AAL（認証保証レベル）とは？セキュリティ担当者必見、適切な認証の見極め方

情報システム部門の皆様は、常に「セキュリティ強化」と「ユーザーの利便性」という二律背反の課題に直面していることと思います。強固なセキュリティを追求すればするほど現場の業務プロセスが複雑になり、ユーザーからの不満やシャドーITの発生リスクが高まります。しかし、バランスを曖昧にしたままではシステムごとに認証方式が乱立し、運用負荷の増大や、万一のインシデント発生時の経営層への説明責任を果たせなくなります。

本記事では、この困難な課題に対する指針として、「AAL（認証保証レベル）」の活用方法を深く掘り下げてご紹介します。AALは、どのシステムに、どの程度の強度の認証を導入すべきかという具体的な疑問に答えるための客観的な「ものさし」です。

AALを理解することで、セキュリティ要件と利便性の最適なバランスを見極め、合理的な根拠に基づいた認証戦略を策定することが可能になります。ぜひ最後までお読みいただき、貴社の認証基盤の強化にお役立てください。

現代のビジネス環境は、クラウドサービスの普及やリモートワークの常態化により、企業のネットワーク境界が曖昧になる「ゼロトラスト」時代へと移行しています。これにより、従来の「境界防御（VPNやファイアウォール）」だけではセキュリティを維持することが難しくなり、どこからアクセスしても安全であることを保証する「認証（アイデンティティ）」の重要性が飛躍的に高まっています。

また、サイバー攻撃は日々巧妙化しています。特にアカウント乗っ取りやフィッシング攻撃は、企業の機密情報への不正アクセスを許す主要な経路です。これらの脅威に対抗するためには、管理者の勘や経験ではなく、客観的な基準に基づいた認証強度を定義し、組織全体で標準化されたセキュリティ対策を講じることが不可欠です。

さらに、2026年度末から本格開始が予定されている経済産業省の「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」など、国内でもサプライチェーン全体でのセキュリティ強化（多要素認証の徹底など）が強く求められるようになっています。認証強度を客観的に説明できるAALは、これらのコンプライアンスや監査要件をクリアするための強力な指標となります。

AAL（Authenticator Assurance Level：認証保証レベル）とは、ユーザーがシステムやサービスにアクセスする際に用いる認証方法の信頼性や強度を、客観的な基準で評価するための指標です。

AALの具体的な基準を定めているのが、米国国立標準技術研究所（NIST）が発行するデジタルアイデンティティガイドライン「NIST SP 800-63-4（最新の第4版）」です。

NISTのガイドラインは世界中の企業や政府機関で参照されており、AALはこのガイドラインにおいて「ユーザーが提示した認証要素（パスワード、生体情報など）が、本当にその本人によるものであることを、システムがどれだけ確実に保証できるか」を示す度合いとして定義されています。

NIST SP 800-63-4では、デジタルアイデンティティ管理を包括的に捉えるために、AALの他に「IAL」と「FAL」という2つの保証レベルを定めています。

IAL（Identity Assurance Level：本人確認の保証レベル）：
アカウントを発行する際、その人物が「誰か」をどれだけ厳格に確認できたか（例：オンラインの簡易登録か、対面での身分証確認か）を示します。

FAL（Federation Assurance Level：連携の保証レベル）：
異なるシステム間でID情報を連携（フェデレーション）する際（SSOなど）の、連携プロセスの信頼性やセキュリティレベルを指します。

IAL（身元確認）、AAL（本人認証）、FAL（連携の安全性）の3つを理解することで、アイデンティティライフサイクル全体をカバーする堅牢なセキュリティポリシーを構築できます。

AALには、セキュリティ強度に応じて3つのレベルが定義されています。近年、特に重視されているのが「フィッシング耐性（Phishing Resistance）」です。中間者攻撃（AitM）などにより、ワンタイムパスワード（TOTP）さえも窃取される事件が増加しているため、NISTでもフィッシング耐性を持つ認証方式（パスキーやFIDO2）が高く評価されています。

AAL1は、NISTが定める中で最もセキュリティ強度が低いレベルです。パスワードやPINコードなど、単一の要素だけで認証が完結します。

要件と具体例：

パスワードの長さを十分に確保すること。最新のNISTガイドラインでは、大文字・小文字・記号などの「複雑性の強要」はユーザーのパスワード使い回しを助長するため非推奨とされており、長さを優先することが求められます。具体例としては、機密データを一切扱わないテスト環境・デモ環境や、一般公開されている情報などに適用されます。

メリットとリスク：

導入が手軽で利便性が高い反面、フィッシング耐性は皆無であり、総当たり攻撃に対する脆弱性も高いため、現代の企業セキュリティにおいてはAAL1のみに依存するのは危険です。

AAL2は、現在の企業システムにおいて事実上の標準（ベストプラクティス）となっている重要なレベルです。「知識情報（パスワード等）」「所持情報（スマホ、トークン等）」「生体情報（指紋、顔等）」のうち、2つ以上の異なる要素を組み合わせる「多要素認証（MFA）」が必須とされます。

要件と具体例：

パスワード＋スマートフォンアプリ（TOTP）、またはフィッシング耐性を持つパスキー（Passkeys）の利用。VPN接続、Microsoft 365などのクラウドサービス、顧客情報を扱う基幹システムへのアクセスに必須とされます。

フィッシング耐性に関する注意点：

TOTPやプッシュ通知を用いたMFAはAAL2を満たしますが、高度なフィッシングサイトに誘導された場合、認証コードごと盗まれるリスクがあります。そのため、AAL2の中でも「フィッシング耐性のある認証（パスキーなど）」を選択することが推奨されます。

AAL3は、最も高いセキュリティ強度を要求するレベルです。多要素認証を基盤としつつ、さらに「耐タンパー性のある専用のハードウェアデバイス（認証器）」と「暗号技術（デジタル署名）」の使用が必須となります。

要件と具体例：

FIDO2対応の物理的なセキュリティキー（YubiKeyなど）やスマートカード（ICカード）の利用。システム特権管理者（root権限）のアクセスや、社会インフラ制御システム、厳格な電子契約システムなどに適用されます。

メリットとデメリット：

フィッシング攻撃などのオンライン脅威に対して高い耐性（Phishing Resistance）を持ちます。一方で、専用ハードウェアの購入・配布コストが高く、紛失時のリカバリー運用も重いため、適用するシステムは極めて限定的になります。

すべてのシステムに最高のセキュリティ（AAL3）を適用するのは非現実的です。過剰なセキュリティはコスト増と利便性低下を招き、結果としてシャドーITの温床になります。重要なのは、情報資産の価値に応じて認証レベルを最適に配置する「リスクベース認証」の考え方です。

1. 情報資産のリスクを評価する：
各データやシステムが漏洩・改ざんされた場合、ビジネスにどの程度の損害が生じるか（機密性・完全性・可用性）を「高・中・低」で評価します。

2. ユーザーとシステムの特性を考慮する：
「特権管理者か一般社員か」「社内ネットワークかリモート環境か」「クラウドかレガシーなオンプレミスシステムか」といった条件を考慮します。

3. バランスから適用レベルを決定する（モデルケース）：
・一般従業員の日常業務（ポータル等）： AAL1〜AAL2（SSO連携時はAAL2推奨）
・経理・人事の基幹システム： AAL2（MFA必須）
・システム特権管理者の作業： AAL3、または厳格なAAL2＋アクセス制御

AALの概念を理解しても、自社でゼロからAALに対応した認証システムを構築するのは至難の業です。特に、日本の企業に多い「古いオンプレミスシステム（レガシー環境）」と「最新のクラウド（SaaS）」が混在する環境では、システムごとの認証方式の違いが大きな障壁となります。

AALに準拠した認証基盤を効率的に実現する最適解が、IDaaS（Identity as a Service）の導入です。

しかし、外資系の主要なIDaaS製品の多くは「クラウド間（SaaS間）」の連携には強いものの、日本の大企業や文教機関に根強く残る複雑なオンプレミス環境や、レガシーなWebアプリケーションとの連携（代理認証など）には対応しきれないケースが多々あります。

国産のIDaaSプラットフォームである「SeciossLink（セシオスリンク）」は、クラウドサービス（SAML、OIDC等）だけでなく、既存のオンプレミス環境や複雑な社内システムもシームレスに統合できる「ハイブリッド環境対応」を強みとしています。

SeciossLinkを導入することで、以下の要件を一つのプラットフォームで実現できます。

・フィッシング耐性のあるMFAを標準装備：

ワンタイムパスワード（TOTP）や生体認証デバイス（FIDO2、パスキー）など、多様な認証方式を柔軟に組み合わせてAAL2/AAL3に準拠。

・リスクベース認証・アクセス制御：

「社外からのアクセスのみMFAを要求する」「特定のIPアドレスや証明書を持つ端末のみアクセスを許可する」といった、利便性とセキュリティを両立する柔軟なポリシー設定が可能。

・SIer様向けの柔軟なカスタマイズ性：

外資系製品では実現が難しい「顧客独自の複雑な権限管理」や「既存インフラとの連携要件」にも、開発陣直結の国産ベンダーならではのサポート力で対応します。

AALの適用範囲は、社内の従業員（EIAM）だけにとどまりません。ケーススタディにもあったように、取引先、外部パートナー、あるいは大学の卒業生といった「外部ユーザー」が自社のシステムにアクセスする際の認証強度（AAL）の確保も急務です。

セシオスでは、外部ユーザー向けのアイデンティティ管理に特化した「SeciossLink CIAM」も提供しています。一般的なCIAMがB2C（消費者向け）であるのに対し、セシオスのCIAMはB2B（企業間連携）や文教市場での厳格なアクセス制御に最適化されており、無駄のない「MAU（月間アクティブユーザー）課金」で大規模な認証基盤を低コストで構築できます。

AALは、情報資産のリスクと利便性のバランスを取りながら、合理的なセキュリティ投資を行うための「共通言語（ものさし）」です。

完璧を目指してすべてを最高レベルにするのではなく、自社のシステムの重要度を棚卸しし、「適切な場所（システム）に、適切なAALを配置する」ことが、現場の業務を妨げない堅牢なセキュリティの第一歩となります。

複雑なハイブリッド環境の統合や、SCS制度の要件（MFAの徹底）クリアに向けた認証基盤の刷新をご検討の際は、オンプレミスからゼロトラスト、外部ユーザー管理までを包括的にサポートする国産IDaaS「SeciossLink」にご相談ください。

[セシオスへのご相談はこちらから]