アカウント・パスワード・PIN・多要素認証の違いと安全な管理（AI作成）

第１　何の本人確認をしているか

アカウントはサービスや端末を利用するための登録・権限の単位であり，パスワードそのものではない。
安全に管理するためには，サービスのアカウント，端末のロック解除，認証用の機器，紛失時の復旧手段を分けて把握する必要がある。
パスキーなど，通常のログインでパスワードを入力しない方式もある。

第２　Microsoftアカウント等の区別

１　個人用・職場又は学校用・ローカル

Microsoftの個人用アカウントと，組織が管理する職場又は学校アカウントは別のものである。
同じメールアドレスに見える場合でも，ログイン先・管理者・利用権限が同じとは限らない。
ローカルアカウントは，基本的にはそのWindows端末で管理されるアカウントである。

裁判所の会議，事務所のMicrosoft 365，個人のOneDriveを使う際には，どのアカウントで参加・保存しているかを確認する。
会議の招待が届いたことだけで，資料を別の組織のクラウドへ保存してよいことにはならない。

小売店等で購入した買い切り版のOffice（Office 2016・Office 2019等）は，プロダクトキーを使った時点でMicrosoftアカウントに関連付けられ，再インストールには，そのアカウントでのサインインが必要になる（出典⑤）。
Officeの画面に事務所や会社のアドレスでサインインしていると表示されていても，そのアドレスにライセンスが付いているとは限らない。
ライセンス認証が外れた場合に新しいMicrosoftアカウントを作っても，そのアカウントに以前のライセンスは付いていない。
Officeの画面にサインインしていると表示されるアカウントと，ライセンスを結び付けたアカウントが別になっている例もあり，パソコンの中の記録から確かめる方法をOffice 2016・2019が「ライセンスのない製品」になったときの対応の第４の６で説明する。

２　事務所で残す管理台帳

台帳には，サービス名，管理対象者，管理者，登録メール，認証方式，復旧連絡先，退職時の停止方法を記録する。
買い切りのソフトウェアについては，ライセンスを関連付けたアカウント，プロダクトキーのカードの保管場所及び購入記録（購入日，購入先，機種名，製造番号）も記録する。
通常の共有台帳にパスワードやバックアップコードを並べて置かない。
職員個人の電話だけが唯一の認証手段になっていないかも確認する。

職員個人のアカウントで業務用のライセンスを登録すると，その職員の退職や異動の後に，事務所がアカウントを把握できなくなるおそれがある。
業務用のライセンスは，事務所が管理するアカウントに関連付けるのが望ましい。
パソコンの購入時に販売店や保守業者がアカウントを作成した場合は，作成者と，回復用の連絡先（電話番号や予備のメールアドレス）が誰に届く設定になっているかを書面で出してもらい，事務所が受け取れる連絡先にしておく。
Officeのライセンス認証が外れた場合の手順は，Office 2016・2019が「ライセンスのない製品」になったときの対応で説明する。

第３　パスワードとWindows HelloのPIN

Windows HelloのPINは，設定した端末に結び付いた認証鍵の利用を解除するために用いられる。
オンラインサービスに送信するパスワードと同じものではない（出典①）。
ただし，すべての「PIN」と呼ばれる暗証番号が同じ構造を持つわけではなく，SIMや金融サービスの暗証番号へ一律に説明を広げない。

パスワードはサービスごとに使い回さず，十分な長さを確保する。
管理ツールを使う場合には，その管理ツール自身の認証・復旧・共有範囲も点検する。
PINが端末内で扱われることは，端末の盗難・覗き見・マルウェアへの対策が不要という意味ではない。

定期変更と，漏えい時の変更は分ける。
NIST SP 800-63B-4（https://pages.nist.gov/800-63-4/sp800-63b.html）３．１．１．２は，検証者に対し，一定期間ごとのパスワード変更を要求しないことと，漏えいの証拠がある場合に変更を求めることを区別している。
同節は，パスワード設定・変更時に，よく使われるもの，予測可能なもの又は漏えい済みのものを拒否する照合も定める。
単語の先頭を大文字にし末尾に数字・記号を加えるだけの規則的な変更を，各サービスで使い回す運用は避ける。

事務所では，十分な長さとサービスごとの独立性を確保し，漏えい通知，不正利用又は認証情報の侵害が疑われる場合の変更・失効手順を別に定めるとよい。
NISTの技術基準を，日本の全事業者に直接適用される一律の法的義務と扱うものではない。
サービス固有の条件，契約及び組織の規程も確認する必要がある。

第４　二段階認証と多要素認証

１　段階と要素を分ける

二段階認証は，本人確認を行う段階の数に着目した呼び方である。
二要素認証は，知識，所持，生体情報等の異なる種類の要素を二つ使う方法であり，多要素認証は異なる種類の要素を組み合わせる考え方である。
例えば，パスワードと秘密の質問の答えは，いずれも知識に属するため，二段階で尋ねても異なる二要素を使うとは限らない。
IPAの用語解説（PDF５５頁）もこの違いを説明しており，サービス上の名称と実際の認証構成を分けて確認する必要がある。

