保険顧客ポータル向けパスキー導入ガイド

1. はじめに#

保険顧客ポータルは、同時に複数の方向から圧力を受けています。アカウント乗っ取り（ATO）のリスクが高まり、SMS OTPの大規模運用はコストがかさみ、パスワードやMFAの失敗による影響はコールセンターが吸収しなければならず、さらに規制当局からはフィッシング耐性のあるMFAがますます求められています。このような背景から、保険はパスキーの顧客認証における最も明確なユースケースの1つとなっています。

本記事の内容:

1. 保険ポータルがパスキーの強力なユースケースである理由 ATOリスク、高コストなOTPフロー、不正検知の遅れ、そして高まる規制圧力。
2. パスキーと従来の認証方法の比較 SMS OTP、電子メールOTP、TOTP、デバイストラストにおける、セキュリティ、UX、コンプライアンス、コストの観点での比較。
3. 保険会社の導入において何が異なるのか レガシーCIAM、マルチブランドのポータルアーキテクチャ、代理店と契約者のフローの違い、そして地域的な規制。
4. 保険会社が実践的な運用モデルでパスキーを導入する方法 何を測定すべきか、成熟度モデルをどう活用するか、そしてOTP中心のログインからフィッシング耐性のあるMFAへどう移行するか。
5. パスキーがデジタル導入とセルフサービスへの移行をどう促進するか CレベルおよびVPレベルのリーダー向けの戦略的根拠：チャネルシフト、コールセンターの呼量削減、および認証のオブザーバビリティとビジネス成果の結びつけ。

2. なぜ保険顧客ポータルはアカウント乗っ取りの主要な標的になるのか？#

保険の顧客ポータルは非常に機密性の高い個人情報を保持しているにもかかわらず、脆弱なログインセキュリティに依存していることがよくあります。そのため、クレデンシャルベースの攻撃の自然な標的となります。契約者のアカウントには、社会保障番号、銀行の口座情報、健康記録、請求履歴が含まれています。これらはすべて、個人情報の窃取や不正な保険金請求を通じて現金化される可能性があります。

トランザクションの監視によってリアルタイムで不正が検知される銀行ポータルとは異なり、保険の不正は表面化するまでに数週間から数か月かかることがよくあります。契約者のアカウントへのアクセスを得た攻撃者は、保険会社が侵害を検知するずっと前に、受取人の変更、不正な保険金請求の提出、個人情報の持ち出しなどを行うことができます。

問題の規模:

• フロントドアでのクレデンシャルスタッフィング: NYDFSは2025年10月、公開されている見積もりシステムでMFAを強制しなかったという理由で、自動車保険会社8社に合計1,900万米ドルの罰金を科しました。攻撃者はクレデンシャルスタッフィングを使用して、機密性の高いドライバーデータに大量にアクセスしました。
• SMS OTPは高価で脆弱: 保険会社の規模（数百万の契約者）では、SMS OTPの配信コストは急速に膨れ上がります。月に1,000万件のOTPを送信する保険会社の場合、1メッセージ0.03米ドルとすると年間360万米ドルの費用がかかります。これは100%の配信成功を前提としています。実際には、キャリアのフィルタリング、番号ポータビリティ、国際ローミングにより、OTPの5〜15%が届かず、配信が失敗するたびにサポートへの問い合わせが発生する可能性があります。
• パスワードリセットによるコールセンターの負荷: 保険のコールセンターはすでに複雑な請求や契約の問い合わせに対応しています。ここにパスワードのリセットやMFAのトラブルシューティングが加わると、エージェントの時間が収益を生む活動から奪われてしまいます。業界の推定では、消費者向けの金融サービスにおける総コールセンター業務量のうち、認証関連の問い合わせが20〜40%を占めるとされています。
• 強まる規制圧力: NYDFSにとどまらず、FTCセーフガード規則は2023年6月以降、銀行以外の金融機関に対してMFAを義務付けており、NAIC保険データセキュリティモデル法（25以上の州で採用）はすべてのライセンシーに対してリスクベースのMFAを義務付けています。

