認証とセキュリティ

現在の多様なセキュリティ課題に
企業はいかに対処しているのか

Businesses at Work 2025 → 認証とセキュリティ

セキュリティのカテゴリ
と要素

長年にわたって「123456」は世界で最も利用されているパスワードです。しかし、Oktaのお客様は資産や従業員を保護するための投資を継続しています。これらの企業や組織は強力なセキュリティツールを積極的に導入し、フィッシングに脆弱な認証情報（パスワード）から脱却し、生体認証のような保証レベルが高い認証要素に移行しています。

認証とセキュリティ → セキュリティのカテゴリと要素

最も利用されているセキュリティツールのカテゴリ

無限に広がる境界を保護するツール

AIによって脅威が高度化している中、従業員やデータ、ワークフロー、その他の資産を守るために、多層防御の強化が企業に求められています。

Verizonの2024年度データ漏洩/侵害調査報告書によると、2022年11月から2023年10月の間に30,458件のセキュリティインシデントが実際に発生し、データ漏洩は過去最多の10,626件に上りました。しかし、企業も迅速に対応策を取っています。ここでは、侵害を防ぐために最も利用されているセキュリティ対策ツールを紹介します。

認証とセキュリティ → セキュリティのカテゴリと要素

ファイアウォールの導入が増加：VPN/ファイアウォールは、2020年以降最も利用されているセキュリティツールとなっています。OINを通じてセキュリティツールを導入しているOktaのお客様の過半数が導入しており、今年はさらに2%増加しました。このカテゴリには、Palo Alto NetworksのGlobalProtectやPrisma Access、OpenVPN、AWS ClientVPN、Zscaler、Cisco AnyConnect、Tailscale（急成長アプリの1つ）などの人気製品が含まれています。業界別では、行政機関がVPN/ファイアウォールの導入に最も注力しており、導入の前年比成長率は11%と顕著に高くなっています。

コンプライアンスツールの急増：データコンプライアンスツールを導入している企業数は、前年比で50%増加し、昨年の120%増加に続いて、セキュリティツールの中で最速の成長を記録しました。現在、OINを通じてセキュリティツールを導入しているOktaのお客様の11%がデータコンプライアンスツールを導入しています。規制環境も、自動化とデータ収集（およびデータを大量に必要とするAIアルゴリズム）の増加に対応して変化しており、このカテゴリは今後も注目されることになるでしょう。

ディープフェイクとの闘い：AIを使用したディープフェイクが広がりを見せる中で、安全なオンボーディングを可能にするためのアイデンティティプルーフィングツールが、前年比で11%の成長を記録しました。ディープフェイク攻撃は、2024年には平均して5分に1回の頻度で発生しました。

混乱状況保の管理：デジタル環境では、保証レベルが低いパスワードが依然として広く利用されているため、パスワード管理ツールは引き続き人気があります。OINを通じてセキュリティツールを導入しているOktaのお客様の3分の1が、現在パスワード管理ツールを導入しています（前年比で9%の成長）。

認証とセキュリティ → セキュリティのカテゴリと要素

テクノロジー系スタートアップ企業

データコンプライアンスとトレーニング：規制違反による高額な過料を支払う余裕のないテクノロジー系スタートアップ企業では、データコンプライアンスツールの導入が前年比で45%増加しました。また、新入社員を即戦力として活用したいテクノロジー系スタートアップ企業にとっては、トレーニングも注目分野であり、前年比で13%の成長を見せています。

インフラストラクチャ監視：インフラストラクチャ監視はテクノロジー系スタートアップ企業の間で優先度が高く、パスワード管理、エンドポイント管理/セキュリティツールのカテゴリに続いています。ダウンタイムが小規模企業に1時間あたり10万ドルのコストをもたらすことを考えると、これは合理的な判断と言えるでしょう。

パスワード管理：すべての規模の企業が、VPN/ファイアウォールとエンドポイント管理/セキュリティツールに続いて、トレーニングツール（3位）とパスワード管理ツール（4位）を優先しています。しかし、テクノロジー系スタートアップ企業はパスワード管理ツール（3位）をより重視しており、トレーニングツールは6位とランクが低くなっています。

Fortune 500企業

インフラストラクチャ監視：大企業は1時間のダウンタイムで30万ドル以上を失う可能性があることから、システムを稼働させ続けることはさらに重大な優先事項です。全体のランキングではインフラストラクチャ監視は5位ですが、Fortune 500企業では2位とランクが高くなっています。

