ニューノーマル処方箋（第3回）その対策は効果ナシ！ セキュリティの常識を検証する

　セキュリティに関するこうした変化は、私たちの身の回りでも起きています。大久保教授は、特にパスワードの扱いについて、まだまだ一般の人からは軽んじられていると指摘します。

　「パスワードは、推測困難で覚えにくいものに設定することが大事ですが、私たちは日々たくさんのパスワードを使っていますので、すべてをそのように設定するのは困難です。

　パスワードは、とかく複数のWebサイトやサービスで使い回しがちですが、もしどこかのWebサイトでIDとパスワードの情報が漏えいしたと考えてください。その情報を使って他のサイトに簡単に入られてしまいます。この危険性はまだまだ認識されていないように思います」（大久保教授）

　さらに大久保教授は、「3カ月ごとにパスワードを変更してください」と呼びかけるパスワードの定期変更にも、同様の危険性があると話します。

　「変更を強制することによって、ユーザーは新たなパスワードを考えることを面倒くさがり、使い回しや安易なパスワード設定をしてしまうからです。これではかえってセキュリティが損なわれる恐れがあります」（大久保教授）

　企業の中には、情報漏えいに備えて、PC内のファイルを暗号化しているケースもあるかもしれません。大久保教授はこの対策について有効としながらも、注意が必要と指摘します。

　「暗号化には鍵が必要です。もしもその鍵を暗号化されたデータと同じ場所に置いてしまえば、不正にアクセスした人が簡単に復号できてしまいます。単に暗号化すればいいというわけではなく、適切に鍵を管理・保管する必要があります。これもあまり理解されていないようです」

　類似の問題が、今多くの企業で一般的になっている暗号化ZIPファイルとそのパスワードを共にメールで送る「PPAP^※3」と呼ばれる方法です。

　「“パスワード付きZIPファイルで暗号化して送れば安全だ”という認識がいまだにあります。しかし、仮にメールが盗聴されているという前提に立つならば、同じメールという経路を使ってパスワードを送っても意味がありません。すでに中央省庁ではパスワード付きZIPの使用を廃止する方針が打ち出されています。しかし、いまだに多くの企業が“PPAP”を利用しています」（大久保教授）

　このように、脅威の変化、環境の変化に伴って、かつては常識だと思われていた対策でも見直すべきところは見直していかなければいけないと、大久保教授は警鐘を鳴らします。

※3…「Password付きzipファイルを送ります、Passwordを送ります、Aん号化（暗号化）Protocol（プロトコル）」の略。日本情報経済社会推進協会に所属していた大泰司章氏（現・PPAP総研）が命名したのが最初とされている

費用をかけずにできるセキュリティ対策はある

　とはいえ、会社のセキュリティ対策を一度に刷新したり、個人のセキュリティリテラシーをすぐに向上させたりすることは簡単ではありません。身近なところからセキュリティ強化に取り組むためのポイントはどこにあるのでしょうか？

　これに関して大久保教授は、ソフトウエアを常に最新の状態に保つことや、メールに記されたリンクや添付ファイルを安易に開く前によく見ることなど、基本に忠実を徹底するべきだと主張します。

　「確かに巧妙な攻撃メールもありますが、メールアドレスをよくよく見ると、本当の発信元とは違っていたり、リンク先のWebサイトのURLが普段と異なるサイトだったりします。安易に開く前に日ごろからそうした部分をよく見ることが重要です。

　ほかにも、Windowsが提供する暗号化機能を活用したり、ソフトウエアの更新機能をきちんと有効にして自動でアップデートしたりすることも重要です。お金をかけなくても、できることはあります」（大久保教授）

　Windowsのデフォルトの設定を少し変えるだけでできる対策もあり、大久保教授は次のことをしているといいます。

　「Windowsは標準設定ではファイルの拡張子が隠されていますが、私は新しいPCにしたときには必ずそれを変更し、拡張子を表示させるようにしています。悪意があるファイルは拡張子を偽装したものも多く、この設定を行えば普段見慣れないファイル形式にも気が付きやすくなり、安易に開くことを避けられるでしょう」（大久保教授）

[caption id="attachment_38752" align="aligncenter" width="600"] 下のファイルは、本来の拡張子の前に「.docx」を付けてWordファイルに偽装した二重拡張子の例。「.exe」は「実行ファイル」と呼ばれる形式で、ダウンロードしたソフトをインストールする際などによく使われるが、入手元が不明な場合、開くのは危険だ[/caption]

　前述したパスワードの危険性については、ブラウザに搭載されている「パスワードマネージャー」を活用するのも有効です。

　「パスワードは自分で覚えようとするのではなく、パスワードマネージャーに記録しておき、複雑なものを設定する方がいいと思います。パスワードマネージャーの中には、怪しいリンクをクリックしてフィッシングサイトや不審サイトにアクセスすると、おかしいと判断して自動で入力を行わないようにしてくれるものもあります」（大久保教授）

リスクはゼロにならない。だからこそリスクを意識すべし

　当たり前だと思っていたセキュリティ対策が通用しなくなっているのに、その事実になかなか気付けない背景として、セキュリティへの意識の欠如が根本的な原因だと大久保教授は指摘します。

　「もちろん、細かな攻撃に関するテクニックや脆弱性の情報まで把握する必要はありません。とはいえ、最低限のセキュリティリテラシーやリスクマネジメントの考え方を身に付けていくべきです。そもそも自社のどこにセキュリティリスクがあり、自分たちはどこを対策しなければいけないか、そのために何を知り、支援してもらう必要があるか。そのことは最低限でも理解しておくべきでしょう。

　企業が最も避けるべきは、“難しいことはよく分からないので、業者さんにお任せします”というスタンスです。業者に依頼すること自体は悪いことではありませんが、自社でもセキュリティを理解しようと努め、深刻度の高い脆弱性が発覚した場合には“○日以内に対応する”といった具合に、具体的に業者と取り決めをしておくことも大事です。

　そうすれば、“あれ、それはそっちがやってくれるんじゃなかったの？”といった認識の行き違いや、追加費用の捻出ができず、セキュリティ対応が手付かずになる事態も避けられるでしょう」（大久保教授）

　セキュリティの脅威はさまざまなところに潜んでおり、完璧な対策は困難です。あれもこれも全部やろうとしても、途中で息切れしてしまうでしょう。だからこそリスクを認識すべきであると大久保教授は主張します。

　「企業の中には、“とにかくセキュリティ対策は全部やらなければいけない”とか、 “全部頑張ればリスクをゼロにできるだろう”といった考え方を持っているケースも見られます。しかし、専門家からすると、それは無理です。リスクをゼロにしたい気持ちは分かりますが、絶対にゼロにはできません。だからこそ、リスクをきちんと認識し、できる手立てを打っていく考え方が必要なのです」

© NTTCom Online Marketing Solutions Corporation