Column
パスワードはもう十分な役割を果たしていない PART2
PART1での調査結果から、多くのIT関係者が「パスワードは時代遅れ」と考えていることが明らかになった。次を担う技術は何か、また導入に当たって気をつけるべきことは何だろうか。
パスワードからPINとトークンへ
ジャンモハメッド氏は、エドモントン市警察の現行のパスワードシステムに代えて、2要素認証とエンタープライズシングルサインオンを利用したシステムを導入する計画だ。
「マイクロソフトのActive DirectoryをPKIと組み合わせ、シングルサインオンプロセスを構築したいと考えている」と同氏。これによって、各ユーザーがネットワークにログインするには、完全なユーザー名とパスワードではなく、PIN（個人識別番号）とトークンが必要になり、トークンは、ユーザーが使うマシン内に存在しなければならないという。
エドモントン市警察では、セキュリティベンダーのエントラストのPKIサーバを認証に利用することになっている。
新システムに移行するまで現行システムでは、パスワード関連のセキュリティ問題が起こる可能性を減らすための対策が取られる。例えば、ユーザーのコンピュータで15分間操作が行われなかった場合には、ユーザーはログインし直さなければならないようになっている。通りかかった人が勝手にマシンを使うことができないようにするためだ。
組織の垣根を越える連携型ID管理
フィナンシャルエンジンズは、連携型ID管理によってアプリケーションをビジネスパートナーと共有することを計画しており、そのためには強力な認証が必要になると、トッド氏は語る。
TechTargetの調査では回答者の40％強が、自組織のシステムにパートナーやサプライヤーがアクセスできるようにすれば、サプライチェーンプロセスの効率が上がるだろうと答えている。だが、その前提は、パートナー同士がお互いに、相手が厳重な認証方法を使っていると全面的に信じていることだ。ところがほとんどの組織では、20年以上にわたって使われてきたパスワードシステムをもう信頼していない。
このことなどから、連携型ID管理の普及のペースは緩やかだ。
「企業間連携は実に大変だ」とトッド氏。「われわれは何百万もの人々の機密データを持っている。取引先の中には、われわれのような小規模な企業との付き合いに慣れていない大企業もある。小企業にとって、こうした大企業を動かして連携を築くのはちょっとした戦いだ。タグボートが航空母艦を引っ張って針路を変えようとするようなものだ」
文化的抵抗を超える
トッド氏は、連携型ID管理は長期的な目標だが、フィナンシャルエンジンズは、既に認証の強化策に取り組んでいると語った。その1つがRSAセキュリティのSecureIDの導入だ。これが決め手となり、従来のパスワードが将来は不要になるかもしれない。ただし、当初はそのプロセスが足踏みする場面もありそうだ。
「Windowsのパスワードの代わりにSecureIDのPINコードを採用すると、文化的な問題が絡んでくるだろう」と同氏。「SecureIDのPINコードはパスワードよりはるかに強力だが、当然のことながら、変化には抵抗がつきものだ」
認証方法が変わるとなると、抵抗する人も出てくるかもしれないが、最終的には、パスワードを使わないやり方に誰もが適応するだろうとトッド氏は語る。しかしそのためには、すべてのビジネス部門のトップから支持を得ておかなければならないという。
「どんなアクセス制御対策も、ビジネスのリスクを軽減することに主眼がある。このため、わたしは抜本的な変更を加えるときには、各部門の責任者のバックアップを取り付けるようにしている」とトッド氏。「そうすれば、初めは不満が出たとしても、いずれは全員が新しいやり方になじむようになる」
認証の強化はもはや必須
従来のパスワードよりも優れた認証手段への移行は、もはや企業にとって必須となっている。オンラインでビジネスを行う企業の場合は特にそうだ。実際、金融会社は連邦金融機関検査協議会（FFIEC）により、2要素認証の実施を義務付けられている。
そのため、ビデフォードセービングス銀行のIT責任者、キース・ゴスリン氏にとっては、シングルサインオン機能とともに2要素認証を導入することが、目下の最優先課題だ。同氏はそうすることに何の異存もない。
「パスワードはもう十分な役割を果たしていないのだから」（同氏）
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
事例
[株式会社ラクス] どうすれば「変革を楽しむ組織」になれるのか？ 事例に学ぶ、未来への一歩 -
製品レビュー
[デル・テクノロジーズ株式会社] 変化するサイバー脅威に備える、これからのストレージの選び方 -
事例
[サイボウズ株式会社] 受注約1.5倍と年間2万3000時間超の業務時間を削減、日機装に学ぶDX実践術 -
製品レビュー
[サイボウズ株式会社] 人材不足にどう挑む？ ものづくり太郎が語る、製造現場でのAI活用成功の鍵 -
市場調査・トレンド
[グーグル・クラウド・ジャパン合同会社] 金融機関はAIエージェント導入でどう変わる？ 7つの変化から19の事例まで解説
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
RAGで「データをAIに送る」運用が限界を迎えている理由
-
2
Microsoft 365侵害企業の9割はMFA導入済み 1002人調査で見えた盲点
-
3
PHP2Shellは序章に過ぎない NVIDIA幹部が警告する「脆弱性の波」
-
4
なぜストレージ不足は長引くのか？ 77％が「12〜18カ月続く」と予測
-
5
「Copilot」がIT予算を食いつぶす？ 高額請求を招く課金体系と節約術
-
6
Googleの業務向けAIエージェント「Gemini Agent」が登場 しかし課題は山積み
-
7
PHP2Shellの「事前の情報流出」でパニックに パッチ公開を巡る“混乱劇”
-
8
Microsoft月例パッチ1400件超で過去最多 「限界点」を迎えたパッチ管理
-
9
ハイパーコンバージドインフラ徹底比較、「SimpliVity」「Nutanix」はどう違う？
-
10
通話録音の個人情報を自動で無音化 専用端末を無償貸与
ホワイトペーパーランキング PR
-
1
「IT史に名を残すシステム障害」8選
-
2
本当に使える「会議翻訳ツール」を見極める4つの選定基準
-
3
有識者が語る、中堅中小企業に求められる最新のサイバーセキュリティ対策とは
-
4
10G回線の真価をフルに享受するには？ 導入前にチェックしたいポイント
-
5
パスワードレスへの移行で失敗しないためには？ 導入・運用上の注意点を解説
-
6
AI駆動攻撃にどう対抗する？ 超速の攻撃からエンドポイントを保護する方法
-
7
Microsoft 365のメールセキュリティ、3つの“死角”と追加で検討すべき対策とは
-
8
自社のセキュリティ対策は大丈夫？ 自己診断リストで対策の優先順位が分かる
-
9
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
10
「テスト内製化＆自動化」事例集：ディー・エヌ・エーなど9社に学ぶ実践のコツ
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー