「IDとパスワードだけでは不安」「退職者や第三者にログインされないか心配」というお声をよくいただきます。セキュアSAMBAには、本人以外のログインを防ぐための仕組みが用意されています。
この記事では、なりすまし・不正ログインを防ぐための3つのポイントをご案内します。
- 2段階認証でログインを強化する
- パスワードの運用について
- ログインに連続で失敗したとき
- まとめ
2段階認証でログインを強化する
2段階認証を有効にすると、IDとパスワードに加えて、スマートフォンの認証アプリに表示されるワンタイムパスワードの入力が必要になります。パスワードが漏れてしまっても、本人の端末がなければログインできないため、不正ログインを大きく防げます。
- 方式：認証アプリのワンタイムパスワード（TOTP）方式です。SMSやメールで受け取る方式はありません（メールでの受け取りは開発中で、提供時期は未定です）。Google AuthenticatorやMicrosoft Authenticatorなど、一般的な認証アプリで設定できます。
- 設定方法：各利用者が「アカウント設定」＞「セキュリティ」＞「2要素認証」から、認証アプリでQRコードを読み取って設定します。
- 会社全体での必須化：アカウントオーナーは、管理画面の設定で「2要素認証を必須にする」をオンにできます。利用者まかせにせず、全員に適用したい場合にご利用ください。
※必須化すると、未設定の利用者は次回ログイン後、2要素認証の設定を終えるまで他の操作ができなくなります。事前に周知のうえで有効にしてください。
※オーナーが必須化するときは、オーナーご自身が先に2要素認証を設定しておく必要があります。
【リカバリーコードの保管をご案内ください】
設定時に表示されるリカバリーコードは、スマートフォンの機種変更・紛失時にログインするための大切なコードです。表示は一度きりで、画面を閉じると再表示できません。PDFのダウンロードまたは印刷で必ず保管してください（保管し忘れた場合は、オーナーに2要素認証をリセットしてもらい、設定し直す形になります）。
パスワードの運用について
パスワードには一定の強度（文字数・文字種）のルールが設けられています。
なお、「パスワードに有効期限を設けて、会社として定期変更を強制する」設定は、現在ご用意がありません。定期的な変更を促したい場合は、社内の運用ルールとして周知いただく形になります。
ログインに連続で失敗したとき
パスワードを連続で間違えると、一時的にログインが制限されます。5分間に5回を超えて失敗すると、しばらく時間をおいてから再度お試しいただく必要があります（ログインIDとアクセス元の組み合わせごとに判定されます）。
これは総当たり（パスワードを機械的に試す攻撃）を防ぐための仕組みです。アカウントが完全にロックされるわけではなく、時間をおけば再度ログインできます。
まとめ
- 2段階認証＝認証アプリのワンタイムパスワード方式。会社全体で必須化できます
- パスワード＝有効期限の会社強制はなし。運用ルールでの定期変更周知でご対応ください
- ログイン失敗＝5分間に5回を超えると一時的に制限（恒久ロックではありません）
- さらに場所・端末でも絞りたい場合は、IPアドレス制限・デバイス認証とあわせてご利用ください