先に結論管理者・社外アクセスから始め、紛失・変更・復旧を本人確認付きで練習します。
対象と求める場面を決める
管理者、個人情報、金額、一括出力、社外アクセスなどリスクが高い範囲から始めます。毎操作で求めるのではなく、ログイン、端末変更、重要操作など場面を整理します。
現場の手袋、電波、個人スマホ禁止など条件を確認します。安全性だけでなく、追加操作と問い合わせ回数を実機で測ります。
認証方法を利用環境に合わせる
認証アプリ、セキュリティキー、端末認証などの特徴を比べます。SMSだけに固定せず、電話番号変更や圏外、共有番号の課題を確認します。
本人の認証要素を同僚へ貸さない運用にします。共有タブレットでも職員ごとのログインと確認を保ち、端末自体のロックも使います。
紛失・機種変更・復旧を先に試す
旧端末を失った、番号が変わった、認証アプリを移せない場面をテストします。復旧コードは通常端末と別の安全な場所へ保管し、使用後は無効化します。
管理者が電話だけで解除せず、本人確認、承認、操作記録を残します。緊急解除には期限を付け、後から通常認証へ戻ったことを確認します。
失敗回数と例外を監視する
認証失敗、復旧、端末追加、管理者解除を記録し、異常な試行を確認します。通知には必要以上の個人情報や秘密を載せません。
一部利用者で試し、ログイン時間、失敗、問い合わせを測ります。導入後も退職者の端末、長期未使用、予備手段を定期点検します。
相談前にそろえるもの
- 対象役割・重要操作
- 現場端末・通信条件
- 認証方法・予備手段
- 紛失・機種変更
- 本人確認付き復旧
全部そろっていなくても構いません。分かる範囲を確認し、業務ルールや金額に関わる部分は担当者と一緒に決めます。