価値の高いデータ、不正検知の遅れ、上昇するOTPコスト、そして厳格化する規制はすべて同じ方向を示しています。つまり、保険ポータルにはフィッシング耐性のある認証が緊急に必要だということです。

3. 保険ポータルにおいて、パスキーはSMS OTP、電子メールOTP、TOTP、デバイストラストと比べてどうですか？#

適切な認証方法を選択することは、セキュリティ、ユーザーエクスペリエンス（UX）、リカバリ、展開の複雑さ、サポート負担、コンプライアンス要件への対応、そして大規模環境でのコストを比較検討することを意味します。以下の表は、各オプションの比較をまとめたものです。

結論: パスキーは、セキュリティ、UX、サポート負担、コンプライアンス、大規模環境でのコストのすべてにおいて最も高い評価を得る唯一のオプションです。トレードオフとして展開が複雑になりますが、これは一時的な投資であり、導入が進むにつれて元が取れます。

4. 保険会社におけるパスキーの展開は何が違うのか？#

保険におけるパスキーの展開は、銀行やSaaSでの展開とは異なります。保険会社は、レガシーインフラストラクチャ、マルチブランドの複雑さ、多様なユーザー層、そして実装のあらゆる決定に影響を与える多層的な規制要件に対処しなければなりません。

4.1 レガシーCIAMプラットフォーム#

多くの大手保険会社は、Ping Identity、ForgeRock、OktaなどのエンタープライズCIAMプラットフォームで消費者IDを管理しています。これらのプラットフォームは現在、プロトコルレベルでFIDO2/WebAuthnをサポートしていますが、そのサポートはバックエンドのセレモニーのみをカバーしています。導入層（登録の促し、デバイスを認識するプロンプト、エラー処理、クライアントサイドのテレメトリ）が不足しているか、大規模なカスタム開発を必要とします。

これにより、銀行の展開で見られたのと同じ「1%の罠」が生じます。つまり、IdPのチェックボックスはオンになっていても、契約者をパスワードからパスキーに移行させるプロダクトジャーニーを誰も構築していないため、導入が停滞してしまうのです。

4.2 マルチブランドのポータルとrpID戦略#

一般的な大手保険会社は、自動車、住宅、生命、専門保険などの商品を扱っており、これらは別々のサブドメインや、M&Aによって取得した別々のドメインで運営されていることがよくあります。パスキーはオリジンに紐づくため、auto.insurer.comで作成されたクレデンシャルは、両者が同じRelying Party ID（rpID）を共有しない限り、life.insurer.comでは機能しません。

解決策:

• パスキーの作業を開始する前に、親ドメイン（例: insurergroup.com）をアンカーとする単一のrpIDを定義する。
• すべての認証を、この共有rpIDを使用する一元化されたSSOレイヤー（OIDC/SAML）経由でルーティングする。
• レガシードメインをすぐに統合できない場合は、Related Originsを使用して再登録を強制することなくギャップを埋める。

4.3 代理店と契約者のフロー#

保険業界には、同じバックエンドシステムにアクセスする2つの大きく異なるユーザー層が存在します。

Branch Insuranceはこのアプローチを実践しました。彼らは（頻度が高く、より管理された環境にある）代理店から開始し、25%の初期導入率を達成してから契約者に拡大しました。代理店から始めることで社内の自信を深め、デバイス固有の問題を早期に浮き彫りにしました。

4.4 地域的なコンプライアンスの状況#

保険の認証は米国の規制問題だけにとどまりません。具体的な規則は市場によって異なりますが、方向性は一貫しています。すなわち、ID管理の強化、MFAカバレッジの拡大、そして顧客向けデジタルチャネルに対する監視の強化です。

