1. 継続的認証とは
継続的認証（Continuous Authentication）とは、ログインの瞬間だけでなく、利用している間ずっと、「本当に本人が使い続けているか」を継続的に確認し続けるという認証の考え方です。「一度ログインしたら、あとは自由」ではなく、セッション（利用中の状態）が続いている間も、繰り返し・継続的に本人性や安全性を検証します。
従来の認証は、ログイン時に一度だけ本人確認をし、それが通れば、以降はそのセッションを信頼し続けるものでした。しかし、この「入口で一度確認したら、あとは信頼する」というやり方には、大きな穴があります。継続的認証は、その穴をふさぐための考え方であり、ゼロトラストの「常に検証する」を、時間軸でも実現するものなのです。
2. なぜ「一度きりの認証」では不十分なのか
「ログイン時にしっかり認証すれば十分では？」と思うかもしれません。しかし、それだけでは守りきれない脅威があります。
- セッションハイジャック：攻撃者が、ログイン後の「セッション情報（クッキーなど）」を盗み、正規利用者になりすまして、認証を経ずにアクセスを乗っ取る手口。前述のリアルタイムフィッシングでも、このセッション窃取が使われます。
- 離席中の乗っ取り：ログインしたまま離席したPCを、第三者が操作する。
- 利用中の状況変化：ログイン後に、突然おかしな場所からアクセスが始まる、大量のデータをダウンロードし始めるなど、途中から不審な挙動になる。
これらに共通するのは、「ログイン時は正規でも、その後になりすまし・不正が起きる」点です。入口で一度確認しただけでは、こうした「ログイン後」の脅威を捉えられません。だからこそ、利用中も継続的に確認し続ける、継続的認証が必要になるのです。
3. 継続的認証の仕組みとリスクベース認証
継続的認証は、利用中の様々な「シグナル（兆候）」を、継続的に監視・評価することで実現します。評価する要素の例は次の通りです。
| 評価するシグナル | 例 |
|---|---|
| 場所・ネットワーク | 普段と違う国・IPアドレスからのアクセス |
| デバイスの状態 | 管理外の端末、セキュリティ状態が悪化した端末 |
| 行動パターン | 普段と異なる操作、不自然なデータアクセス |
| 時間帯 | 通常業務時間外の不審なアクセス |
これらを継続的に評価し、リスクが高まったと判断したときに、追加の認証を求めたり、アクセスを制限・遮断したりする——これが継続的認証の実際の動き方です。この「リスクの高さに応じて認証の強度を変える」考え方を、リスクベース認証（アダプティブ認証）と呼びます。普段通りの安全な状況ならスムーズに、怪しい状況なら厳格に。利便性とセキュリティを両立させる、賢い仕組みです。
4. ゼロトラストにおける継続的認証の役割
継続的認証は、ゼロトラストの「常に検証する（Always Verify）」を、まさに体現する仕組みです。ゼロトラストは、一度の確認で信頼を固定せず、アクセスのたび、状況の変化のたびに検証を続けます。継続的認証は、この「検証を続ける」を、セッションの時間軸に沿って実装したものと言えます。
米国NISTのゼロトラスト・アーキテクチャ（SP 800-207）でも、認証と認可は「一度きり」ではなく、継続的に行われるべきものとされています。ゼロトラストを本気で目指すなら、ログイン時の認証だけでなく、この継続的認証まで視野に入れることが求められます。ゼロトラスト全体の考え方はゼロトラストとはもご覧ください。
5. 継続的認証の土台——強い最初の認証
継続的認証は強力な仕組みですが、それが真価を発揮するには、大前提となる「最初の認証」が強くなければならないことを、強調しておきます。
継続的認証は、いわば「入室後も監視カメラで見張り続ける」仕組みです。しかし、そもそも入口（最初のログイン）が、盗まれたパスワードで簡単に突破されてしまうなら、監視の負担は増すばかりです。まず入口を強固にし、なりすましでの侵入自体を防いだうえで、継続的認証で「万一の途中の異変」を捉える——この二段構えが理想です。
そして、その「強い最初の認証」の到達点が、フィッシングに強いパスワードレス認証（FIDO2/パスキー）です。パスワードレスなら、盗めるパスワードもコードも存在せず、なりすましでの侵入を原理的に封じられます。さらに、前述のセッションハイジャックの起点となる「リアルタイムフィッシング」も、FIDO2なら成立しません。つまり、パスワードレスは、継続的認証が守るべき「入口」を、最初から極めて堅牢にするのです。米国NISTをはじめ世界のガイドラインが最終的に求める認証も、このパスワードレスです。継続的認証という「守り続ける仕組み」を、強い認証という「堅牢な入口」の上に築く。これが、ゼロトラストの完成形なのです。
6. まとめ
継続的認証（Continuous Authentication）とは、ログイン時の一度きりではなく、利用中も継続的に本人性と安全性を確認し続ける考え方です。セッションハイジャックや離席中の乗っ取り、利用中の状況変化といった「ログイン後」の脅威を捉えるために必要で、リスクベース認証（アダプティブ認証）として実装されます。これは、ゼロトラストの「常に検証する」を時間軸で体現するものです。
そして、継続的認証が真価を発揮する土台は、強い「最初の認証」です。その到達点が、フィッシングに強く、なりすましを原理的に封じるパスワードレス認証（FIDO2/パスキー）です。世界のガイドラインが最終的に求めるのも、このパスワードレスです。堅牢な入口の上に、守り続ける仕組みを築く——ゼロトラストを目指すなら、まず自社の認証を見直し、パスワードレスを土台に据えることから始めましょう。進め方でお困りなら、専門家にご相談ください。