認証と多要素認証とは

なぜ重要か

会員サイト、予約システム、業務システムの管理画面は、ログインできた人がデータを見たり変更したりできます。認証が弱ければ、それは「誰でも入れる」のと同じです。パスワードは使い回しや推測、フィッシングで漏れることが多く、パスワードだけに頼る認証は現在では十分とは言えません。特に管理者アカウントは、乗っ取られると全データに影響するため、多要素認証の対象にすることが基本になっています。

発注・開発の実務での意味

認証に関して、設計の段階で決めることは次のとおりです。

• 誰がログインするか: 一般の利用者、会員、事務局、管理者など、種別ごとに認証の強さを変えるか
• 多要素認証の対象: 管理者は必須、一般利用者は任意、といった方針
• 既存のアカウントを使うか: GoogleやMicrosoftのアカウントでログインできるようにすると、パスワード管理の負担が減ります
• パスワードの扱い: 安全な形で保管する（元に戻せない形に変換して保存する）のは開発側の必須事項です
• 失敗時の対応: パスワード再設定の手順、一定回数失敗したときのロック

「認証」と混同されやすいのが「認可」です。認証は本人確認、認可は「その人が何をしてよいか」の権限の話です。会員サイトで種別ごとに見られる内容を変えるのは認可の設計にあたります。会員サイト・ポータル開発では、この2つを分けて権限表を作ります。

基本的な対策の全体像は中小企業のWebシステムに最低限必要なセキュリティ対策にまとめています。なお、これは一般的な情報であり、個別の事案は専門家・所管官庁にご確認ください。

関連する用語

• SSL／TLS — ログイン情報を暗号化して送るための前提
• 非機能要件 — セキュリティ要件として認証の水準を決める
• API — システム間連携での認証