• 米国: NYDFS Part 500は、ニューヨーク州で免許を受けた保険会社を含む対象企業に対し、2025年11月までに包括的なMFAを義務付けています。NYDFSはSMS OTPを脆弱であると明示し、フィッシング耐性のある代替手段を推奨しています。NAIC保険データセキュリティモデル法は、25以上の州でリスクベースのMFAを推進しており、FTCセーフガード規則は、一部の非銀行金融機関および仲介業者に対してMFAを義務付けています。
• EU: DORA（デジタルオペレーショナルレジリエンス法）は2025年1月17日に適用が開始され、EU全域の保険会社に適用されます。DORAは単なるMFAの規則よりも広範ですが、ICTリスク管理、インシデント報告、レジリエンステスト、そして顧客向けシステムのサードパーティによる監視に対する基準を引き上げています。
• オーストラリア: APRA CPS 234は、保険会社およびその他のAPRA規制対象企業に対し、リスクに見合った情報セキュリティ管理を求めています。APRAの2023年のMFAガイダンスは、特権アクセス、リモートアクセス、およびリスクの高い活動に対する認証の強化を明確に求めており、契約者に影響を与える重大なMFAの欠如は報告対象となるセキュリティ上の弱点に該当する可能性があると指摘しています。
• カナダ: OSFIガイドラインB-13は、保険会社を含む連邦政府の規制対象金融機関に適用されます。OSFIは、外部向けチャネルや特権アカウント全体でMFAを含むリスクベースのIDおよびアクセス管理を導入すべきであると述べています。

複数の地域で事業を展開する保険会社にとって、実用的な結論はシンプルです。適用される最も厳しい規制に対応できるよう顧客認証を設計することです。共通する方向性は、SMS OTPへの依存を続けるのではなく、リスクベースでよりフィッシング耐性のあるMFAへ移行することです。

5. パスキー導入の前後で保険会社は何を測定すべきか？#

クライアントサイドのテレメトリなしでパスキーを展開するのは、引き受けデータなしで保険証券を発行するようなものです。コールセンターがパンクするまで、どこで、誰に対して、何が失敗しているのか分かりません。保険会社が扱う契約者の属性が多様であることを考えると、銀行の展開で見られた「ブラインドロールアウト」の失敗はここでも同様に当てはまります。

少なくとも、保険会社は以下の3つのビジネス上の成果を測定すべきです。

• ログイン成功率: パスキー導入後、契約者や代理店はより確実にサインインを完了しているか？
• 登録率: ユーザーは実際にパスキーを作成しているか？それとも最初のプロンプトの後に導入が停滞しているか？
• フォールバックとサポート件数: ユーザーはSMSやパスワードのリカバリに戻ってしまっていないか？認証関連のサポートチケットは減少しているか？

これら3つの数字が正しい方向に向かっていれば、展開は機能しています。そうでない場合は、さらに拡大する前にプロンプトのタイミング、フォールバックの設計、デバイスのサポート範囲、またはユーザーへの教育を調整する必要があります。

5.1 一般的なログインよりも、請求やアカウント変更のジャーニーが重要である#

保険のポータルは、単なる「ログインして残高を確認する」だけの体験ではありません。最もリスクの高い瞬間は、契約者が請求を行う、支払い情報を変更する、住所を更新する、ドライバーを追加する、受取人を変更する、機密性の高いドキュメントにアクセスするといったタイミングで発生します。これらのジャーニーを一般的なログインのKPIにひとまとめにするべきではありません。

したがって、保険会社は高リスクなアカウントイベントごとにパスキーのパフォーマンスを分けて追跡すべきです。全体的なログイン成功率が良く見えても、請求関連や支払い関連のジャーニーが依然としてSMSや手動リカバリにフォールバックしている場合、導入は最も重要な部分で実際にオペレーショナルリスクを軽減しているとは言えません。これが、保険とより頻繁に使用される消費者向けアプリとの最大の違いの1つです。

5.2 ログイン頻度が低い場合、導入戦略は変わる#

多くの契約者は、更新時、請求の問題発生時、または保険金請求を行う時など、年に数回しかログインしません。そのため、保険におけるパスキーの導入は、毎日使用する製品とは根本的に異なります。プロンプトを表示し、教育し、最初の悪い体験から回復させる機会が少ないのです。