セキュリティアナリティクス：Fortune 500企業のシステムは相互に接続され、膨大なセキュリティデータを生成しています。しかし、データの意味を理解できなかったり、データに基づいて迅速に対応できなかったりすると、宝の持ち腐れになります。セキュリティアナリティクスは、Fortune 500企業で3位にランクインしており、全体のランキングよりも6つ上の順位になっています。

認証とセキュリティ → セキュリティのカテゴリと要素

急成長しているセキュリティツールのカテゴリ

データコンプライアンスと VPNの導入が各国で優先される

_注：_{このアプリの使用状況では、各カテゴリで1つ以上のアプリやツールを導入している顧客数をカウントしています。}_注：_{Okta製品の使用に関するデータは、このチャートには含まれません。}

データプライバシー規制の厳格化、攻撃対象範囲の広がり、ダウンタイムが発生した場合のコストが、世界各国の組織に重くのしかかっています。これらの懸念を反映して、Oktaが調査対象とした国でセキュリティカテゴリが急成長しています。

認証とセキュリティ → セキュリティのカテゴリと要素

カナダがプライバシー規制を強化：消費者プライバシー保護法の制定が検討されているカナダでは、規制に先立って対応を進めるべく、企業がセキュリティ対策としてデータコンプライアンスツールを追加しています。

米国各州の規制：カナダと同様に、米国でも連邦政府と州政府による新しい規制が施行されており、全土でデータコンプライアンスツールの導入が増加しています。現在、19の州でプライバシー法が施行されており、他の州でも新たな法制定が検討されています。

日本はファイアウォールを優先：ネットワークセキュリティは日本で非常に重視されており、VPN/ファイアウォールツールの導入は2024年から2030年にかけて年平均6.8%で成長すると予測されています。

フランスはインフラストラクチャ監視を強化：フランスはサイバー攻撃の増加を受けてインフラストラクチャの監視を強化しています。さらに、EUのサイバーセキュリティに関するNIS 2や金融機関向けのDORAといったコンプライアンス指令の遵守も、監視を強化する理由となっています。

認証とセキュリティ → セキュリティのカテゴリと要素

最も利用されている要素タイプ

_{より強力な認証要素の増加}

_注：_{円の大きさは、各要素を導入している顧客数を相対的に表しています。}_注：_{「Okta Verify（OTPおよびプッシュ）」には、ワンタイムパスコード（OTP）を使用するOkta Verifyと、プッシュ機能付きのOkta Verifyが含まれます。WebAuthnは、YubiKeyと一緒に「セキュリティキー/生体認証」にまとめられています。Google Authenticator、Duo Security、RSA SecurID、HMACベースのワンタイムパスワード（HOTP）、YubiKey OTP、Symantec VIPは、「その他のOTP認証ツール」にまとめられています。SMSとボイスコール認証は、「電話」にまとめられています。}_注：_{このデータは、Okta Workforce Identityのお客様に限定されています。}

多要素認証（MFA）の効果は、使用する認証要素の強度に比例します。電話やEメールなどの保証レベルが低い認証要素を使用していると、ハッカーが防御を突破しやすくなります。昨年の侵害の63%は、組織の認証プロセスに関連していました。すべての規模の企業が認証要素を組み合わせてセキュリティを強化していることは、前向きな兆しです。

認証とセキュリティ → セキュリティのカテゴリと要素

より強力な認証要素への移行：Okta FastPass、セキュリティキー、生体認証などの保証レベルが高くフィッシング耐性のある認証要素の採用が増加しています。保証レベルが中程度の認証要素であるOkta Verify（OTPおよびプッシュ）は、すでに顧客数で最も多く導入されている認証要素のグループであり、今年は顧客数で3%、ユニークユーザー数で16%の成長を遂げました。

FastPassの導入が急増：保証レベルが高いこのソリューションは、顧客数で前年比52%、ユニークユーザー数で前年比160%の成長を遂げました。Okta FastPassはフィッシング耐性があり、生体認証の使用にかかわらず導入できます。生体認証を使用するFastPass認証の件数は、前年比で288%成長しました。

