メールを送るにせよ、社内でファイルを共有するにせよ、外部のクラウドサービスを使うにせよ、何らかのシステムを使って業務をする際、必ず求められるのが「認証」だ。生体認証、パスワードレス認証などの方法も広がってきているが、やはり広く使われているのは「パスワード」を用いた認証だろう。本稿では、「テレワーク時代のID/パスワード管理の在り方」を実現するシングルサインオン製品の最新情報を紹介する。
パスワードは、広く使われると同時に利用者を悩ませ、セキュリティ上の課題にもなっている仕組みだ。例えば、セキュリティ関連企業が定期的に公表している「よく使われるパスワード」を見ると、「123456」「password」といった、容易に推測できる文字列が必ずといっていいほど上位に入ってくる。こういったパスワードは、なりすましによる不正ログインの温床ともなっている。
そこで多くのシステムやクラウドサービスでは、なりすましが困難になるよう、文字や数字、記号を組み合わせてある程度の長さを持ったパスワードを設定するよう求めている。しかしこの仕様は、複数のシステムを使い分けなければならないユーザーにとっては負担だ。
ユーザーの負担を考慮せずにパスワードのルールを押しつけてしまうと、今度は「使い回し」のリスクにつながりかねない。ユーザーIDとパスワードのリストはサイバー犯罪者の主要なターゲットの1つで、盗まれたデータは「ダークウェブ」などで売買されている。もし、あるサービスで利用しているIDとパスワードを別のサービスでも使い回していた場合、流出したリストが悪用されて不正アクセスを受ける恐れがある。
一番の課題は、管理者側がこうしたリスクを認識していても、ユーザー側の意識がそれに追い付かない、あるいはユーザー側も理解しているが現実的に運用が難しいという現状だ。1人の従業員が利用するシステムは多岐にわたり、クラウドサービスの広がりがそれに拍車を掛けている。企業の規模にかかわらず、複数の、場合によっては二桁に及ぶ数のアカウントを使うことが一般化している。
GMOグローバルサイン トラスト・ログイン事業部の森 智史氏は次のように話す。「今なお、パスワードを記した付せんをモニターに貼り付けていたり、個人のExcelやメモ帳にまとめて保管したりしているという課題を耳にすることがあります。また、漏えいしたパスワード情報を見ると、弱いパスワード、推測可能なパスワードを使っている人はまだ多いように思います。かといって複雑なパスワードをシステムごとに振り分けてそれを暗記しておくというのも難しい。覚えられずにいちいちリセットを依頼していては手間ですし、情シス担当者も他の仕事を中断しなければいけなくなってしまいます」。
こうした課題の解決策の1つが、一度認証を経れば複数のシステムやサービスにログインできる「シングルサインオン」(SSO)だ。
付せんやExcelでアナログにパスワードを管理する"困った従業員"をシングルサインオンはどう解決するのだろうか。
Copyright © ITmedia, Inc. All Rights Reserved.
製品カタログや技術資料、導入事例など、IT導入の課題解決に役立つ資料を簡単に入手できます。