だからこそ、保険会社は全体としてだけでなく、ジャーニーごとに登録を測定すべきです。支払いや請求状況の確認が成功した後に表示されるプロンプトは、前回のセッションから数か月経過した最初のログイン画面でのコールドプロンプトよりもはるかに高いコンバージョン率を示す可能性があります。保険業界において、最適な導入のタイミングは通常、ログイン頻度ではなく、信頼とタスクの完了に結びついています。

6. 保険認証成熟度モデルとは何か？#

この4つのレベルからなるフレームワークは、保険会社が自社の現在の認証状況をベンチマークし、目標となるマイルストーンを設定し、取締役会、規制当局、監査人に進捗状況を報告するための方法を提供します。各レベルは前のレベルに基づいて構築されます。

以下の図は、4つの成熟度レベルを、SMSのみの状態から完全なオブザーバビリティまでの進展として視覚化したものです。

このモデルの活用方法:

1. 評価: すべての顧客向けポータルにおいて、認証方法、テレメトリの適用範囲、コンプライアンスのギャップを監査することで、現在のレベルを特定します。
2. 目標設定: 少なくともレベル3に到達するための12〜18か月のロードマップを設定します。NYDFSの監督下にある保険会社は、CEOとCISOの二重認証要件をサポートするためにレベル4を目標とすべきです。
3. コミュニケーション: 場当たり的な改善ではなく、構造化された進捗を示すために、取締役会へのプレゼンテーションや規制当局への提出資料にこのモデルを活用します。

7. パスキーがどのようにデジタル導入とセルフサービスへの移行を促進するか#

ほとんどの保険会社の幹部は、認証をIT部門の課題として扱っています。それは間違いです。コールセンターや支店からデジタルセルフサービスへの契約者の移行を戦略的課題に含めているCレベルやVPレベルのリーダーにとって、認証はそれを阻む最大の摩擦要因です。

7.1 認証はすべてのデジタルイニシアチブの入り口である#

セルフサービスの保険金請求、オンラインでの契約変更、デジタル支払い、電子署名のワークフローなど、すべてのデジタル保険のイニシアチブはログインから始まります。契約者がこの入り口を確実に通過できなければ、下流の投資はどれもROIをもたらしません。

データは明確です：

• **消費者の43%**が、ログインの管理がオンラインサービスを利用する意欲に影響を与えると回答しています。
• 64%が、アカウントを作成しなければならない、またはログインできないという理由で購入を放棄したことがあります。
• **消費者の60%**が、保険、年金、住宅ローンのポータルをナビゲートするのが難しいと感じており、ログインが最初で最も一般的な失敗のポイントとなっています。
• 保険会社とのやり取りにおいてデジタルチャネルを好むと答えた**保険顧客はわずか20%**です。その大きな理由は、認証をはじめとする体験が銀行や小売業のアプリよりも劣っているためです。

以下の図は、これら4つのデータポイントがどのように組み合わさって、単一の導入を阻害するパターンを形成しているかを示しています。

ポータルの再設計、チャットボット、デジタルの請求ワークフローに何百万ドルも費やしている保険会社にとって、パスワードとSMS OTPによるログイン体験は投資全体を台無しにします。ログインに失敗したり、フラストレーションで諦めたりした契約者は、結局コールセンターに電話したり支店を訪問したりします。これらはまさに、デジタル戦略で置き換えるはずだった高コストのチャネルです。

7.2 セルフサービスへの移行を定量化する#

契約者を人間のサポートによるチャネルからデジタルのセルフサービスに移行させることは、保険業界において最も影響力の大きいコスト削減戦略の1つです。

• **電話での対応には1回あたり8～15米ドル**のコストがかかるのに対し、セルフサービスでは1米ドル未満です。保険会社の規模では、電話からデジタルへのチャネルシフトが10%進むだけでも、年間で数百万ドルの節約になります。
• ポータルユーザーは非ポータルユーザーと比較して契約をキャンセルする可能性が12%低くなります。マルチチャネルを利用するユーザーは、25%高い定着率を示しています。
• デジタルセルフサービスを展開する保険会社は、15～25%のサービスコスト削減と、30%低い請求処理コストを報告しています。
• 保険顧客の82%は電話をせずに問題を解決したいと考えていますが、十分なセルフサービスツールがあると報告しているのはわずか56%です。認証の摩擦がこのギャップをさらに広げています。

