仕事で送られてきたファイルを開こうとしたら、メールには添付されていない。リンクをクリックしてブラウザを開き、メールアドレスを入力し、届いた認証コードを確認して、ようやくダウンロードできる。
別のサービスでは、少し時間が経つとログアウトされる。もう一度ログインし、スマートフォンを取り出して認証アプリで本人確認する。
一つひとつには理由がある。情報漏えいや不正ログインを防ぐためだ。それでも、何かをするたびに鍵を開け直すような状態になると、「ここまで必要なのか」と感じることもある。
セキュリティは、強ければ強いほどよいわけではない。守る情報や操作のリスクに合わせ、必要なところを十分に強くするのが基本になる。
難しいのは、組織のセキュリティ対策が一律強化の方向へ進みやすいことだ。安全側へ倒しておけば管理する側は安心できるが、そのために毎日操作する人の負担が増え続ければ、業務効率だけでなく、かえって安全性に影響することもある。
PPAP廃止が示した安全性と利便性
日本の企業や官公庁では、かつてファイルをパスワード付きZIPにしてメールで送り、別のメールでパスワードを知らせる方法が広く使われていた。いわゆる「PPAP」である。
セキュリティ対策として定着した方法だが、ファイルとパスワードをほぼ同じメール経路で送れば、その経路を第三者に見られたときには両方を取得される可能性がある。パスワード付きZIPは中身をメール配送経路上のセキュリティ製品で確認しにくくするという問題もあった。
2020年11月、内閣府と内閣官房はこの方式を廃止した。当時の平井卓也デジタル改革担当大臣は、セキュリティ対策だけでなく、「受け取る側の利便性の観点からも適切ではない」と説明している。
ここは興味深いところだ。
PPAPの問題は、単にセキュリティが弱かったことだけではない。利用者に手間をかけながら、その手間に見合う効果を十分に得られていなかった。
PPAPに代わって、クラウド型のファイル共有サービスを使う企業も増えた。共有リンクなら、閲覧者を限定したり、公開期限を設けたり、後からアクセスを取り消したりできる。個人情報や未公開資料を送る場面では有効な仕組みだ。
ところが、公開済みのカタログや一般的な案内資料まで、
メールを開く → リンクを押す → Webサイトを開く → メールアドレスを入力する → 認証コードを確認する → ダウンロードする
という手順になることもある。
安全な仕組みを導入することと、すべての情報をその仕組みに通すことは分けて考えた方がよい。
政府機関向けのサイバーセキュリティ基準でも、情報は一律に扱われていない。情報の重要性などに応じて格付けや取扱制限を設定し、クラウドサービスで組織外と「要保護情報」を共有する場合には、必要な人だけがアクセスできるようにすることなどが求められている。
守る対象に応じて対策を変えるという考え方である。
MFAと再認証の使い分け
認証でも、強さと頻度を分けて考える必要がある。
MFA（多要素認証）そのものには大きな意味がある。パスワードが漏れても、それだけではログインできないためだ。IPAも不正ログイン対策として、利用できるサービスでは多要素認証を設定するよう推奨している。
だからといって、認証回数を増やせば増やすほど安全になるわけではない。
例えば、いつも使っている会社支給のパソコンで社内の予定表を見る場合と、初めて使う端末から重要な顧客情報へアクセスする場合では、同じ本人確認を毎回求める必要性は違う。
ネットバンクでも同じことが分かりやすい。口座残高を見る操作と、新しい振込先へ100万円を送金する操作では、失敗したときの被害が大きく違う。
そこで使われるのが、リスクの高い場面で認証を強くする考え方だ。
普段の利用ではログイン状態を維持し、不審なアクセスがあったとき、重要情報へアクセスするとき、高額な送金や設定変更をするときに追加の本人確認を求める。ログイン済みの利用者に対して必要な場面だけ認証を強化する「ステップアップ認証」もその一つである。
常に高い壁を置くより、事故が起きたときの被害が大きい場所で壁を高くする。
利用者の手間を抑えながら、必要な防御力を確保しやすい考え方だ。
一律強化に傾きやすい組織のルール
それでも企業や組織では、「すべてこの方法で送る」「一定時間で必ずログアウトする」といった一律ルールが採用されやすい。
理由は分かりやすい。
「この資料なら添付してよい」「この情報は共有サービスを使う」と社員一人ひとりに判断させるより、「社外への添付は禁止」と決めた方が運用しやすい。例外が少ないほど説明もしやすく、ルール違反も判定しやすくなる。
