第2章：アカウント / 端末 / 認証（MFA / パスワード / セッション）

この章で学ぶこと

• アカウントは本人性と操作追跡の基盤である
• MFA / パスワード / セッションの最低限の守り方を理解する
• 端末管理（更新 / ロック / 紛失時対応）を運用に落とす

成果物（または判断基準）

• アカウント運用の最小ルール（MFA必須、共有禁止など）
• 付録チェックリストに組み込める観点（チェックリスト集）

本文

認証が弱いと、技術対策の多くが無効化される。まず侵入経路を減らし、不正操作の追跡を可能にする。

最小の考え方

• MFA: 可能な限り必須（管理者権限は特に）
• パスワード: 使い回し禁止、管理ツール利用
• セッション: 端末共有禁止、ログアウト / 失効の理解
• 端末: OS / ブラウザ更新、画面ロック、紛失時の連絡手順

図の要点: 共有アカウントを避け、MFAだけに依存せず、端末更新、復旧経路、セッション失効、監査ログまでを連続した統制として確認する。

実務レビューゲート: 認証とセッション

認証まわりの詳細設計は専門書に委ねるが、基礎リテラシーとして次の判断は PR や研修資料に残す。

• MFA の強度: 管理者権限、外部公開サービス、個人情報を扱うシステムでは MFA を必須にする。可能な場合は FIDO2 / WebAuthn / passkey などのフィッシング耐性が高い方式を優先する。
• 復旧経路: MFA リセット、端末紛失、アカウント復旧の手順は、本人確認、承認者、証跡、期限付き例外を含めて定義する。
• セッション Cookie: Web セッションを扱う場合は Secure、HttpOnly、SameSite の指定を確認する。SameSite=None はクロスサイト利用が必要な場合に限定し、必ず Secure と組み合わせる。
• ログアウトと失効: 退職、異動、端末紛失、漏えい疑いでは、パスワード変更だけでなくセッション、リフレッシュトークン、APIキー、共有リンクの失効を確認する。
• 参照元: NIST SP 800-63-4、OWASP Session Management Cheat Sheet、実践 認証認可システム設計 の認証認可レビューゲートを確認日付きで参照する。

具体例（悪い例→良い例）

悪い例

共有アカウントでログインし、MFAは無効
端末更新は後回し

良い例

個人アカウントで運用し、MFAを有効化
端末更新と画面ロックを徹底
監査ログで操作が追える状態にする

チェックリスト

• MFAが有効
• 管理者権限や個人情報を扱うシステムでは、フィッシング耐性の高い MFA / passkey の採用可否を確認した
• 共有アカウントを使っていない
• 端末更新 / ロックの運用がある
• 監査ログで追跡可能
• セッション失効、MFA リセット、端末紛失時の復旧経路が決まっている
• Cookie / セッション設定を変更する場合は、Secure、HttpOnly、SameSite のレビュー結果を残した

まとめ

• 共有アカウントを避け、個人アカウント + MFA を前提に運用する
• セッション管理（ログアウト / 失効）と端末運用（更新 / ロック / 紛失時対応）を最小ルールとして整備する

次章への接続

• 次章: 第3章