以下のグラフは、これらの経済性がチャネル間でどのように比較されるかを示しています。

パスキーは、顧客の意図と実際のポータル利用の間のギャップに直接対処します。5〜15%の確率で失敗するパスワードとOTPのフローの代わりに、生体認証による確認によってログインが2秒未満で完了すれば、電話をかける代わりにデジタルジャーニーを完了する契約者が増えます。

7.3 Corbadoのオブザーバビリティが独自に明らかにするデジタル導入の真実#

ほとんどの保険会社は、自社のデジタル導入率が目標よりも低いことを知っています。しかし、彼らが答えられないのは**「なぜか」**ということです。デバイスの互換性の問題なのか？登録フローの摩擦なのか？パスキーが警告なしに失敗する特定のOSやブラウザがあるのか？プロンプトがまったく表示されない特定のユーザー層がいるのか？

ここで、Corbadoの認証オブザーバビリティが市場の他のツールにはないものを提供します。それは、認証テレメトリをデジタル導入率、セルフサービスの完了率、チャネルの移行といったビジネス指標に直接結びつける機能です。

Corbadoは以下のことを明らかにします：

• 契約者が認証ファネルのどこで離脱しているか - 単なる「ログイン失敗」ではなく、どのセレモニー段階で、どのデバイスで、どのユーザーセグメントで失敗したか。
• どのコホートがレガシーな手法に行き詰まっているか - 例えば、Androidを使用している60歳以上の契約者が、デバイスが非対応であるためにパスキーのプロンプトを一度も見ることなく、SMSへ、そして最終的にコールセンターへと静かにルーティングされていること。
• 認証の成功とデジタルエンゲージメントの直接的な関連性 - ログイン成功率が10パーセントポイント向上した場合、ポータルのセルフサービス利用はどれだけ増加するのか？コールセンターへの電話はどれだけ減るのか？

取締役会でプレゼンテーションを行うCIOやデジタル担当SVPにとって、これは「パスキーを導入した」という話を「パスキーによってデジタルのセルフサービス導入がX%増加し、コールセンターの呼量がY%減少し、四半期あたりZドルの節約になった」という話に変えます。これこそが、投資を正当化し、より広範なデジタル変革のロードマップを加速させる戦略的シナリオなのです。

8. Corbadoが保険会社のパスキー導入をどのように支援するか#

ほとんどの保険会社は、すでにWebAuthnセレモニーを処理できるCIAMプラットフォーム（Ping、ForgeRock、Oktaなど）を導入しています。彼らに欠けているのは、「パスキーをサポートしている」状態から「契約者の50%がパスキーを使用している」状態へと変える導入レイヤーです。Corbadoはそのレイヤーを提供します。

8.1 導入エンジン#

Corbadoの構築済みUIコンポーネントと判定ロジックは、CIAMプラットフォームがカスタム開発に委ねている登録ジャーニーを処理します。

• コンテキストに応じた登録プロンプトは、アカウント設定の奥深くに埋もれるのではなく、信頼性の高い瞬間（MFAのチェックが成功した直後など）に表示されます。
• 段階的な緊急性により、ほとんどの保険会社が必要とする12〜18か月の導入曲線に合わせて、「任意（Optional）」の通知から「推奨（Recommended）」、そして「必須（Mandatory）」へと設定可能なタイムラインに沿って移行します。
• A/Bテストを利用して登録メッセージ、タイミング、配置を検証し、様々な契約者セグメントや製品ラインにわたってコンバージョン率を最適化します。

8.2 デバイスインテリジェンス#

Corbadoは、デバイスレベルのパスキー互換性のマトリクスを継続的に更新して維持します。

• 特定のSamsungモデルでパスキーの実装に不具合がある場合、Corbadoは自動的にプロンプトを抑制し、フラストレーションを与えることなくフォールバックへとユーザーをルーティングします。
• Passkey Intelligenceは、プロンプトを表示する前にデバイスの機能を検出し、サポートが急増する原因となる「操作が中断されました（Operation Interrupted）」というエラーを防ぎます。
• 保険業界特有のデバイスの多様性（退職者が使用する古いタブレット、代理店の共有ワークステーション、企業が管理するノートPCなど）は、設定可能なトラストポリシーを通じて処理されます。

