パスワードリセットという作業は、組織にとって一大事である！

　従業員にとってみれば、パスワードのリセットなど当たり前のことです。ログインできなければ仕事になりませんし、「パスワードリセットなんて、ボタン1つでできるでしょ？」と思ってしまうのも無理はありません。

　しかし、まさにその認識こそが、攻撃者の狙いなのです。この作業を軽視していると、従業員に成り済まされてパスワードをリセットされてしまいます。どれほど長くて強固なパスワードを設定していても、あるいは守りの要である二要素認証を導入していても、それらは無力化されてしまいます。

　パスワードリセットは、より慎重に取り扱われるべき重要な作業です。たとえ電話口でリセットを急かされたとしても、それが重役からの依頼であっても、安易に実行してはなりません。必ず、正しく本人確認を行う必要があります（それも、マイナンバーカードの再発行と同じくらいの手順で！）。

　できれば、このコラムをお読みの方は、いま一度、組織が定めているパスワードリセットの手順を再確認してみてください。二要素認証に必要なメールアドレスや携帯電話番号すら失ってしまった場合、システム管理者はどのような方法で、あなたが「あなた本人」であると認識するのでしょうか。そのプロセスこそが、見直すべき重要なポイントなのです。

　加えて、システム管理者も、正当な手続きなしにパスワードをリセットさせないよう、どのような仕組みが整えられているのかを再確認すべきです。そもそも、「正当な手続き」とは何をもって成立するのでしょうか。それこそが、組織を守る上での重要な問いとなるはずです。

　ありがたいことに、このような仕組みの見直しには、ITへの追加投資も必要なく、今すぐにでも検討を進められるというメリットがあります。そう考えると、経営者こそ、この現状を正しく把握しておくべきかもしれません。

　むしろ経営者の皆さんにお願いしたいのは、「もし私がパスワードリセットを電話口で依頼した場合、何をもって自分が本人であると証明できるか？」と、システム管理者に一度問い合わせてみてほしい、ということです。そこから、組織全体での再確認が始まるはずです。

　個人的には、「パスワードのリセット」そのものが、できる限り不要になることを期待したいところです。本来、パスワードのリセットは、イレギュラー中のイレギュラーな作業であり、ログインのたびに求められるようなものではありません。

　私たち自身も、「パスワードのリセット」が攻撃対象となっているという現実を理解し、「この人はいつもパスワードを聞きにきているから、またいつものことだな」と見なされないよう、パスワードを自分自身でしっかり管理することを心掛けてください。

　その際、記号や数字が入っていなくても、“長い”パスワードを設定することを意識してみてください（これも、2025年がパスワード管理ソフト普及元年となれば、解決に近づく問題ではあるのですが……）。

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！