GLOSSARY多要素認証(MFA)

多要素認証(MFA・Multi-Factor Authentication)は、 パスワードに加えて別の要素でも本人確認を行う仕組みです。 2要素認証・二段階認証とほぼ同義で使われます。

なぜ必要なのか

パスワードは、漏えい・使い回し・推測によって突破されます。 実際の不正アクセスの多くは、どこかで漏れたパスワードの使い回しが原因です。

もう1つの要素を加えると、パスワードが漏れただけでは ログインできない状態にできます。

認証に使う3つの要素

要素	例
知識(知っているもの)	パスワード、PINコード
所持(持っているもの)	スマートフォン、ICカード
生体(その人自身)	指紋、顔

異なる種類を組み合わせるのが多要素認証です。 「パスワード+秘密の質問」は両方とも知識のため、多要素にはなりません。

TOTPという方式

TOTP(Time-based One-Time Password)は、 スマートフォンの認証アプリに30秒ごとに変わる6桁の数字が表示される方式です。

SMSで受け取る方式より安全とされ(電話番号の乗っ取りに強い)、 追加費用もかからないため、広く使われています。

研修システムに必要か

扱う情報の性質で判断します。

受講記録だけであれば必須とまでは言えませんが、次の場合は検討します。

• 管理者アカウント — 全社員の個人情報と受講記録にアクセスできるため
• 教材に社外秘の情報が含まれる場合
• 試験システムで、成績や合否を扱う場合

現実的な落としどころとして、管理者・講師には必須、受講者には任意という 設計がよく取られます。

パレットLMS・パレットCBTでの扱い

パレットLMS・パレットCBTはいずれも TOTPによる多要素認証に対応しています。

SSOを導入している場合は、 ID基盤側の認証ポリシーで統一的に多要素認証をかけることもできます。