8.3 スマートフォールバック#

Corbadoは、デバイスや環境がパスキーの準備ができていない場合に、ユーザーを代わりの手段にインテリジェントにルーティングすることで、永久的なロックアウトを防ぎます。

• 非対応デバイスの契約者にはエラー画面ではなく、次善の手段へのスムーズな移行が表示されます。
• 本人確認（eKYC、IDスキャン + ライブネス）を使用したリカバリフローにより、コールセンターを介さずに再登録が可能になります。
• 代理店固有のフォールバックポリシーは、ハイブリッド（QRコード）フローをブロックする共有ワークステーションや企業のプロキシ環境に対応します。

8.4 フォレンジックテレメトリ#

Corbadoは、サーバーサイドのCIAMログでは提供できない「X線ビジョン」を提供します。

• デバイストラストダッシュボードは、パスキーの種類、デバイスの分類、およびSCA要素の適用範囲ごとに成功率を表示します。
• リアルタイムの異常検知は、セキュリティインシデントになる前に異常なパターン（共有デバイスの急増、不審な環境からの登録など）をフラグ付けします。
• 監査対応のレポートは、NYDFSの年次証明、NAICの審査、社内の取締役会への報告に必要なデータをCISOに提供します。

Corbadoは既存のCIAMスタックを置き換えるものではありません。その前に配置され、デバイスの断片化、ユーザー教育、運用の可視性といった現実世界の複雑さを処理し、パスキー投資がROIを生み出すか、それとも1%未満の導入率で停滞するかを決定づけます。

9. 結論#

保険の顧客ポータルは、同時に複数の方向から圧力を受けています。増大するATO攻撃、高コストなSMS OTPインフラストラクチャ、パスワードリセットによるコールセンターの過負荷、米国、EU、オーストラリア、カナダにまたがる規制要件の厳格化、そして高コストな人的チャネルからデジタルセルフサービスへ契約者を移行させる戦略的義務です。パスキーは、フィッシングされやすいクレデンシャルを排除し、認証ごとのコストを取り除き、サポートの負担を軽減し、より強力なMFAへの移行と歩調を合わせ、デジタル導入を阻むログインの摩擦を取り除くことで、これら5つのすべてに対処します。

Aflac（50万件の登録、成功率96%）、Branch Insurance（チケットの50%減少）、HealthEquity（オプトアウトなしの義務的な展開）は、大規模な導入が機能することをすでに証明しています。鍵となるのは、パスキーをインフラストラクチャのチェックボックスとしてではなく、プロダクトジャーニーとして扱うことです。登録フローに投資し、クライアントに計測を実装し、フォールバックを計画し、認証のパフォーマンスを取締役会が実際に気にかけるビジネス指標（デジタル導入率、コールセンターの呼量削減、セルフサービスの完了）に結びつけるテレメトリを構築してください。

保険認証成熟度モデルを使用して現在の体制をベンチマークし、12〜18か月の目標を設定し、取締役会や規制当局に対して構造化された進捗を報告してください。

Corbadoについて

Corbadoは、大規模なconsumer認証を運用するCIAMチームのためのPasskey Intelligence Platformです。IDPのログや一般的なanalyticsツールでは見えないものを可視化します。どのデバイス、OSバージョン、ブラウザ、credential managerがpasskeyに対応しているか、なぜ登録がログインにつながらないのか、WebAuthnフローのどこで失敗するか、OSやブラウザのアップデートがいつ静かにログインを壊すか — Okta、Auth0、Ping、Cognito、あるいは自社IDPを置き換えることなく、すべてを把握できます。2つのプロダクト：Corbado Observeは passkeyとその他あらゆるログイン方式のobservabilityを提供します。Corbado Connectは analytics内蔵のmanaged passkeyを追加します（既存のIDPと併用）。VicRoadsはCorbadoで500万人超のユーザーにpasskeyを提供しています（passkey有効化率+80%）。 Passkeyエキスパートに相談する →