SMS，認証アプリ，セキュリティキー，パスキーには，利用条件・復旧方法・フィッシングへの耐性に違いがある。
認証コードを第三者へ伝えたり，自分が開始していない承認通知を許可したりしてはならない。

認証要素の数と，偽サイトへの耐性は別に確認する。
NIST SP 800-63B-4（https://pages.nist.gov/800-63-4/sp800-63b.html）３．２．５は，人が読み取って入力するワンタイムコードを，フィッシング耐性のある方式とは扱っていない。
コードが短時間で失効しても，偽サイトへ入力した直後に悪用されるおそれは残る。

FIDO Allianceのパスキーの説明（https://fidoalliance.org/passkeys/）も，端末に固定する方式と同期する方式を区別している。
採用時は，対応する端末・ブラウザー，同期先アカウントの管理，予備の手段及び紛失時の失効を確認する。
パスキーを設定したことだけで，端末のマルウェア，ログイン後のセッションの悪用又はサービス提供者側の侵害まで防げるとはいえない。

セッションとは，ログイン後に，サービスとブラウザー・アプリの間で認証済みの状態を維持して利用を続けるための仕組みである。
例えばCookie等に保存したセッション用の秘密情報を使い，画面を開くたびに同じ本人確認を繰り返さずに済むようにする。
NISTのセッション管理の説明も，認証時の本人確認と，その後のセッションの継続・終了を分けている。

そのため，パスワードの変更と，既にログインしている端末・アプリのセッションの終了は，確認する対象が異なる。
パスワードを変更すれば全てのセッションや連携先の利用が直ちに終了すると決めつけず，利用するサービスの公式手順と管理者の設定を確認する。
自分の端末でのログアウトだけで，他の端末や連携サービスの状態まで確認できたとは扱わない。

不正利用が疑われるときは，安全な端末から管理者と連携して，認証情報の変更，既存セッションの失効及び不審な利用の調査を行う。
VPN機器の脆弱性と認証済みセッションの窃取の具体例は，法律事務所のVPNは安全か―機器の更新，内部のアクセス制御及び保守契約の確認事項（AI作成）で扱う。

２　パスキーと端末移行

パスキーは公開鍵暗号を利用する認証方式であり，対応サイトに対して秘密鍵を持つことを証明する。
端末に固定されるものと，サービスを通じて同期されるものなどがあるため，「必ず１台だけ」「必ずすべて自動移行」とは扱わない（出典②）。
同期先のアカウントを失った場合の影響も確認する。

第５　機種変更前と紛失時の対応

１　機種変更前

① 利用中の認証アプリと登録サービスを棚卸しする。
② 公式の移行・バックアップ方法を確認する。
③ 復旧用連絡先とバックアップコードを安全な場所に保管する。
④ 新端末で実際にログインできることを，重要なサービスごとに確認する。
⑤ 確認後に旧端末の登録解除や廃棄を行う。

アプリが復元されたことと，各サービスの認証情報が使えることは別である。
旧端末を先に初期化しないことが重要である。

２　紛失・不正アクセスの疑い

別の安全な端末から公式のアカウント回復・端末管理を利用し，不審なセッション，連絡先，転送設定等を点検する。
既に侵害が疑われる場合は，単なるパスワード変更だけで完了とせず，記録保全と影響範囲の確認を行う。
組織アカウントは管理者と連携し，裁判期日への影響がある場合は代替連絡手段を確保する。

第６　関連記事と出典

二段階認証の必要性，Google・Appleの設定先及びログインできない場合の入口は，二段階認証とは？設定方法・二要素認証との違い・スマホ紛失への備えを参照されたい。

mints固有の画面操作はmintsにログインできない場合の対処法を参照されたい。
GmailとGoogle Workspaceの管理及び弁護士情報セキュリティ規程も関連する。

① Microsoft「Windows Hello for Businessに関してよく寄せられる質問」
https://learn.microsoft.com/ja-jp/windows/security/identity-protection/hello-for-business/faq

② Microsoft「Windowsでのパスキーのサポート」
https://learn.microsoft.com/ja-jp/windows/security/identity-protection/passkeys/

③ Google「２段階認証プロセスを有効にする」
https://support.google.com/mail/answer/185839?hl=ja

④ Google「２段階認証プロセスに関する一般的な問題を解決する」
https://support.google.com/accounts/answer/185834?hl=ja

⑤ Microsoft「Office 2021、Office 2019、または Office 2016 をダウンロードしてインストールまたは再インストールする」
https://support.microsoft.com/ja-jp/office/lifecycle/officeinstall/download-and-install-or-reinstall-office-2021-office-2019-or-office-2016