オフィスワークでは、定まった時間に通勤することで、生活のリズムが出来るようです。運動というほど多くはありませんが歩く時間もあります。テレワークでは、時間の使い方の裁量の幅が広いため、油断すると運動不足にもなりますし、リズムも乱れやすいと感じます。テレワークでは、自分の裁量に任されている部分が大きくなるため、仕事についても、生活についても、サボらず、丁寧にやる必要があります。仕事をしっかりやっていても、生活が乱れてしまえば、結局仕事にも影響が出てきます。テレワークでの仕事をすれば、簡単に「ワーク・ライフ・バランス」が保たれるというわけではありません。自分が置かれた状況や、やりたいこと、未来像などを冷静に分析し、状況を把握した上で、積極的に最適な働き方を求めていくことが大事です。働き方改革2019年9月12日木曜日モバイルアプリのアクセス制御は、ログインの時だけって、知ってた?昨今セキュリティに関する話題には、良くも悪くも事欠かない状況です。クラウドサービスの利用に当たっても二段階認証を導入する等の対策を取るケースが一般的になってきています。Gateを導入頂いているお客様でも、オフィスのIPアドレスからのアクセスであればID/パスワードだけ、それ以外からのアクセスの場合はID/パスワードに加えてワンタイムパスワードや、証明書を用いた多要素認証(MFA)を組み合わせて運用されているケースが多いです。モバイルアプリのアクセス制御については、特に意識しておかなければならない点があります。現在のモバイルアプリは、「最初に一度認証すると、意図的にログアウトするまではずっと使い続けることができる」という仕様が一般的です。このため、モバイルアプリについては「いずれ認証セッションが切れるのが一般的」なブラウザベースでの利用シーンとは異なる考え方をする必要があります。モバイルアプリへのアクセス制御を考える際には、この点をしっかりと意識しておく必要があります。モバイルアプリでパスワード入力が一度だけなのはなぜ?モバイルアプリでパスワードを何度も入力すること/入力させることを避けることは、利便性を上げたいアプリの提供サイド、そして便利に使いたい利用サイド双方にメリットがあり納得できます。セキュリティ面からすると安全とは言い難いのが現状かと思います。コンシューマ系のアプリでは、最初の認証以降は端末の生体認証で利用できるタイプのアプリが増えてきています。ビジネスアプリでもこの方向性での安全性の確保は進んでいくものと思われます。加えて、FIDO等のパスワードをなくしていく流れも強まってくるでしょう。モバイルアプリへのアクセス制御をどうするか?アクセス制御は、本人及び端末を識別した上で、適切に利用させることが目的です。本人及び端末の識別はどのように行えば良いでしょうか。本人の確認についてはID/PWを利用するケースが一般的です。SuiteやOffice365等、証明書を利用できるモバイルアプリに関しては証明書認証を利用した多要素認証(MFA)がお勧めできます。これにより、「証明書がインストールされた端末で、許可されたユーザ」が利用していることを保証できます。証明書が使えないモバイルアプリの場合はデバイスの制御が難しいため、会社にVPNで接続したり、社内のWi-Fiから認証させる等の運用について検討しなければなりません。「VPNに接続できる端末」や「社内のWi-Fiに接続できる端末」からID/PWで認証し、本人及び端末を識別する方法となります。これらに加えて、近年のモバイルデバイスであれば、端末利用に際して指紋認証や顔認証などの生体認証がありますので、よりセキュアな運用が可能となります。コストや環境、セキュリティポリシーの制限で、こうした運用が難しい場合に関しては、モバイルアプリを諦め、Webブラウザやセキュリティブラウザによるサービス利用をご検討いただくのが良いかと思われます。モバイル端末の盗難や紛失等の際にはどうする?盗難や紛失、何らかの事情により急きょモバイルアプリからの利用を止めたいというケースにはどのように対処すべきでしょう。これは、モバイルアプリを提供している各クラウドサービスの管理機能によって、強制的にモバイルアプリからログアウトさせる等の運用ルールを明確にしておく必要があるでしょう。クラウドサービスごとに強制的なログアウトの可否、方法などは異なりますので、クラウドサービス選定の際に確認しておくのが良いでしょう。場合によってはMDMやMAMといったモバイルデバイスやアプリのマネジメントができるツールの導入も検討する必要があるかもしれません。いかがだったでしょうか。世の中のサービスやそれを利用するモバイルアプリについて、セキュリティとその利便性をうまくバランスさせることで、より効率的な働き方を実現出来るかと思います。【CEOの視点】パスワードがなくなる未来クラウドサービスが便利なのはいつでも、どこからでも自身の管理するデータにアクセスできることにあります。ユーザーはアクセスのためにIDとパスワードを入力し、クラウドサービスにログインします。逆に言えば、IDとパスワードが知られてしまえば乗っ取りも簡単に行えるリスクもあります。昨今ではGmailやTwitter、LINE等のアカウント乗っ取り被害が増えており、IDとパスワードによる運用のリスクは日に日に増しているように感じます。新たな認証方法FIDO/FIDO2こうしたリスクに対して、パスワードに代わる新たな認証方法としてFIDO/FIDO2が標準化されており、いろいろなサービスで対応されていますが、実態として普及しているとは言い難い状況です。FIDOには、デバイスのみで生体認証等で認証を行うUAFと、いわゆるドングルを挿して認証を行うU2Fという規格がありますが、生体認証と相性が良いUAFはスマホでの対応がメインで、PCに関してはなぜかU2Fに各社の思惑が集中しているように感じます。Google社がTitanセキュリティーキーというドングルを日本でも販売というニュースもありましたが、基本的にドングルでのU2Fを前提とした場合、購入コスト、管理コストがかかり、運用が面倒になりがちです。FIDOの普及という意味では、Appleというデバイスの巨人がFIDOアライアンスに参加していないというのも業界の足並みの悪さを感じます。FIDO2認定されたことでブラウザベースでの普及の可能性はありますが、やはりドングルベースのU2Fの課題がFIDO普及の壁になるのではないかと思っています。一方で、FIDOとは異なるサービス側の取り組みとしてはワンタイムパスワードの仕組みを進化させたパスワードレスログインの手法も出てきています。こちらの方法は簡単に言えば、「スマホが利用できる人は本人である」という考え方で、サービスにログインしようと試みた時に、スマホアプリに通知がくるのでそれを承諾すればパスワード入力せずにログインできるというものです。U2Fにおけるドングルの課題をスマホアプリとして解決したと言うと言い過ぎでしょうか。IDが存在するスマホでは生体認証がされますので、パスワードレスでの運用も心配ありません。弱点はスマホアプリをインストールしなくてはならないことでしょうか。こちらに関してはサービス側独自での対応となっており、標準化されていないというのが普及のネックになりそうです。パスワードの今後いずれにしても数々のインターネットサービスが次々に生まれている現在では、パスワードでの運用は限界に到達しつつあります。最終的には生体認証をベースにしたものになるとは思いますが、それがFIDO/FIDO2で決着するのか、はたまた別の規格が生まれてくるのか、今後も注目していきたいところです。あたりもあるでしょうか。03-6401-5211(平日9:00~17:30)お問い合わせ・資料請求サポートGluegentの製品・サービスをご利用の方へGluegentが提供するサービス、製品に関する新しい情報を入手したり、機能に関する提案を共有したりすることができます。