Microsoft Teams をセキュアにつかう③多要素認証 (MFA) を社内で流行らせる
Microsoft Teams でゲストユーザー参加が可能になったりと運用や活用の幅が広がっています。
まず ID を狙うというのが攻撃の定石であることから ID とパスワードのみの認証運用は意味をなさないと個人的には感じているところです。
Microsoft Teams は Office 365 に含まれる 1 つのツールですので 多要素認証 (MFA) を使う事ができます。
展開の方法などは様々なブログにも載っているので今回は割愛し、社内に多要素認証を当たり前にする・流行らせるにはどうしたらいいのか？にフォーカスします。
社内に流行らせるには先ず身近なことで考えさせる
いきなり「MFA やりますよー！」と声掛けしても大体の企業ではそんなすぐに浸透はしないと思います。（浸透する会社はとっても素晴らしい会社さんです）
それもそのはず。ユーザーのセキュリティに対する意識は実はそんなに高くないのです。
なので、まずは身近な問題に置き換えて説明・浸透させることを推奨します。
例えば、以下は日常的に起こる ID 乗っ取りの例
・LINE で勝手に友人へ iTunes カードの購入依頼をしていた
など。身の回りで起きて実際困った覚えありませんか？
これって ID とパスワードが盗まれる、つまり家の鍵を盗られて家の中を好き放題される状態です。
余談ですが、
Facebook も一時期はパスワードを忘れると友人 3 人へ承認を取ればパスワードリセットし、本人の知らないところで完全な乗っ取りが可能（＝自分の家なのに他人名義に勝手に変更される）なんてことも昔は出来ていちゃっていたんですよね。よく知り合いに似たアカウントから友達申請くるのもここを狙った攻撃だったと思うと恐ろしいですね。
多要素認証は、家の鍵にもう 1 つ全く異なる鍵をつけるイメージです。
これを IT の世界の話に戻すと ID とパスワード以外に全く異なる鍵をつけ、本人かどうかを確認する仕組みです。という位、かみ砕いてユーザーさんには説明をしてみて下さい。
ユーザーに負荷のかからない多要素認証の方法を考える
Office 365 ではSMS・電話・アプリの 3 種類から多要素認証の方法が選べます。
もしスマホを貸与・BYOD で持っている社員の方が多ければ、個人的にはアプリをオススメします。 Microsoft 社が出している Authenticator アプリです。
実はこれ Facebook や Twitter といったアプリの多要素認証の手段としても利用が可能です。コンシューマサービスの ID を守るところの教育も兼ねて、社内にこう言った使い方もできるというのを広めてみるのはいかがでしょうか？
LINE やスマホの使い方もそうだったと思うのですが、自分が普段利用するツールは是か非でも人間覚えようとします。
リテラシー教育はある程度時間がかかるものなので普段の生活に多要素認証を埋め込み無意識にセキュアに使わせながら教育を行う、という策は比較的効果が出やすいと体感しています。
Microsoft Teams を始めとした個別アプリで外部ユーザーにも多要素認証は強制が出来るのでぜひ展開時には多要素認証の構成・ユーザーへのセキュリティ教育も含めご検討してみてはいかがでしょうか。
それでは、本日はこの辺で。
