宮田健の「セキュリティの道も一歩から」（80）

「そのセキュリティ対策、オレは例外にしてくれない？」と言われても……（1/2 ページ）

「モノづくりに携わる人」だからこそ、もう無関心ではいられない情報セキュリティ対策の話。でも堅苦しい内容はちょっと苦手……という方に向けて、今日から使えるセキュリティ雑学・ネタをお届け！今回は熊本県立大学で発生したインシデントから、セキュリティ向上に協力してくれない人がいる際のセキュリティ対策を考察します。

公開 2022年12月26日 09時01分

更新 2023年12月11日 10時51分

著者

宮田健

[TechFactory]

印刷する連載新着通知を受け取る

　もはや「パスワード」はセキュリティ強化に何も寄与しない、くらいに思った方が良い時代が来たのかもしれません。漏えいしたパスワードをまとめている「Have I Been Pwned:」（私は取られてしまっている？というような意味）では収集されたパスワードの数を表示していますが、本稿執筆時点では640のサイトから、実に119億9388万5917のアカウントが漏えいしていることが確認されています。あなたのアカウントも既にどこかで漏れているかもしれません。パスワードそのものを確認するのは少々リスクがあるので、あなたのIDであるメールアドレスを入力してみてください。身をもってその現状を知ることができるはずです。パスワードを使い回していた場合、そのパスワードはもはや「公開情報」と考えても良いのかもしれません。

図1　“Pwned”とは、「取られた」を意味するスラング。スクロールしていくとこれまでそのメールアドレスで漏えいしたサービス一覧も表示される

Have I Been Pwned: Check if your email has been compromised in a data breach

　そのため、いま多くのサービスでは「二要素認証」と呼ばれる、パスワードだけに頼らない認証方法が多く利用されています。特に組織においてはもはや必須。これがあれば、パスワードという記憶に頼る（そして漏えいしている）情報だけでなく、その人しか持っていないモノを確認する所持情報を合わせてチェックでき、より厳格な本人認証が行えます。例えばこれは、「鍵を持っているか」「印鑑を持っているか」「免許証などの書類を持っているか」というものに近いでしょう。

特別扱いした結果……

　二要素認証とは、その人しか知らない「知識情報」、その人しか持っていない「所持情報」、その人の指紋や顔などを元にした「生体情報」のうち、2つを組み合わせて本人確認を行う方法です。最近ではほとんどの人がスマートフォンを“持っている”ため、それを所持情報として活用するのが一般的になりました。例えば、IDと知識情報である「パスワード」を使ってログインした後、スマートフォンをその人が持っている前提で、アプリによるワンタイムパスワードを入力させたり、リアルタイムでSMSに送信される数字を入力させたりします。これを行うことで、パスワードが漏れてしまっていたとしても、不正なログインを（それなりに）防ぐことができます。

　ですが、やはり二要素認証は難しい、めんどくさいと思われてしまうのは仕方ないこと。それに絡んだ事故もいくつか報告されるようになってしまいました。先日発表があったのは熊本県立大学の事案で、大学の名誉教授のメールアカウントが不正に利用された結果、情報が盗まれた可能性があるというものでした。

図2　熊本県立大学メールアカウントの不正利用事案

　この事件のポイントは、熊本県立大学は上記のような現状を理解しており、既に二要素認証を原則としていました。この点は非常に素晴らしいのですが、残念ながら今回の事案では「名誉教授においてはスマートフォンなどを所持していないことから申し出により除外していたこと、名誉教授のパスワードとして数桁の簡単なものが使用されていたこと、メールアカウント・パスワードが他のサイトで使用されていたことが重なったためと考えられる」という不運が重なっています。

図3　報告書から抜粋

　「スマートフォンを所持していないことから」除外という一文にはいろいろと考えさせられる点もあります。もしかしたら、皆さんの企業においても、経営層の一部にそういった方がいるかもしれません。ここまではまだ理解は可能ですが、その後の対処は確かに良くない部分もあります。では、こういった「スマホは持ちたくない」「二要素認証を原則としたい」そして「セキュリティ事故を起こしたくない」という条件を満たす対応が可能だったのでしょうか。自分ごととして考えてみましょう。

次ページへスマホなしで二要素認証を実現する方法

印刷する

宮田健の「セキュリティの道も一歩から」

「モノづくりに携わる人」だからこそ、もう無関心ではいられない情報セキュリティ対策の話。でも堅苦しい内容はちょっと苦手……という方に向けて、今日から使えるセキュリティ雑学・ネタをお届けします。

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

宮田健

＠IT記者を経て、現在はセキュリティに関するフリーライターとして活動する。エンタープライズ分野におけるセキュリティを追いかけつつ、普通の人にも興味を持ってもらえるためにはどうしたらいいか、日々模索を続けている。

「そのセキュリティ対策、オレは例外にしてくれない？」と言われても……（1/2 ページ）

特別扱いした結果……

宮田健の「セキュリティの道も一歩から」

この記事の著者

新着ホワイトペーパー PR