多要素認証を私物スマホでやっていいのか問題

Hello,World! gonowayです。 弊社がご支援するお客様とお話するなかで、多要素認証のためにIDaaSが提供しているアプリケーション（以降、認証アプリ）を私物モバイル端末にいれていいのか？という疑問に、わたしたちが普段お客様にご案内していることをざっくりまとめてみました。 3行まとめ 現代では外部の不正ログインから守るために多要素認証が必須になってきている。 多要素認証の実現のため、会社モバイル端末であれ私物モバイル端末であれ認証アプリはインストールしてほしい。 私物モバイル端末にインストールしてもらう場合、エンドユーザーへの説明を行うことが必要。また、ガラケーしか持っていないような例外措置への対処を考えることも必要。 前提 認証要素について 認証要素は下記の3種類です。NIST SP800-63を参考にしています。 記憶によるもの：記憶(Something you know

[gabill]

個人的には、私用スマホ他要素認証アプリを入れる→セーフ/私用スマホを会社スマホに準ずるものとして扱いポリシー強制ツールや監視ツールを入れる→アウト...かなぁ。

[Fluss_kawa]

私用携帯に認証用アプリを入れて欲しい→まだ許せる。業務アプリを入れたから〇〇というアプリはインストールするな→許されない　　だなぁ。

[hokkey]

社用端末なんて無くすリスクが倍になるし端末持ち換える煩雑さでうんざり。BYODが良い

[trickart412]

社用端末配れ以外の答えがない

[sekaiiti]

「ポリシー緩くするくらいなら私物スマホでやれ」と書いてあるだけだった。「やっていいのか」に対する解ではない。個人的にはIDaaS導入してSaaS使うのであれば、会社スマホの費用程度は会社が捻出しろと思う。

[tSU_RooT]

TOTPはRFC6238で定義されていて、例えばCLIからでも使えるのでスマホは必須ではないのですが！！！

[fai_fx]

業務パスワードを記憶している脳は、私物の脳であり、会社支給の脳ではない。肌身離さず常に携帯するスマホは、現代人にとっては既に身体の一部であり、外部記憶を担う補助電脳と呼んで差し支えないのではないか。

[inabajunmr]

全社員に1passwordを配布してそれでまかなってほしい / 社用携帯もつのだるくない?

[terau]

私物スマホが仕事の遂行（ITシステムへのログイン）に必須になるのがなんか納得いかない。私物を忘れたり無くしたら会社から詰められるよね。

[txjp]

会社のお金を個人の資産を使って稼ぐことがなぜ許されると思っているんだろう／なぜ「はぁ…。」とか言われなきゃいけないの

[knok]

Androidだと仕事プロファイルで別管理にできるからそっち使うな

[kiririmode]

okta

[sota2502]

「認証」という点で、手元にあるケースがより多い私用スマホの方がやりやすいとは思う。

[habarhaba]

全て貧乏が悪い

[magi00]

認証だけなら一円端末にsim無し運用でどうにかなるだろ

[nacady]

webauthn, passkeysがセキュリティ、利便性で最強。アプリは不要

[nilab]

「多要素認証のためにIDaaSが提供しているアプリケーション（以降、認証アプリ）を私物モバイル端末にいれていいのか？という疑問に、わたしたちが普段お客様にご案内していることをざっくりまとめてみました」

[dollarss]

多要素はTOTPに統一してくれ。それなら私物問題も解決だろうに。

[khtokage]

うちの会社は社用携帯は支給してるけど、みんなガラケー型を希望しててこの手のアプリが入らず、ある程度私用携帯でやってる。ガラケー型にするとそうなるよと説明の上でだからか文句は出てないけど。

[morimarii]

いいわけないだろ。

[damedom]

Androidなら仕事用プロファイル使えば済む話では？と思ったけどそれはBYODの話になるから違うのか。

[higgsino]

認証のためだけに社用スマホって誰が得するんだよ。社員も面倒くせえし会社も金かかるしLose-Loseだな

[shiromatakumi]

中古の安いやつで良いから社員にはスマホ支給した方が何かと楽。

[atsushieno]

業務用端末を配布するってことは、それを使用させている時間は業務時間となりその時間の給与が発生するわけで、そのリスクと私物端末管理のリスクを総合的に比較することになるのかな

[kkobayashi]

昔は銀行のワンタイムパスワードもアプリじゃなくて物理デバイスだったな。スマホ持ってても私物のスマホに会社のアプリ入れたくない人はいるだろうし、併用が妥当な気がする

[chiroruxx]

一番知りたいのは「なぜ社用スマホではなく私物スマホでやるの？」だよね。

[kz14]

デバイス認証はそのデバイスの使用を使用者本人だけに限られていることが前提だから私用スマホは理にかなってそう。配布された業務用備品をぞんざいにあつかう人は結構いる。

[guntz]

認証だけのために会社がスマホ配る必要はないな。社内で使う時私物以上に机置きっぱリスク増えるじゃん

[tomex-beta]

これめっちゃ悩む問題

[syamatsumi]

私物スマホ五台体制ワイ、デバイス増やされるのは困るでござるの巻。私物でやらせて貰ってて助かる。

[ya--mada]

上位ポリシーに脳死で従ってる現状のレイヤー構造の中で暮らすの嫌なんだが、なんなんだろう。世界はインターネットを辞めたがっている。

[itotto]

「会社のことは会社のもので」が基本だと思うけど、複数の端末を持ちたくないという意見もそのとおりだと思う

[magnitude99]

IT化社会が進む程、問題が無限に発生し不可逆的深化、解決方法の多様化と困難性が連続発生する。そもそも個人情報をスマホに関わる国内外の民間企業に提供し管理を依存する時点で、99％層は奴隷や家畜に登録（笑）。

[scorelessdraw]

生体認証がそうであるように個人の認証なわけだから私物端末に入れるでいい気がするが。

[Dai44]

“多要素認証のために認証アプリを私物モバイル端末にいれていいのか” の話以外のことを色々書いてるブコメは頭良すぎるのか話聞いてないのかわからない

[doroyamada]

某会計事務所(外資の傘下)の二重認証がスマートフォン必須で、「それセキュリティ高いといえるん？」と思った。HQが決めたことなんで日本の事情なんて知ったこっちゃないんやろうけど。

[kuniharumaki]

うちの会社も私用スマホでやっていいと言ってるけど、紛失時のリスクとかを会社がコントロールしきれない部分はずっとモヤッとしている。

[mezamashi0540]

Google Authenticatorとか有名な汎用アプリなら許容する層は結構いると思うが、そこへのアピールが足りない。とはいえこの話はBYODとか含めてイチから話さないと納得してもらうのは難しいと、ブコメ見てあらためて思った。