二段階と二要素の違い
操作が二回でも、同じ種類の情報だけなら二要素とは限りません。知識、所持、生体など異なる要素を組み合わせます。利用できる方式はプラグインや認証基盤で異なり、認証アプリ、セキュリティキーなどの対応を確認します。
導入する手順
- 対応製品と対象アカウントを選ぶ。
- 管理者一人で検証し、別の管理者の復旧経路を確保する。
- 認証アプリなどを登録し、別ブラウザーから再ログインする。
- バックアップコードを安全な場所へ保管する。
- 対象者へ展開し、未設定者と退職時の扱いを確認する。
QRコードや登録用秘密鍵を共有資料へ貼らないようにします。
紛失時の手順を先に決める
本人確認の方法、解除権限、操作記録、再登録の期限を定めます。予備コードをパスワードと同じ共有ファイルだけに保存すると、同時に漏れる危険があります。回復手段を増やす場合は、その手段自体の保護も必要です。
全ての侵入を防ぐわけではない
セッションの窃取、脆弱性悪用、保護対象外のAPI認証は別の対策が必要です。2FA導入後も更新と最小権限を継続し、通常ログイン以外の経路を台帳で管理します。
チームへ展開する手順の例
先に管理者で試し、設定方法、端末紛失時の窓口、予備コードの保管先、本人確認の方法を文書化します。次に対象者へ案内し、設定完了を確認してから必要な強制設定を検討します。先に全員へ強制すると、未設定者が業務中に入れなくなる場合があります。
認証方式を選ぶ観点
利用端末、管理者の人数、鍵の保管、復旧体制、フィッシングへの耐性を比較します。メール方式はメール自体の保護、認証アプリは端末と回復方法も確認します。利用する製品で対応している方式を調べて判断します。
よくある質問
スマートフォンを買い替える場合は？
旧端末が使えるうちに移行方法を確認し、新端末でログインを試します。古い認証設定の失効や予備コードの再発行が必要か、利用製品の手順を確認します。
共有アカウントで2FAを使えますか？
技術上の可否より、利用者の識別と退職時の解除が課題です。個別アカウントへ分け、誰が承認・操作したか追える運用を優先します。