よくある質問（FAQ）#

パスキーは保険顧客ポータルのアカウント乗っ取りリスクをどのように軽減しますか？#

パスキーは保険会社のドメインに紐づいた公開鍵・秘密鍵暗号を使用するため、パスワードやSMS OTPフローで問題となるフィッシング、クレデンシャルスタッフィング、SIMスワップ攻撃の影響を受けません。Aflacはパスキー導入後に96%のログイン成功率を報告し、Branch Insuranceはサポートチケットが約50%減少したことを確認しました。認証中に共有シークレットが送信されないため、攻撃者がネットワークを制御していても再利用可能な認証情報を収集することはできません。

保険顧客ポータルの認証要件を形成するコンプライアンスの枠組みにはどのようなものがあり、パスキーはどのように役立ちますか？#

米国では、NYDFS Part 500、FTCセーフガード規則、NAIC保険データセキュリティモデル法などが保険会社に強力なMFAの導入を促しています。米国以外では、EUの保険会社はDORA、オーストラリアの保険会社はAPRA CPS 234、カナダの保険会社はOSFIガイドラインB-13の対象となり、これらすべてが顧客向けシステムの認証制御に対する要件を引き上げています。パスキーは、脆弱なSMS OTPフローへの依存を減らしつつ、FIDO2/WebAuthn暗号化クレデンシャルによるフィッシング耐性のあるMFAを提供するため、これらの要件を満たすのに役立ちます。

保険ポータルの認証において、パスキーはSMS OTP、TOTP、デバイストラストと比べてどうですか？#

SMS OTPは大規模環境では1メッセージあたり0.01～0.05米ドルのコストがかかり、SIMスワップやフィッシングに脆弱で、配信の失敗によりコールセンターに高い負荷をもたらします。TOTPアプリはメッセージ単位のコストを排除しますが、依然としてフィッシングの対象となり、コードの手動入力が必要です。デバイストラストは既知のデバイスでの摩擦を減らしますが、フィッシング耐性はありません。パスキーは、フィッシング耐性のあるセキュリティ、認証ごとのコストゼロ、2秒未満のログイン時間を兼ね備えており、セキュリティ、UX、コスト、コンプライアンスの各側面で最も高い評価を得る唯一の手法です。

保険会社におけるパスキーの展開は、銀行やSaaS企業と何が違うのですか？#

保険会社は、自動車、住宅、生命保険の商品が別々のサブドメインで稼働しているマルチブランドポータルの複雑さに直面しており、統一されたrpID戦略が必要となります。Ping、ForgeRock、OktaなどのレガシーCIAMプラットフォームはバックエンドのWebAuthnを処理しますが、導入のためのツールは限られています。代理店と契約者のフローでは、異なる信頼レベルとデバイスプロファイルが必要です。規制の圧力も複数の管轄区域に及びます。米国の保険会社はNYDFS Part 500、NAICモデル法、FTCセーフガード規則に直面し、EUの保険会社はDORAの対象となり、オーストラリアの保険会社はAPRA CPS 234、カナダの保険会社はOSFIガイドラインB-13に従う必要があります。そのため、適用される最も厳しい基準を満たす展開計画が求められます。

保険認証成熟度モデルとは何ですか？保険会社はそれをどのように使用して進捗をベンチマークできますか？#

保険認証成熟度モデルは4つのレベルを定義しています。レベル1（SMSのみ）は単一要素OTPでフィッシング耐性なし。レベル2（MFA対応）はパスワードとSMSまたはTOTPによるMFA対応で基本的なコンプライアンスを満たす状態。レベル3（フィッシング耐性あり）はパスキーが展開され、登録が保護され、スマートフォールバックを備えた状態。レベル4（フィッシング耐性 + オブザーバビリティ）は、完全なテレメトリ、デバイストラスト、継続的監視を備えた状態です。保険会社はこのモデルを使用して現在のレベルを特定し、目標となるマイルストーンを設定し、取締役会や規制当局に進捗状況を報告することができます。