書けたら書く

主にCorporate ITについて書けたら書く

Single Sign-Onの効果

はじめに

業務アプリにおけるSSO導入を検討した際のメモを残しておきます。
セキュアだし便利だしSSOはいいぞ。

パスワードベース認証の課題

ユーザー・業務アプリ管理者/開発者・経営者と目線を分けてみます。

ユーザー

  • 業務アプリを1つ開くたびにログインが必要で、いちいち手間がかかる。
    • 業務アプリによってID・P/Wのポリシーが異なるため、覚えきれない。
      • 特に業務アプリの開発/管理組織がサイロ化していると起きがち。
      • ID体系が違ったり。P/Wの使用可能文字列や文字数が異なったり。
      • P/Wを書いたテキストファイルをデスクトップに置く、付箋をディスプレイに貼る、etc…
    • 覚えきれないから、1つのP/Wを使い回すようになる。

業務アプリ管理者/開発者

  • P/W初期化依頼が頻発する。
    • ユーザーーと管理者の双方が時間を無駄にする。
    • 業務アプリ毎にオペレーションが異なるため、手間がかかる。
  • 業務アプリ毎に認証機能を実装し、また継続的に脆弱性対応を行なっている。
    • 開発者は一定のセキュリティ知識の習得が必要になる。

経営者

  • 業務アプリ毎に認証機能に対する投資が発生する。
  • 業務アプリ毎に認証機能の開発やID管理運用設計することで、新規の業務アプリ導入に時間がかかる。
  • アプリケーション導入に時間がかかり、結果として競争優位性が低下する可能性がある。

SSO導入による効果

翻って、SSOを導入すると前述の課題はクリアされます。

ユーザー

  • 一度ログインすれば、他業務アプリへのログイン処理は不要
  • 単一のID・P/Wだけ管理すればOK
    • P/W入力ミスや、忘れたことによる初期化といった手間が激減する。
  • 単一の認証基盤に多要素認証を導入することで、なりすましによる不正ログインリスクを軽減できる。

業務アプリ管理者/開発者

  • P/Wを忘れたユーザーの初期化対応から開放される。
  • 認証に関する技術習得やセキュリティ対策に費やす時間を削減できる。

経営者

  • SSO導入により単一となった認証基盤に対し、投資を注力できる。
    • 業務アプリ毎の認証の仕組みに投資しなくてよい。
    • 単一の認証基盤に対しアクセス監視強化や多要素認証を導入することで、セキュリティもより向上する。
  • 業務アプリを素早く導入し、組織の生産性向上を図ることができる。
    • 競争優位性の維持・向上が期待される。
  • (副次的な効果として)SSOを軸に横連携が進み、組織のサイロ化を抑止する効果も期待される(かも)。