認証とセキュリティ → セキュリティのカテゴリと要素

保証レベルが低い認証要素が減少：企業は、電話やセキュリティ質問などの保証レベルが低い認証要素から脱却しつつあります。セキュリティ質問は2年連続で減少しており、顧客数で前年比12%、ユニークユーザー数で前年比5%の減少を記録しています。セキュリティ要素として電話（SMS/ボイスコール）が導入されるケースも大幅に低下しており、顧客数で14%減少しました。昨年2倍以上増加したユニークユーザー数でも、今年は1%減少しました。

Eメールの導入が増加：保証レベルの高い認証要素への移行が見られる一方で、保証レベルが低いEメール認証の導入が今年も増え、ユニークユーザー数では前年比で23%増加しました。ただし、ユニークユーザー数が155%の成長を記録した昨年と比較すると、増加が大きく鈍化しており、状況は改善していると見られます。

認証とセキュリティ → セキュリティのカテゴリと要素

最も利用されている要素タイプ（企業規模別）

組織の規模によって要素の優先度が変化

_注：_{「Okta Verify（OTPおよびプッシュ）」には、ワンタイムパスコード（OTP）を使用するOkta Verifyと、プッシュ機能付きのOkta Verifyが含まれます。WebAuthnは、YubiKeyと一緒に「セキュリティキー/生体認証」にまとめられています。Google Authenticator、Duo Security、RSA SecurID、HMACベースのワンタイムパスワード（HOTP）、YubiKey OTP、Symantec VIPは、「その他のOTP認証ツール」にまとめられています。SMSとボイスコール認証は、「電話」にまとめられています。}_注：_{このデータは、Okta Workforce Identityのお客様に限定されています。}

企業の規模にかかわらず、サイバー攻撃、詐欺、アイデンティティ窃取、データ侵害を防ぐために、フィッシング耐性のある要素を採用する傾向が強まっています。

サイバー犯罪者にとっては、生体認証などの固有要素やセキュリティキーなどの所持要素は、セキュリティ質問などの知識要素よりも偽装が困難です。しかし、テクノロジー系スタートアップ企業とFortune 500企業それぞれの導入傾向を比較すると、興味深いパターンが浮かび上がってきます。

認証とセキュリティ → セキュリティのカテゴリと要素

大企業はセキュリティを強化：すべての企業規模において保証レベルが高い認証要素の導入が進んでいますが、Fortune 500企業での導入率が最も速いペースで上昇しています。Fortune 500企業では、セキュリティキー/生体認証の使用が顧客数で前年比30%増加し、Okta FastPassの利用は顧客数で69%、ユニークユーザー数で334%増加しました。

小規模企業は弱点を克服：すべての企業で保証レベルの低い電話の使用が減少していますが、この変化が最も顕著なのは小規模なテクノロジー系スタートアップ企業です。テクノロジー系スタートアップ企業では、初めて電話要素の使用が減少し、顧客数での導入率は前年比で21%減少（Fortune 500企業では2%減少）、ユニークユーザー数では30%減少しました。

これらのセグメントでは全体と異なる傾向も：Fortune 500企業では、セキュリティ質問の導入が顧客数で前年比6%増加しています。また、テクノロジー系スタートアップ企業では依然としてEメールの利用が増えており、顧客数で21%、ユーザー数で31%の増加を記録し、全体平均を大きく上回っています。

Businesses at Work 2025 → 認証とセキュリティ

FastPassを使用したパスワードレス認証

デジタルのパスワードは1960年代初頭から使用されています。しかし、個人情報はソーシャルメディアなどの公開されているデータから容易に取得可能であるため、知識ベースの認証は本質的にリスクが高くなります。AIを使用したサイバー脅威が拡大する中、世界中の組織がパスワードの使用を廃止しつつあります。

Okta FastPassは、フィッシング耐性のある認証器であり、その導入拡大からパスワードレス認証の急速な普及がうかがえます。特に、Okta FastPassは生体認証との組み合わせによって、さらに高いセキュリティを実現します。詳細については、調査手法セクションをご覧ください。

認証とセキュリティ → FastPassを使用したパスワードレス認証

パスワードレス認証（デバイスタイプ別）

生体認証の導入が拡大

_注：_{このデータは、Okta Workforce Identityのお客様から収集した1年間の累積Okta FastPassデータに基づいています。}

モビリティは、かつては「どのようなデバイスを使用するか」の問題でした。しかし、現在ではモビリティが働き方そのものを定義するようになり、場所、時間、デバイスに関係なく企業資産にアクセスできるようになっています。

