パスキーを企業でどう使うのか。現場で考える認証と運用の「ラストワンマイル」（【後編】Yubico Japan 大友淳一コマーシャル営業部部長）

パスキーの普及が進む一方、個人がスマートフォンで使う場合と、企業が業務で導入する場合では、その運用方法が異なります。端末間で鍵を同期できる「マルチデバイスパスキー」は利便性が高い一方、企業では端末やOSが統一されているとは限らず、スマートフォンが全社員に配布されているとも限りません。後編では、こうした認証技術を実際の業務でどう運用するのかを掘り下げます。

今回のゲストは、ユーザー認証を手がけるYubicoで、日本・韓国のコマーシャル営業を統括するセールスディレクター、大友淳一さんです。後編では、FIDO2やWebAuthnを基盤とするパスキーを、企業がどのように選び、運用していくのかを具体的な現場の視点から伺います。

個人向けに広がる同期型のパスキーと、秘密鍵を特定のデバイスで管理するデバイス固定型パスキーの違いから、スマートフォンを持たない従業員への対応、PINとパスワードの違い、外部事業者も出入りする工場でのアクセス管理まで議論します。さらに、セキュリティキーを紛失した場合にどう対応するのかなど、導入後の「ラストワンマイル」となる運用についても掘り下げます。

＜ゲスト・プロフィール＞
大友 淳一（おおとも・じゅんいち） Yubico Japanコマーシャル営業部 部長
IT業界で10年のエンジニア経験と18年の営業経験を持ち、インフラ、アプリケーション、ITセキュリティ分野に幅広い知識を有する。新製品立ち上げの指揮、戦略的パートナーとの協業による市場開拓に強みを持ち、日本および韓国におけるYubicoのセールスリーダーとして事業拡大をけん引している。Yubico入社以前は、Gemalto、CA Technologies、Symantec、Veritasなどのテクノロジー企業でセールスリーダーや管理職を歴任。

■□ 収録後記 □■
後編で印象的だったのは、同じパスキーの技術でも、個人利用と企業利用では運用のあり方が異なるという点です。全社員がスマートフォンを持っているとは限らず、工場などではスマートフォンの持ち込みが制限される場合もあります。また、社員だけでなく外部の事業者がシステムを利用する現場では、契約終了時にアクセスを止める運用も必要になります。こうした環境に応じて、スマートフォンとセキュリティキーを使い分ける「適材適所」の考え方が紹介されました。

もう一つ興味深かったのは、セキュリティキーを「なくすこともある」という前提で運用を考えるという話です。紛失した場合には早く管理者へ報告し、登録されたキーを無効化したうえで、新しいキーへ切り替える。紛失を罰することで報告しにくくするのではなく、早期に対応できる運用のループをつくることが重要だと大友さんは話します。人とシステムをどう連携させるかも、実際のセキュリティ運用では重要になります。

（JCGR編集部）

【関連リンク｜Yubico公式】

・三菱電機 導入事例
https://www.yubico.com/resources/reference-customers/mitsubishi-electric-case-study/

・YubiKey 5 Series 製品・仕様
https://www.yubico.com/products/yubikey-5-overview/

・Yubico 導入事例一覧
https://www.yubico.com/resources/reference-customers/

・参考：YubiKeyの耐久性について（洗濯機・海水での事例）
https://www.yubico.com/press-releases/yubikey-survives-ten-weeks-in-a-washing-machine/