認証

クラウドFAXのMFA・二段階認証・SSOの違い
選び方と設定ポイント

クラウドFAXでは、乗っ取られたアカウントからFAX原本の閲覧・送信・設定変更が行われる可能性があります。「二段階認証あり」「SSO対応」という機能名だけでなく、誰へ必須化し、復旧・退職・緊急時をどう扱うかまで設計する必要があります。

先に結論

認証方式の違い

方式意味FAX業務での注意
パスワードのみ知識要素だけで認証漏えい・使い回しに弱く、管理者利用には不十分。
二段階認証二つの手順で認証同じ種類の要素を二度使う場合はMFAとは限らない。
MFA知識・所持・生体など異なる要素を併用全利用者、とくに管理者へ必須化できるか確認。
SSOIdPで認証し複数サービスへ連携IdP側のMFA、失効、条件付きアクセスが実際の強度を左右。
IP制限接続元ネットワークを制限追加防御であり、認証や権限管理の代替ではない。

FAXで認証を強くする理由

クラウドFAXのアカウントは、過去の注文書・申込書・顧客情報を見る入口であると同時に、外部へFAXを送る操作権限でもあります。閲覧権限と送信権限、利用者と管理者を分け、重要な設定変更では再認証や通知を組み合わせます。

CISAは中小企業向けにもMFAの導入を推奨し、とくにフィッシング耐性のある方式を優先するよう案内しています。NISTも、OTPや手入力コードは認証情報を偽サイトへ入力させられるため、フィッシング耐性を持たないと整理しています。TOTPを採用する場合も、「MFAだから終了」ではなく、管理者通知やIP制限、監査を重ねます。

MFA導入で抜けやすい8項目

  1. 全員への必須化：任意設定では未登録者が弱い入口になる。
  2. 管理者の先行適用：利用者・権限・送信設定を変えられるアカウントを優先する。
  3. 初回登録：本人確認前に攻撃者の端末を登録されない手順にする。
  4. 復旧コード：平文共有や共通保管を避け、使用後は再発行する。
  5. 端末紛失：本人確認、既存要素の解除、セッション失効を一連で行う。
  6. 退職・異動：アカウントだけでなくAPIキー、SSO割当、既存セッションも失効する。
  7. 重要操作：MFA解除、権限変更、宛先・転送変更をログと通知へ残す。
  8. 緊急用管理者：通常利用せず、保管・利用・事後確認の手順を決める。

SAML SSO導入時の確認

  • IdP側でMFAとアクセス条件を必須にする。
  • メールアドレスなどの属性を、意図したテナント・利用者へ対応付ける。
  • SSOを試験してからローカルログインの扱いを決め、意図しない迂回路を残さない。
  • IdPから割当を外したとき、クラウドFAX側のセッションも失効するか確認する。
  • SSO障害時の緊急アクセスは、常用アカウントと分離して監査する。
  • ログイン、失敗、MFA解除、管理者操作をIdP側とサービス側の両方で追えるようにする。

SSOはアカウント停止を一元化しやすい反面、IdPが侵害されると影響範囲が広がります。SSOの有無ではなく、IdPの認証強度とライフサイクル管理を評価します。

SP-FAXの現在の提供範囲

区分内容
標準提供認証アプリによるTOTP MFA、復旧コード、テナント単位のMFA必須化、パスワードポリシー、管理者ログイン通知。
設定により提供管理画面のテナント単位IP/CIDR制限、APIキー単位のIP/CIDR制限。
エンタープライズSAML 2.0企業SSO。IdP、属性、適用範囲などの要件確認が必要。

パスキーやFIDO認証を標準提供済みとは表明していません。最新の条件はセキュリティと信頼性で確認してください。操作の追跡はFAX監査ログのガイド、外部保管はSharePoint自動保存の設定へ続きます。

参考資料

よくある質問

Q. 二段階認証とMFAは同じですか？

同じとは限りません。二段階は認証を二回行う手順を指すことがあり、MFAは知識・所持・生体など異なる種類の要素を二つ以上使います。

Q. TOTPは多要素認証ですか？

パスワードと認証アプリのTOTPを組み合わせればMFAです。ただしTOTPはフィッシング耐性を持つ方式ではありません。

Q. SSOを導入すればMFAは不要ですか？

不要にはなりません。SSOは認証を集約する仕組みで、実際の強度はIdP側のMFAや条件付きアクセスポリシーで決まります。

Q. SP-FAXの認証方式は何ですか？

TOTP MFAと復旧コードを標準提供し、テナント単位で必須化できます。SAML 2.0 SSOはエンタープライズ向けで要件確認が必要です。

自社の認証要件と照合する

MFA、IP制限、SAML SSOの提供区分を分けて公開しています。

提供状況を確認する