クラウドFAXのMFA・二段階認証・SSOの違い｜パスキーと復旧の確認点

認証方式の違い

FAXで認証を強くする理由

クラウドFAXのアカウントは、過去の注文書・申込書・顧客情報を見る入口であると同時に、外部へFAXを送る操作権限でもあります。閲覧権限と送信権限、利用者と管理者を分け、重要な設定変更では再認証や通知を組み合わせます。

CISAは中小企業向けにもMFAの導入を推奨し、とくにフィッシング耐性のある方式を優先するよう案内しています。NISTも、OTPや手入力コードは認証情報を偽サイトへ入力させられるため、フィッシング耐性を持たないと整理しています。TOTPを採用する場合も、「MFAだから終了」ではなく、管理者通知やIP制限、監査を重ねます。

MFA導入で抜けやすい8項目

1. 全員への必須化：任意設定では未登録者が弱い入口になる。
2. 管理者の先行適用：利用者・権限・送信設定を変えられるアカウントを優先する。
3. 初回登録：本人確認前に攻撃者の端末を登録されない手順にする。
4. 復旧コード：平文共有や共通保管を避け、使用済みと未使用を区別して安全に保管する。
5. 端末紛失：本人確認、既存要素の解除、セッション失効を一連で行う。
6. 退職・異動：アカウントだけでなくAPIキー、SSO割当、既存セッションも失効する。
7. 重要操作：MFA解除、権限変更、宛先・転送変更をログと通知へ残す。
8. 緊急用管理者：通常利用せず、保管・利用・事後確認の手順を決める。

パスキーを登録する前に決めること

SP-FAXのパスキーは、ログイン時の追加認証として使います。端末の生体認証だけでなく、端末PIN等を利用する場合もあります。生体情報そのものはSP-FAXへ送信・保存されません。利用環境により使える方法が異なるため、対象端末とブラウザーで確認します。

• 本人が使う端末と、組織が管理する端末・アカウントの境界を決める。
• 同期型のパスキーを使う場合、その同期先アカウントの保護と退職時の扱いも確認する。
• 別の認証方法や復旧コードを準備し、唯一の端末を失っても確認できる経路を決める。
• 管理者の必須化前に、登録済みの人と未登録の人、復旧の担当者を確認する。

パスキーがあることから、アカウント復旧や管理者対応を含むすべての経路が同じ強度になるとは推測しません。方式の比較と、運用全体の点検を組み合わせます。

端末を紛失したときの復旧を、平常時に準備する

表は横にスクロールできます。

これは準備と判断の例です。サポートが即時にMFAを解除する、SMSだけで自動復旧できる、といった提供条件を示すものではありません。復旧コードやパスキーの秘密情報を問い合わせへ貼り付けないでください。

退職・異動時の停止と引き継ぎはID・APIキー・共有先の点検、機密文書の利用条件は医療FAXの導入前確認へ続けて確認できます。

SAML SSO導入時の確認

• IdP側でMFAとアクセス条件を必須にする。
• メールアドレスなどの属性を、意図したテナント・利用者へ対応付ける。
• SSOを試験してからローカルログインの扱いを決め、意図しない迂回路を残さない。
• IdPから割当を外したとき、クラウドFAX側のセッションも失効するか確認する。
• SSO障害時の緊急アクセスは、常用アカウントと分離して監査する。
• ログイン、失敗、MFA解除、管理者操作をIdP側とサービス側の両方で追えるようにする。

SSOはアカウント停止を一元化しやすい反面、IdPが侵害されると影響範囲が広がります。SSOの有無ではなく、IdPの認証強度とライフサイクル管理を評価します。

SP-FAXの現在の提供範囲

最新の条件はセキュリティと信頼性で確認してください。操作の追跡はFAX監査ログのガイド、外部保管はSharePoint自動保存の設定へ続きます。

参考資料

• NIST SP 800-63-4: Digital Identity Model
• NIST SP 800-63B: Authenticators
• CISA: Require Multifactor Authentication
• IPA「中小企業のためのクラウドサービス安全利用の手引き」

よくある質問