISOサポート