アカウントセキュリティ
強固な認証、利用可能な MFA、適切なセッション管理、サイトで求められる Step-Up 確認によりアカウントを保護します。
- アカウント保護を確認する自分のアカウントで利用できるセキュリティ設定を確認します。
- 追加要素を有効にするアカウントで選択可能な場合は、MFA を登録して検証します。
- 復旧情報を保管するリカバリーコードは非公開にし、アカウントとは別に保管します。
- セッションを確認する見覚えのないセッションや連携アクセスを失効させます。
- 機密操作の確認を完了する保護された操作で正規の MFA または Step-Up の要求を満たします。
サインインを強化する
パスワードを使うアカウントでは、他で使っていないパスワードを設定し、確認や復旧に使うメールアカウントも保護してください。サインイン後にアカウントのセキュリティ設定を開き、利用可能な MFA を確認します。要素の登録にはサイトの検証フローを完了する必要があります。設定画面を開いただけでは有効になりません。組織が管理する SSO には ID プロバイダー側の制御も関わる場合があります。アカウントのセキュリティポリシーを一元管理している場合は、その管理者と連携してください。
- サインイン済みプロフィールからセキュリティ設定を確認する。
- 利用可能な MFA 方法を登録し、検証を完了する。
- 復旧用メールアドレスとアカウント復旧情報を保護する。
リカバリーコードと認証要素を保護する
登録済みの認証要素が使えない場合、リカバリーコードでアクセスを復旧できることがあります。コードは非公開にし、保護対象のアカウントとは別の場所に保管してください。サポートにコードを送ったり、予期せず届いたリンクから入力したりしないでください。認証アプリを紛失または侵害された場合は、アカウントで利用できる交換または復旧手続きを使い、求められる新たな検証を完了します。復旧操作によって以前の要素やセッションが無効になる場合があるため、完了前に表示される確認内容を読んでください。
- リカバリーコードをアカウント外の保護された場所に保管する。
- ワンタイムコードやリカバリーコードを他人に開示しない。
- 紛失または侵害された要素は、公式のセキュリティ手順で交換する。
セッションを確認して失効させる
セッションページで、アカウントに表示されるアクティブなセッションと連携アクセスを確認します。見覚えがない、または使っていないセッションや信頼済みデバイスは失効させ、表示されている場合は連携アプリのアクセスも個別に確認してください。アクセスを失効させると自分の作業が中断する場合があるため、操作前に対象を確認します。説明できない活動を見つけた場合は、認証情報を共有せず、まずアカウントを保護してから時刻と状況を添えてサポートに連絡してください。
- アカウントのセッションページを開いて項目を確認する。
- 見覚えのないセッション、デバイス、連携アプリを失効させる。
- 侵害された認証情報を変更し、不審な活動を報告する。
MFA と Step-Up の確認を完了する
サインインに成功した後でも、操作によっては新たな認証や追加要素が必要です。同じ正規のアカウントフローで確認を完了し、ページを離れる前に要求した操作が成功したことを確かめてください。Step-Up 確認は意図されたセキュリティ境界です。経路、ブラウザーの状態、アカウント情報を変更しても、必要な確認の代わりにはなりません。確認を完了できない場合、他人に制御を回避してもらうのではなく、公式の復旧手順を使うかサポートに問い合わせてください。
- アプリケーションに表示された MFA または Step-Up を完了する。
- 保護された操作の結果や確認表示を確かめる。
- 確認を完了できない場合は、アカウント復旧またはサポートを利用する。
よくある質問
一度サインインすれば、その後の MFA 確認は不要になりますか？
いいえ。機密性の高い操作では、新たな MFA または Step-Up の確認が必要になる場合があります。要求されたら完了してください。
リカバリーコードはどこに保管すればよいですか？
アカウントとは別の場所に非公開で保管してください。サポートに共有したり、予期しないページに入力したりしないでください。
見覚えのないセッションを見つけたらどうすればよいですか？
セッションページから失効させ、認証情報を保護してください。活動の理由が分からない場合はサポートに連絡してください。
紛失した MFA 要素をサポートが回避できますか？
いいえ。追加確認が必要となる場合があるため、公式のアカウント復旧または要素交換手続きを利用してください。