事故が起きた場合と、対策が厳しすぎた場合の見え方も違う。
セキュリティ対策が不足して情報漏えいが起きれば、原因を調査され、対策を決めた部門の責任が問われることもある。対して、社員が認証やファイル取得のために毎日30秒、1分と余分な時間を使っていても、その損失が一つの数字として現れることは少ない。
この非対称性を考えると、組織が「迷ったら厳しい方へ」と傾くのは不思議ではない。
ただ、組織として決めたルールだから、利用者に守らせればよいというところで思考を止めるべきではない。
仮に余分な認証に1回30秒かかり、社員1万人が1日5回行うとする。
30秒 × 5回 × 1万人 ＝ 約417時間／日
240営業日なら、延べ約10万時間になる。
もちろん、これは10万時間がそのまま生産性の損失になるという計算ではない。認証中に別のことができる場合もある。それでも、一人にはわずかな手間でも、組織全体では無視できない規模になることは分かる。
こうしたコストも、方針を決める側が見るべきリスクの一つである。
利便性を無視したルールが生む別のリスク
使いにくさが一定の範囲を超えると、時間を失うだけでは済まなくなる。
何度もアクセスするのが面倒なので、機密ファイルをパソコンへ保存して使い回す。正式な共有サービスより個人向けクラウドの方が簡単なので、そちらを使う。会社が認めていないツールを業務に持ち込む。
禁止されているITサービスを利用者が勝手に使う「シャドーIT」が生まれる背景には、こうした使い勝手の問題が絡むこともある。
利用者が悪意を持ってルールを破るケースばかりではない。「仕事を終わらせるには、この方法の方が早い」という判断が積み重なった結果、正式な仕組みの外側にデータが出ていく。
強いルールを設定した結果、より管理しにくい場所へ情報が移ってしまえば本末転倒だ。
ここで利便性を考慮する意味が出てくる。
利便性は、セキュリティのために仕方なく犠牲にするものと考えられがちだが、両者は完全な反対関係ではない。利用者が無理なく守れることも、実際に機能するセキュリティの条件になる。
リスクに応じたセキュリティ設計
では、どこに境界線を引けばよいのか。
「機密情報かどうか」だけでは十分ではない。同じ情報でも、閲覧するだけなのか、外部へ送るのか、削除や変更ができるのかによって被害は変わる。
対策の強さを決めるときは、少なくとも次の4つに分けると考えやすい。
| 判断すること | リスクが低い例 | リスクが高い例 |
|---|---|---|
| 漏えいした場合の被害 | 公開済み資料 | 個人情報、営業秘密 |
| 不正操作された場合の被害 | 情報の閲覧 | 送金、契約、重要な設定変更 |
| アクセスしている環境 | 管理された普段の端末 | 未知の端末、不審なアクセス |
| 後から元に戻せるか | 再取得できる資料 | 取り消せない送金、情報流出 |
公開済みのPDFなら、メール添付や公開URLで十分な場合がある。個人情報を含む資料なら、閲覧者を限定した共有リンクや有効期限が役立つ。重要な設定変更や高額な送金では、ログイン済みであっても改めて本人確認する意味が大きい。
IPAの「中小企業の情報セキュリティ対策ガイドライン」でも、すべてに最大限の対策を求めるというより、自社の情報資産やリスクを把握し、必要な対策を実践していく考え方が基本になっている。
方針を決める側が考えるべきなのは、「もっと厳しくできるか」だけではない。
何を守るのか。事故が起きればどの程度の被害になるのか。その追加対策で、どのリスクがどれだけ減るのか。そして利用者にはどの程度の負担が生じるのか。
そこまで比べたうえで対策を選ぶ必要がある。
機密情報を扱う場面なら、多少面倒でも強い制限をかける意味はある。高額な送金や重要な設定変更なら、追加認証を求める合理性も高い。
反対に、誰でも閲覧できる資料を受け取るたびに本人確認が必要なら、「本当にそこまで必要なのか」と問い直してよい。
セキュリティ事故を避けることは、企業や組織にとって欠かせない。その目的があるからこそ、安全側へ一律に寄せるのではなく、利用者が実際にどう使うかまで含めて設計する必要がある。
強度を最大にすることがゴールではない。
必要な場所を十分に強くし、それ以外の場所では余計な摩擦を増やさない。セキュリティと利便性の境界線は、そのリスクを見極めた先にある。
参考資料
