Column
パスワードはもう十分な役割を果たしていない PART2
PART1での調査結果から、多くのIT関係者が「パスワードは時代遅れ」と考えていることが明らかになった。次を担う技術は何か、また導入に当たって気をつけるべきことは何だろうか。
パスワードからPINとトークンへ
ジャンモハメッド氏は、エドモントン市警察の現行のパスワードシステムに代えて、2要素認証とエンタープライズシングルサインオンを利用したシステムを導入する計画だ。
「マイクロソフトのActive DirectoryをPKIと組み合わせ、シングルサインオンプロセスを構築したいと考えている」と同氏。これによって、各ユーザーがネットワークにログインするには、完全なユーザー名とパスワードではなく、PIN（個人識別番号）とトークンが必要になり、トークンは、ユーザーが使うマシン内に存在しなければならないという。
エドモントン市警察では、セキュリティベンダーのエントラストのPKIサーバを認証に利用することになっている。
新システムに移行するまで現行システムでは、パスワード関連のセキュリティ問題が起こる可能性を減らすための対策が取られる。例えば、ユーザーのコンピュータで15分間操作が行われなかった場合には、ユーザーはログインし直さなければならないようになっている。通りかかった人が勝手にマシンを使うことができないようにするためだ。
組織の垣根を越える連携型ID管理
フィナンシャルエンジンズは、連携型ID管理によってアプリケーションをビジネスパートナーと共有することを計画しており、そのためには強力な認証が必要になると、トッド氏は語る。
TechTargetの調査では回答者の40％強が、自組織のシステムにパートナーやサプライヤーがアクセスできるようにすれば、サプライチェーンプロセスの効率が上がるだろうと答えている。だが、その前提は、パートナー同士がお互いに、相手が厳重な認証方法を使っていると全面的に信じていることだ。ところがほとんどの組織では、20年以上にわたって使われてきたパスワードシステムをもう信頼していない。
このことなどから、連携型ID管理の普及のペースは緩やかだ。
「企業間連携は実に大変だ」とトッド氏。「われわれは何百万もの人々の機密データを持っている。取引先の中には、われわれのような小規模な企業との付き合いに慣れていない大企業もある。小企業にとって、こうした大企業を動かして連携を築くのはちょっとした戦いだ。タグボートが航空母艦を引っ張って針路を変えようとするようなものだ」
文化的抵抗を超える
トッド氏は、連携型ID管理は長期的な目標だが、フィナンシャルエンジンズは、既に認証の強化策に取り組んでいると語った。その1つがRSAセキュリティのSecureIDの導入だ。これが決め手となり、従来のパスワードが将来は不要になるかもしれない。ただし、当初はそのプロセスが足踏みする場面もありそうだ。
「Windowsのパスワードの代わりにSecureIDのPINコードを採用すると、文化的な問題が絡んでくるだろう」と同氏。「SecureIDのPINコードはパスワードよりはるかに強力だが、当然のことながら、変化には抵抗がつきものだ」
認証方法が変わるとなると、抵抗する人も出てくるかもしれないが、最終的には、パスワードを使わないやり方に誰もが適応するだろうとトッド氏は語る。しかしそのためには、すべてのビジネス部門のトップから支持を得ておかなければならないという。
「どんなアクセス制御対策も、ビジネスのリスクを軽減することに主眼がある。このため、わたしは抜本的な変更を加えるときには、各部門の責任者のバックアップを取り付けるようにしている」とトッド氏。「そうすれば、初めは不満が出たとしても、いずれは全員が新しいやり方になじむようになる」
認証の強化はもはや必須
従来のパスワードよりも優れた認証手段への移行は、もはや企業にとって必須となっている。オンラインでビジネスを行う企業の場合は特にそうだ。実際、金融会社は連邦金融機関検査協議会（FFIEC）により、2要素認証の実施を義務付けられている。
そのため、ビデフォードセービングス銀行のIT責任者、キース・ゴスリン氏にとっては、シングルサインオン機能とともに2要素認証を導入することが、目下の最優先課題だ。同氏はそうすることに何の異存もない。
「パスワードはもう十分な役割を果たしていないのだから」（同氏）
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[オーティファイ株式会社] AIでコーディングは加速したのにテストはそのまま？ いまQAに必要な進化とは -
事例
[オーティファイ株式会社] QAで開発サイクルを遅延させない 8社の事例に学ぶ「テスト工程」の課題解決策 -
製品資料
[株式会社ガラパゴス] 「AIっぽい広告」の山に埋もれさせない AIマーケで着実に成果をだす秘訣とは？ -
製品資料
[株式会社ガラパゴス] 「広告投資」調査レポート2026：勝ち組企業は何に投資しているのか？ -
製品資料
[株式会社Helpfeel] 「問い合わせの渋滞」を解消、情シスの負担を軽減する“次世代型AI”活用方法
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
「Copilot」はなぜ放置される？ “議事録要約止まり”を脱する処方箋
-
2
9割が頓挫する「AI内製化」 差がついたのはツールより設計力
-
3
膨らむAIコストに歯止め GitHubのマルチモデルルーターは何が違うのか
-
4
JSONをやめてPythonで送る トークン消費を約7割抑えるAIの設計
-
5
脱VMwareの前提が崩れる BroadcomのVDDK公開停止で確認すべき点
-
6
APIキー奪取から3時間でクラウド掌握 Anthropicが暴いた「バイブハッキング」の現実的な防御策
-
7
「WhatsApp」の暗号化は万全ではない？ E2EEとマルチデバイス機能が生む死角
-
8
「身代金を支払う」以外のランサムウェア対策は本当にあるのか？
-
9
「ITインフラとデータ保護・バックアップ対策」に関するアンケート
-
10
AI全部入り「Microsoft 365 E7」に企業が二の足を踏む訳 移行意向はわずか4％
ホワイトペーパーランキング PR
-
1
5回聞くだけじゃ足りない？ トヨタ式「なぜなぜ分析」の正しい実践方法
-
2
生成AIで文書活用を進めるには？ 効率化と安全性をどう両立する
-
3
AIエージェントで多様な日常業務を効率化するための入門ガイド
-
4
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
5
インシデント対応工数を約3割削減、東京ガスの事例に学ぶ監視体制刷新のコツ
-
6
国税庁の次世代基幹システム「KSK2」稼働開始に向けて、対応すべき変更点とは？
-
7
5分で分かる「セキュア大容量ファイル転送サービス」の機能とメリット
-
8
「スクラム」と「カンバン」の違いとは？ アジャイル型開発手法を徹底比較
-
9
ドラマで分かる、標的型攻撃メールの被害を受ける企業と回避できる企業の分岐点
-
10
「脱Excel」か「Excel快適化」か？ 現場にやさしい業務改善の進め方
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー