宮田健の「セキュリティの道も一歩から」（85）

セキュリティの風向き、あなたから変えてみませんか？（1/2 ページ）

「モノづくりに携わる人」だからこそ、もう無関心ではいられない情報セキュリティ対策の話。今回は、セキュリティ対策は組織の中の個人＝“あなた”から変えていきましょう、ということで、個人でいますぐできるセキュリティ向上策について紹介します。

公開 2023年05月25日 09時01分

更新 2023年11月24日 15時35分

著者

宮田健

[TechFactory]

印刷する連載新着通知を受け取る

　先日、IBMの調査により、「2022年、日本で最も攻撃された業種は製造業である」（関連記事）という結果が発表されました。この一文だけではピンとこないかもしれませんが、この背景には2022年にあの「Emotet」が大流行したこと、そして製造業は他の業種に比べ、国内、国外に展開する事業所が多いことから、ばらまき型のサイバー攻撃が着弾、被弾する可能性が高く、結果としてこのような統計が出てくると解説がありました。そう言われると、この結果にもなるほどと思えるのではないでしょうか。

　傾向として、引き続き製造業はセキュリティを強化すべき業種として、セキュリティベンダーがアラートを上げていることには間違いはありません。個人的には製造業はこれまでもかなり頑張っているエリアだとは思っていますが、まだまだやるべきことはあります。DXやスマートファクトリーが注目されている業種ではあるものの、多くの現場では傾向として一気に環境や方式を変更できないという実情はあるでしょう。それでもできることはあります。まずは、組織の中の個人、つまり、“あなた”から変えていきましょう。

　今回紹介したいのは、製造業の中にいる方だけでなく、どんな業種にいても、あなたがスマートフォンやPCといった、インターネットにつながるデバイスを活用しているならば、ぜひ心に留めておいてほしいことです。セキュリティ対策というと「できもしない高い目標を言いっぱなし」にされるという印象もあるでしょう。そうならぬよう、いますぐできる対策を中心にしたいと思います。

まずはなにより「パスワード」

　またか、と思われるかもしれませんが、パスワードは想像する以上に重要なものでありつづけています。「使い回しをしないようにしましょう」と言いたいところですが、これは本当に難しいと思っています。

　これまで私は、まずはできる限り強い（＝長い）パスワードを作り、少なくともお金に関連するもの、メールに関連するものだけはそのパスワードにサービス名の数文字を加え、結果として使い回しをせずに運用してほしいと解説してきました。メールも守る理由は、アカウントはメールアドレスにひも付いており、パスワードを初期化するとメールにその手順が送られてくるため、メールが奪われると全てのアカウントを奪われるに等しかったからです。Gmailなどを利用している方は、二要素認証を併用することも強く推奨していましたが、Googleは先日、新たな仕組みである「パスキー」対応を発表しました。これはパスワードを入力せずとも、非常に強固な仕組みでアカウントを守る、待望の「パスワードがない世界」を実現できる技術です。

　実は既に、GoogleだけでなくYahoo!、NTTドコモ（dアカウント）、au（au ID）でもパスキーが実装されており、パスワードなしに（デバイスの生体認証などを使って）ログインが可能になっています。まずは皆さん、これらの最新技術を1度使ってみてください。大変便利になったことが分かるのではないでしょうか。

図1　グーグルはパスキーを、ブログで「パスワードの終わりの始まり」と表現しています（Passkeys: What they are and how to use them）

　あらかじめそういった技術に触れておくと、これまでの仕組みが面倒で仕方がないと思うはずです。例えば、組織内のサービスにログインする際、定期的にパスワードを変更させるなど、パスワードの扱いが古くさい場合もあるはずです。まずは個人で最新の仕組みになれたら、ぜひ、社内でも仕組みを変えるよう、声を上げてください。

　例えば、内閣サイバーセキュリティセンター（NISC）が公開している「インターネットの安全・安心ハンドブック」では、パスワードの定期変更は基本的に必要ないと明言しています。もしまだパスワードの取り扱いが古い場合、「国もNHKもそれは無意味だと言ってますよ」と伝えてあげれば、うまく変わってくれるかもしれません。

「インターネットの安全・安心ハンドブック」
1.8 パスワードの定期変更は基本は必要なし。ただし流出時は速やかに変更する

「パスワードの定期変更、必要ですか？」専門家に聞いてみた｜NHK

　むしろ、パスワードの基準を定めず、定期的な変更のみを要求することで、パスワードが単純化したり、ワンパターン化したり、サービス間で使い回しするようになることの方が問題となります。一方、アカウントが乗っ取られたり、流出の事実を知った場合は速やかにパスワードを変更し、その原因も特定しましょう。

次ページへシャドーITは絶対に使わない

印刷する

宮田健の「セキュリティの道も一歩から」

「モノづくりに携わる人」だからこそ、もう無関心ではいられない情報セキュリティ対策の話。でも堅苦しい内容はちょっと苦手……という方に向けて、今日から使えるセキュリティ雑学・ネタをお届けします。

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

宮田健

＠IT記者を経て、現在はセキュリティに関するフリーライターとして活動する。エンタープライズ分野におけるセキュリティを追いかけつつ、普通の人にも興味を持ってもらえるためにはどうしたらいいか、日々模索を続けている。

セキュリティの風向き、あなたから変えてみませんか？（1/2 ページ）

まずはなにより「パスワード」

宮田健の「セキュリティの道も一歩から」

この記事の著者

新着ホワイトペーパー PR