EC（電子商取引）サイトやクラウドサービスなど、インターネットを通じた取引が日常の一部となっている今、パスワードをめぐるセキュリティリスクは無視できません。私たちが日々利用するサービスだけでなく、企業の業務システムにおいても、ログインに必要なパスワードがサイバー犯罪者に盗まれると、業務システムへの不正な侵入を許し、企業の機密情報が奪われる事態に繋がりかねません。大手企業であるドコモやユニクロの名前も、かつて不正アクセスや乗っ取りの被害事例として報道されたことがあり、この問題の深刻さを物語っています。
多くの企業が、情報漏洩を防ぐ対策として、従業員に対してパスワードの定期的な変更を義務付けてきました。これは、もしパスワードが流出しても、一定期間が経てば古い情報となり、被害を最小限に抑えられるという考えに基づいています。しかし、近年この「定期変更」という手法が、必ずしもセキュリティ向上に繋がらないばかりか、むしろリスクを高める可能性があるという点が明らかになってきました。パスワードを頻繁に変えることで、利用者が覚えやすい安易な文字列を設定しがちになり、結果的に、犯罪者にとって推測しやすいパスワードの利用が増加してしまうからです。
この認識の変化は世界的な動きとなっています。例えば、巨大なIT企業である米マイクロソフトは、2019年4月に公表した「ウィンドウズ10」の最新版において、「定期的なパスワード無効化ポリシー」を廃止する方針を打ち出しました。同社のブログでは、パスワードの定期的な変更について「古くさくて時代遅れ」とまで言及しており、従来のセキュリティ常識を覆す大胆な姿勢を示しています。これは、パスワードを定期的に変更する手間よりも、より強固なパスワードを一度設定し、他の手段と組み合わせた方が効果的であるという考え方にシフトしていることの表れでしょう。
国内でも、政府機関の動きは同様です。総務省は2018年3月に、パスワードを定期的に変更する必要はないという見解を正式に発表しています。これは、パスワードの「使い回し」や「簡単な文字列」といった利用者側の行動が、セキュリティリスクを大きく高める主な原因であり、定期変更の義務付けではこの根本的な問題は解決しない、という認識に基づいているものです。総務省が言うところの「パスワードは、漏えいした可能性がない限り変更は不要」という考え方は、企業や利用者に大きな意識改革を促すメッセージであると言えます。
一方で、このような新しい知見や政府の見解が示されているにもかかわらず、国内企業の対応は遅れているのが現状です。日本情報経済社会推進協会（JIPDEC）とITコンサルティング企業であるアイ・ティ・アール（東京・新宿）が2019年1月から2月にかけて実施した調査結果によると、総務省の見解が発表された後も、実に54.5％もの企業がパスワードの定期変更を継続していることが判明しています。これは、一度定着した企業の運用ルールや、担当者の「万が一」を恐れる心理が強く働いているからかもしれません。しかし、これではせっかくのセキュリティ対策が形骸化し、むしろ従業員の負担だけが増えかねません。
私見ですが、従来の「定期変更」にこだわり続ける姿勢は、現代のサイバーセキュリティの進化から取り残されつつあると言わざるを得ません。セキュリティの考え方において最も重要なのは、不正アクセスを困難にする堅牢性と、利用者の利便性を両立させることです。これからは、定期変更よりも、推測されにくい複雑なパスワードの設定を促し、さらに「二要素認証」や「生体認証」といった、パスワード以外の要素を組み合わせて認証を行う多要素認証（MFA：Multi-Factor Authentication）の導入を進めることが急務です。この多要素認証とは、パスワードに加えて、スマートフォンなどに送られるワンタイムパスワードや指紋認証など、複数の異なる種類の認証手段を組み合わせることで、もしパスワードが漏洩しても不正ログインを防げる非常に効果的な手法であり、専門用語ですがぜひ覚えていただきたい概念です。
当時、このパスワード定期変更に関するニュースは、SNS上でも大きな反響を呼びました。「パスワード定期変更」というキーワードはトレンド入りし、「企業で無理やり定期変更させられて、結局簡単な文字列にしてしまっている」「総務省が不要と言っているのに、うちの会社はまだ変えさせられる」といった、運用に対する不満の声が多く見受けられました。また、米マイクロソフトの方針転換に対しては、「さすが大手は先を行っている」「これからは多要素認証が主流になるだろう」と、新しいセキュリティ対策への期待を示す声も多く投稿されています。
企業が真にセキュリティを向上させるためには、単にルールを義務付けるだけでなく、従業員一人ひとりがセキュリティ意識を高め、なぜその対策が必要なのかを理解することが不可欠です。この問題を解決するには、パスワードに対する企業側の意識と、長年の習慣を大胆に変革することが、今まさに求められているでしょう。
コメント