パスワードレス認証は、世界中に分散した従業員がよりスムーズに認証できるようにし、生体認証によってオペレーティングシステムの防御を強化しています。Oktaのデータによると、Okta FastPassの認証件数は昨年と比較して大幅に増加しています。FastPassの認証件数は前年比で377%増加し、指紋や顔認識などの生体認証を使用したFastPass認証は前年比で288%増加しました。

現在、FastPass認証の16%が生体認証を使用していますが、デバイスの種類やオペレーティングシステムによって、生体認証の導入状況に大きなばらつきがあります。

認証とセキュリティ → FastPassを使用したパスワードレス認証

Androidでのリモートログインの保護が向上：AndroidデバイスはFastPass認証件数が最も少なかったものの、生体認証の割合が最も高く、21%を記録しました。

macOSがWindowsを上回る：今年、macOSからの認証総数がWindowsよりも多くなりました。macOSデバイスで生体認証を使用したFastPass認証の割合（18%）は、2年連続でWindowsでの割合（13%）よりも高くなりました。

スマートフォンはまだ主流ではない：エンドユーザーは依然として、スマートフォンよりもコンピューターからログインする傾向があります。

認証とセキュリティ → FastPassを使用したパスワードレス認証

パスワードレス認証件数（国別）

パスワードレス認証が各国で拡大

_注：_{このデータは、Okta Workforce Identityのお客様から収集した1年間の累積Okta FastPassデータに基づいています。}

世界中でパスワードレス認証の導入が急速に進んでいます。これに伴い、生体認証による認証の強化も拡大していますが、その勢いはパスワードレス認証ほどではありません。その遅れの要因としては、一部の企業向けノートPCでは指紋認証やカメラ機能が未対応であることや、IT部門のリソースが不足しており、生体認証を活用するパスワードレステクノロジーの導入を一斉に進めることが難しいことが挙げられます。現在の進捗状況をチャートでご確認ください。

認証とセキュリティ → FastPassを使用したパスワードレス認証

生体認証の急成長：カナダ、ドイツ、韓国、イスラエル、英国、オーストラリアでは、パスワードレス認証のうち5件に1件が生体認証によって強化されています。この高い割合の背景には、企業によるサイバーセキュリティ強化の取り組みがあると考えられます。ドイツのある調査では、回答者の半数近く（49%）が勤務先で生体認証の使用が義務化されていると答えています。

フランスのセキュリティ強化：フランスは、1アカウントあたりのOkta FastPass認証件数が最も多くなっています。同国ではフィッシングが最大のアイデンティティ脅威となっており、2024年のオリンピック開催中に急増したフィッシング詐欺の影響を受けてパスワードレス認証への関心が高まった可能性があります。その一方で、生体認証を利用したFastPassの割合は12%と、調査対象国の中で最も低くなっています。

米国の遅れ：米国は、今年の1アカウントあたりのFastPass認証件数が2番目に多くなりましたが、生体認証を利用した認証の割合は17%にとどまり、対象国の多くに後れをとっています。

日本の追い上げ：日本も、1アカウントあたりのパスワードレス認証件数は高いものの、生体認証の利用率は11%と、調査対象国の中で最も低くなっています。日本のデジタルトランスフォーメーションの進展が他国に比べて遅れている状況には、さまざまな要因が関係していると考えられます。

Businesses at Work 2025 → 認証とセキュリティ

サイバー脅
威拡大の情勢

自動化されたサイバー攻撃が世界中で増加しています。Okta ThreatInsightは、お客様全体での正規のサインインと悪意のあるサインインを評価し、リスクのあるIPアドレスを検出することで、パスワードスプレー攻撃、クレデンシャルスタッフィング攻撃、総当たり攻撃などの認証情報を狙った攻撃を阻止しています。集約されたThreatInsightデータは、サイバー脅威の現状を示す有力な指標となるため、ここでは業界別および国別にデータを詳しく分析していきます。

認証とセキュリティ → サイバー脅威の情勢

脅威の自動検出と防止

エネルギー企業と非営利団体が標的に

_注：_{このデータは、Okta Workforce Identityのお客様から収集した1年間の累積ThreatInsightデータに基づいています。}

現在、あらゆる業界が攻撃者の標的になっていますが、特に狙われやすい業界があります。しかも、意外な業界が狙われています。たとえば、金融/銀行業界は魅力的な標的に思えるかもしれませんが、ThreatInsightのデータによると、他の業界と比べて攻撃率が大幅に低くなっています。

