ID・パスワードだけの代理店向け受発注システムを改善

A社 様 業種 :通信販売
課題 :クライアントセキュリティ

導入の背景・目的・課題

オフィス向け事務用品の通信販売を行うA社では、オフィスに関わる幅広い商品を取り揃えており、代理店向けに事業も展開しています。代理店向けにオンライン受発注システムを備えていましたが、ID・パスワードのみの認証でした。
近年、不正アクセスによる情報漏えいも増えてきたことから、セキュリティ管理部門のG氏は二要素認証のアクセスを検討していました。ワンタイムパスワード認証や携帯電話での認証などの候補が上がりましたが、ワンタイムパスワードは専用トークンを配布・管理する手間があり、携帯電話は代理店によっては、担当が会社所有の携帯を持ち合わせていないことから障壁がありました。

導入までの経緯

管理性に優れていて代理店側にも負担にならない方法がないか情報収集をしていたところ、G氏はクライアント認証にたどり着きました。早速、該当のサービスのある数社に問い合わせ、そのうちの1社であったGMOグローバルサインに、後日訪問してもらうことになりました。

GMOグローバルサインの営業担当からは「クライアント認証をつかったクライアント証明書であれば、従来から利用しているID・パスワードを『知っていること』と、デバイスにインストールされた証明書を『所有していること』の2つ組み合わせることでログインのセキュリティを強化することができます。たとえば代理店の方が、受発注システムを外出先からノートPCで利用すると、認証がIDとパスワードだけでは漏えいのリスクがありますし、個人用のデバイスやネットカフェ等からアクセスしてしまうというリスクも伴います。

ID・パスワード認証に加え、証明書がインストールされていることで、社内の特定PCからのみアクセスを許可するなど、セキュアな環境に限定した運用も可能になります。」と説明されました。また、GMOグローバルサインのクライアント証明書は、Windowsの機能を利用した証明書のエクスポートを不可にする設定もあるので、勝手な端末へのインストールなども防げることがわかりました。

導入して良かった点

他社からも同様に話を聞き、ユーザインターフェースのカスタマイズ性やコストを比較した結果、A社はGMOグローバルサインのクライアント証明書導入を決定しました。

「当初は二要素認証によるセキュリティ強化が目的でしたが、アクセスコントロールまでできたことで、よりセキュアな環境でシステムを利用いただけるかたちになりました。代理店様によっては、複数の事業所でご利用いただいているお客様もいるのですが、その場合は1枚のクライアント証明書を複製して利用できるのもコスト的には助かりました。」と語るG氏。

A社では今後、基本的なセキュリティ対策として、社内も含めID・パスワードのみの認証を見直していかれるとのことです。