ネットサービスにログインするとき、パスワードの代わりに顔認証や指紋で済ませる場面が増えました。この仕組みが「パスキー」です。個人向けのサービスで先に広がりましたが、会社のシステムでも検討する価値があります。

パスワードには、昔から同じ弱点があります。

特に3つ目と4つ目は、本人が注意していても防ぎきれません。本物そっくりの偽画面を見分けるのは慣れた人でも難しく、ほかのサービスからの流出は本人には止めようがないからです。

会社では、社員一人の不注意が、会社全体のデータの流出につながることもあります。メールやファイル共有のアカウントが乗っ取られると、取引先への偽メールの送信など、被害が社外に広がることもあります。

パスキーでは、ログインに使う鍵がスマートフォンやパソコンの中に保存されます。ログインのときは、その端末で顔認証や指紋認証、端末の暗証番号の入力をするだけです。

鍵はサービスごとに別々に作られ、本物のサービスの画面でしか使えません。そのため、偽のログイン画面に誘導されても、鍵が渡ることはありません。また、サービスの側には鍵の片割れしか保存されないので、サービスから情報が流出しても、それだけではログインできません。

パスワードの使い回しや、偽画面による盗難という弱点を、人の注意ではなく仕組みの側で防げるのが大きな利点です。

パスワードの問題とパスキー

パスワードで起きること	パスキーでは
短く覚えやすいものが使われる	端末の顔認証・指紋認証・暗証番号でログインする
複数のサービスで使い回す	鍵はサービスごとに別々に作られる
偽のログイン画面に入力して盗まれる	鍵は本物のサービスの画面でしか使えない
流出したものがほかで試される	サービス側には鍵の片割れしか保存されず、流出してもそれだけではログインできない

いきなり全部のシステムをパスキーに切り替える必要はありません。次の順で考えると進めやすくなります。

1. メールやファイル共有など、すでにパスキーに対応しているサービスから使い始める

2. 社員が端末をなくしたとき、退職したときの手順を決めておく

3. 自社で作ったシステムは、作り直しや改修の機会に対応を検討する

2つ目は見落とされがちです。鍵が端末に入っている以上、端末をなくしたときにどう止めるか、新しい端末にどう移すかを、あらかじめ決めておく必要があります。社員の私物のスマートフォンに鍵を入れるのか、会社の端末に限るのかも、決めておきたい点です。

多くのサービスでは、1つのアカウントに複数のパスキーを登録できます。パソコンとスマートフォンの両方に登録しておけば、片方をなくしてもログインできます。また、スマートフォンのパスキーは、同じアカウントのほかの端末に同期される仕組みのものもあります。

顔認証や指紋認証は、端末の中で本人かどうかを確かめるために使われるだけで、その情報がサービスに送られることはありません。

パスキーにすぐ移れない場合は、パスワードに加えて、スマートフォンへの通知などで本人を確かめる「二段階認証」を必ず有効にしておきます。これだけでも、パスワードが盗まれたときの被害を大きく減らせます。

まだ二段階認証を有効にしていないサービスがあれば、パスキーより先に、そちらから手をつけるのがおすすめです。

参考：FIDOアライアンス https://fidoalliance.org/

パスワードのいらないログイン「パスキー」は、会社でも使えるのか

その手作業、来月には消せる。