認証とセキュリティ → サイバー脅威拡大の情勢

脅威が増大：検出された脅威の全認証に対する割合で見ると、あらゆる分野で攻撃が増加しています。2024年5月（3月から4月にかけてユーザーアカウントへのクレデンシャルスタッフィング活動が急増した後）だけで、Oktaは23億8,000万件の悪意ある要求をブロックしました。Oktaのデータによると、検出された脅威の数は前年よりも大幅に高い水準を維持しています。

エネルギー業界が標的に：エネルギー/鉱業/石油/ガス業界は、検出された脅威の割合が今年も最も高くなり、3.3%から32%へと10倍に拡大しました。電力網や石油/ガス/鉱業事業はデジタルセキュリティが脆弱な場合があり、活動家や国家が支援する犯罪グループにとって人気の標的になっています。

非営利団体のリスクも高まる：非営利団体は、検出された脅威の割合が18%に達し（昨年の2.6%から増加）、2番目に多く狙われた業界でした。ある調査では、非営利団体の回答者の約3分の2が過去1年間にセキュリティ侵害や重大データインシデントを経験したと回答しています。非営利団体は正式には重要インフラストラクチャとは認識されていませんが、攻撃者は標的とみなしているようです。

金融業界への攻撃は勢いが収まる：昨年、金融/銀行業界で検出された脅威の割合は2.8%で、業界別で2位でした。今年は2.9%に増加しましたが、他の業界での増加率が大幅に高かったため、順位は13位に下がりました。金融/銀行業界は防御を強化しています。この業界では、システム侵入やソーシャルエンジニアリング攻撃が増加しており、攻撃者が侵害を成功させるのに苦労していることが示唆されます。

認証とセキュリティ → サイバー脅威の情勢

脅威の自動検出と防止

検出された脅威の割合は米国が最も高い

_注：_{このデータは、Okta Workforce Identityのお客様から収集した1年間の累積ThreatInsightデータに基づいています。}

Oktaのデータによると、サイバー攻撃は世界中の国々で急増しています。昨年、全認証のうち検出された脅威の割合が最も高かったのは、1.7%を記録したイスラエルでしたが、今年はこの数字ではトップ5にも入らないほどの状況になっています。

認証とセキュリティ → サイバー脅威拡大の情勢

米国がトップの座に：検出された脅威の割合が6.6%に達した米国は、昨年の2位からトップに浮上しました。

ヨーロッパ/中東/アフリカも標的に：ドイツとオランダは、昨年は検出された脅威の割合が非常に低かったものの（それぞれ0.2%と0.3%）、今年は英国とともにトップ4に入りました。これらの国では、20回に1回以上の認証が潜在的脅威として検出されています。

アジア太平洋でも増加：オーストラリア、日本、韓国は、いずれも昨年より検出された脅威の割合が上昇しています。しかし、検出率が大幅に高まった他国と比べると、まだ低い状況です。

決して信頼せず、常に検証：
ゼロトラストへの道

Oktaのデータは、世界中の企業がセキュリティを最優先事項と考えていることを示しています。セキュリティ対策ツールを導入する以外に、企業はどのように従業員、資産、インフラストラクチャを保護できるのでしょうか。

従来は、内部ネットワークを「信頼できるもの」、外部ネットワークを「信頼できないもの」とみなしてきました。ゼロトラストは、こうした考え方に疑問を投げかけるセキュリティ戦略です。企業は、従業員からサプライヤーに至るまで、場所やデバイス、ネットワークに関係なく、安全にアクセスを許可するための信頼関係を構築する必要があります。この戦略で起点となるのが、安全なアイデンティティの確立です。

現代のサイバーセキュリティにおけるアイデンティティ管理の重要性は、ほとんどの企業が理解しています。しかし、進化し続ける脅威情勢の中で自社の取り組み状況を評価するのは容易ではありません。

Oktaは、数千社のお客様から得たパターンやベストプラクティスに基づき、アイデンティティ成熟度モデルを開発しました。このモデルは、ゼロトラストの取り組みを4つのステージに分けて説明し、企業がアイデンティティ管理の目標に向かって前進するための指針を提供します。Oktaのアイデンティティの成熟に向けたガイドで、自社がどのステージにあるかをご確認ください。