暗号化だけでは不十分
強固なモバイルデバイス認証がこれまでになく重要になっている理由
データの暗号化はセキュリティ対策の第一歩として良いことだ。だが、ユーザーを適切に認証できなければ、機密情報は悪の手に渡る恐れがある。ユーザー認証で覚えておくべき幾つかのヒントを紹介する。
ITの議論がセキュリティに及ぶと、暗号化が重視されるのがお決まりのコースだ。機密データを暗号化して、盗聴や盗難からデータを保護することは出発点としては悪くない。だが、ユーザー認証も同じくらい重要であることを忘れてはならない。ユーザー認証では、少なくとも接続の一方の関係者がもう一方の関係者に身元を明らかにする必要がある。また、両方の関係者が相互に身元を明らかにするのが理想的だろう。
暗号化と同様に、認証は完全なセキュリティを保証するものではない（完全なセキュリティを保証するものなど存在しない）。ほとんどの場合、資格情報はユーザー名とパスワードで構成されている。この情報は、盗まれたり、何らかの方法によって悪の手に渡る可能性がある。また、資格情報は暗号化と暗号化の解除のキーを特定するために使用される。そのため、認証に問題があると悲惨な結果を招く恐れがある。機密なデジタル情報はいったん危険にさらされると、永遠に危険な状態にさらされることになる。このように危機的な情報漏えいの状態から回復するには、時間とコストが掛かる。回復が不可能な場合もある。
企業ではモバイルユーザーの認証が重要になっている。本稿では、このことに関して覚えておくべき幾つかのヒントを紹介する。
デバイスユーザーの認証ポリシー
セキュリティと認証のポリシーは組織に固有のものだ。どの組織でも効果を発揮する万能なセキュリティは存在しない。基本的なセキュリティポリシーは必須アイテムだ。基本的なセキュリティポリシーでは、幾つか定義すべきことがある。具体的には、何を機密情報と見なすか、機密情報にアクセスできる人、どのような状況でアクセスできるか、情報漏えいが発生したときの対策を定義する必要がある。シンプルで明白な対応は必要不可欠だ。例えば、モバイルデバイスではPINコードの使用と定期的なパスワードの変更を義務付けることなどである。認証ポリシーでは、資格情報とコンテキストに基づいて特定のユーザー／デバイスの組み合わせが行えることを規定できる。ユーザー認証に使用する具体的なテクノロジーを検討するのは、分離された環境／パイロット環境で認証ポリシーを設定してテストしてからだ。
モバイルユーザーの2要素認証を検討する
2要素認証の重要性は増している。大まかに定義すると、2要素認証では、ユーザーにアクセス権を付与する前に「持っているもの」に加えて「知っているもの」を要求する。一般的に「知っているもの」に該当するのは従来のユーザー名とパスワードの組み合わせだ。「持っているもの」は、専用のハードウェアデバイスで生成されたセキュリティトークン、米Googleの「Google認証システム」などのモバイルアプリ、SMSメッセージである。特定のユーザーを特定のデバイスに結び付けることが鍵となる。ユーザー名とパスワードの組み合わせだけを使用するよりもずっと安全だ。
マルウェアの脅威もモバイルユーザーの認証プロセスを強化すべき理由の1つだ。特定のアプリが実行している処理を把握するという課題は依然として残る。サイバー泥棒が資格情報をひそかにキャプチャーできることは、2要素認証を取り込む動機となるだろう。
ID管理を飛躍させよ
ユーザー認証の実装は「ID管理」といわれることが多い。ID管理では、ユーザーの種類を定義し、種類ごとに特定のアクセス許可を付与する。ユーザーは、ゲストやナレッジワーカー、システム管理者、上級管理者以上などの種類に分類することができる。多くのID管理製品は既存のディレクトリサービスを活用する。実装の問題を最小限に抑え、悪影響をもたらす恐れがある冗長性を排除している。
コンシューマライゼーションとモバイルが普及するにつれて、従業員は、さまざまなデバイスから企業の資産にアクセスできることを求めるようになっている。デバイスは、従業員が所有しているものもあれば、会社が所有しているものもある。その結果、ID管理の需要が高まっている。ユーザー、デバイス、資格情報、コンテキストに基づいて行えることを一元管理するのは大いに意味がある。管理者の負担が軽減され、結果的に運用コストの削減にもつながる。
適切なセキュリティ手法が実施されているかどうかは、どのように把握できるのだろうか。また、その機能と効果は、どのように確認できるのだろうか。残念ながら、セキュリティはITが適切な対応を成し得ていない分野の1つである。使用しているポリシーやソリューションに関係なく弛まぬ努力が必要なのだ。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社キーエンス] なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは -
製品資料
[株式会社セールスフォース・ジャパン] 「CRMは設計と無関係」は本当か？ PLMとの融合で実現する高速開発 -
事例
[日本ヒューレット・パッカード合同会社] AIエージェントの時代にどう備える？ 「新たな働き手」を支える3要素とは -
製品資料
[日本ヒューレット・パッカード合同会社] “横並びの自動化”から脱却、AI活用で生産性と競争力を高める秘訣 -
製品資料
[サイボウズ株式会社] AIが「わざわざ使うツール」になっていない？ 業務で自然に使う導線にする秘訣
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
2
法務と開発者で「言葉が通じない」問題 トヨタやソニーが語るOSS管理の真実
-
3
ChatGPTは“検索しまくり”でGeminiは“淡泊”？ データが明かすAIの裏側
-
4
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
5
「中堅・中小企業のネットワーク・セキュリティ運用実態」に関するアンケート
-
6
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
7
「Wi-Fi 7」経由でWindowsが乗っ取られる？ 最高権限奪取の恐怖
-
8
情報漏えいはなぜ繰り返されるのか 今すぐ見直すべき「境界」
-
9
情シスの約8割が転職や退職を意識 調査で分かった“辞めたくなる最大の理由”
-
10
【漫画付き】ひとり情シス協会が明かす、RAG導入でしくじる企業「2つの共通点」
ホワイトペーパーランキング PR
-
1
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
2
家庭用Wi-Fiルーターの業務利用は危険？ 避けるべき理由と具体的な対策
-
3
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
4
財務部門がAIを最大限に活用する方法 無駄のない戦略的リーダーシップへの道
-
5
LLMが兵器化？ 元FBI高官が鳴らす警鐘とセキュリティツール統合のポイント
-
6
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
7
なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは
-
8
生成AIを開発に導入しても効果が見えない？ 実証実験で分かった成果と課題
-
9
経産省DX指針から読み解く、受発注業務デジタル化ロードマップ
-
10
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー