ハッカーは単に侵入するだけではありません。 時には、ログインするだけで済むこともあります。 今日のパスワードセキュリティの状況を考えれば、それは簡単なことです。
のアイデンティティおよびアクセス管理（IAM） において最も一般的な手法である「ユーザー名とパスワード」は、長い間、十分な役割を果たせていませんでした。 Hackers launch an average of 50 million password attacks every day, or about 580 per second. ベライゾンによると、データ漏洩の約 60% は、認証情報の不正利用に起因しているとのことです。
The average cost of a data breach is estimated at $4.2 million, with compromised credentials taking top honors for the most common attack vector, accounting for 20% of all breaches. さらに、パスワードのリセットは、従業員がITヘルプデスクに問い合わせる主な理由の一つであり、フォレスター社の推計によると、1件の問い合わせにつき企業には最大70 ドルのコストがかかるとのことです。 米国の大手組織は、パスワードのリセットに毎年100万ドル以上を費やしています。
ビル・ゲイツ氏は、 18 年前にパスワードの終焉を予測したことで有名です（）。（ ） しかし、より良い代替案を見つけるために業界でさまざまな取り組みがなされているにもかかわらず、
のIT組織のほとんどでは、依然としてユーザー名とパスワードが使用され続けています。
しかし、企業の経営者たちがパスワードによるセキュリティには限界があることを認識し始めた今、その状況はようやく変わりつつあるのかもしれません。 認証ツールの進化に伴い、 ゼロトラスト がサイバーセキュリティの主流モデルとなる中、 多要素認証（MFA）、生体認証、シングルサインオン（SSO）ツールといった、パスワードレスなアプローチを導入する組織が増え始めています。
また、ロシアによるウクライナ侵攻を受けて、米国の企業や重要インフラに対するサイバー攻撃が激化すると予想される中、 ホワイトハウス および サイバーセキュリティ・インフラセキュリティ庁 は、官民の組織に対し、パスワードに依存しない認証方法の導入を強く求めています。
「パスワードレスセキュリティへの動きは、非常に、非常に現実的なものです」と、IDCのサイバーセキュリティ・トラスト調査部門のプログラム担当副社長であるフランク・ディクソン氏は述べています。 「組織がパスワードを一夜にして廃止することはないでしょう。なぜなら、そうすることは複雑だからです。」 「しかし、その道を歩んでいる人は多く、テクノロジー業界のトップクラスの企業もその中には含まれています。」
パスワードセキュリティにおける新たな戦略的優先事項
大手テクノロジー企業の間では、パスワードのない未来を目指す動きが広がっています。 マイクロソフトは、商用ユーザーがパスワードなしでアカウントにログインできるようにしており、さらには パスワードを完全に廃止するよう呼びかけています 。 Googleも同様に、Googleアカウントのデフォルト設定として、スマートフォンを利用した二段階認証を導入し、パスワードの使用を段階的に廃止する動きを見せました。 また、 のAppleは、
のコンピュータやスマートフォンに顔認証機能を搭載し、パンデミックが本格化し始めたまさにそのタイミングで、 2020年までにパスワードを廃止することを約束しました。
「これが軌道に乗れば、まさにゲームチェンジャーとなるでしょう。」シーメンスUSAの最高サイバーセキュリティ責任者、カート・ジョン氏
先導しているのは、そうしたテクノロジー大手だけではありません。 実際、エンタープライズ・ストラテジー・グループ（ESG）のレポートによると、 85% のITおよびサイバーセキュリティの専門家が、パスワードレスセキュリティの導入を最優先の戦略的取り組みの一つとしているとのことです。
そうしたリーダーの一人が、シーメンスUSAの最高サイバーセキュリティ責任者であるカート・ジョン氏で、同氏は米国内の従業員 40,000 名のセキュリティポリシーを統括しています。 ジョン氏は、 Endpoint（ ）に対し、自身の組織も多くの組織と同様、ユーザー名やパスワードの管理にかかるコストや複雑さに頭を悩ませてきたと語りました。 従業員や顧客に認証情報の定期的な変更を義務付けると、ユーザー体験の低下にもつながります。
シーメンスは、情報技術（IT）、運用技術（OT）、および製品を対象としたゼロトラスト・プログラムの一環として、パスワードレス認証の導入を検討しています。 ゼロトラストでは、反証されるまでは、あらゆる人物や機器が潜在的な脅威であるとみなされます。
[関連記事：VPNを捨ててゼロトラストに移行する時が来ました]
ジョン氏は、従業員にネットワークへのアクセス権を付与する前に、生体認証技術（Windows Helloなど）、分析技術、人工知能を組み合わせて、従業員の本人確認を行うことを想定しています。
「まだ道のりは長いですが、これが軌道に乗れば、まさにゲームチェンジャーになるでしょう」と彼は言います。
シングルサインオンやその他の実践的なアドバイス
パスワードレスセキュリティへの移行を検討している組織にとって、時間をかけて検討することは共通のテーマとなっています。
多くの専門家は、
のパスワード不要戦略において、あまりに早く、あまりに多くのことを試みようとすることに対して警告しています。 むしろ、彼らは、小規模な
のパイロットプロジェクトから始め、レガシーシステム—
—や、プログラムの再構築につながるフィードバックを提供してくれる従業員、顧客、パートナーに対して、何が有効かを検証することを提案しています。
「問題は、誰もがあなたを自社のエコシステムに閉じ込めようとする点です。」ダグ・キャビット氏、Containn社 CISO
「この技術がどのように機能するのかを理解し、登録時および通常の利用時のエンドユーザー体験を体感したいと考えています」と、シャウフェンビュール氏は述べています。 「その後、本格的な導入に踏み切れるほど安心できるまで、パイロット事業を徐々に拡大してください。」
実は、この移行期間中にパスワードの使用を強化するための、 賢明な方法があることがわかりました。 IDCのディクソン氏は、パスワードレス化プロジェクトを段階的に進める方法について概説しています。 まず、彼は、組織内の「パスワードの混乱」を管理するためのツールをユーザーに提供することを提案しています。 それは、パスワードレス化とは正反対のように思えるかもしれません。 しかし、彼は、資格情報をすべて一か所にまとめておくことが、それらをなくすために必要だと考えています。
次に、ディクソン氏は、組織はシングルサインオンツールを導入すべきだと述べています。このツールはパスワードを保存するため、従業員がパスワードを頻繁に更新したり管理したりする必要がなくなります。 また、SSOは、企業向けおよび一般消費者向けのSaaS（Software-as-a-Service）アプリケーションにアクセスする際に特に有用であると、同氏は付け加えています。
「私たちは、混乱の状態からパスワード管理ツールへ、そして二要素認証を備えたシングルサインオンへと移行してきました」とディクソン氏は述べています。 「そして、突然、私たちの体験がより良いものになってきています。」
3番目のステップでは、IDおよびアクセスルールの監査を行います。 彼は、すべての従業員が企業ネットワークの隅々までアクセスできる必要はないと指摘しています。 仕事をする上で、Office 365 や、財務・人事関連の
ツールをいくつかダウンロードできる能力さえあれば十分な人もいます。 したがって、組織は、 のIT資産 を、「知る必要のある者」に限定して配分する必要があります。
最後に、パスワードの破棄について、ディクソン氏は次のように述べています。 いずれ、組織のITシステム、従業員、および端末は、ほとんどの場合、パスワードを入力することなく動作するようになるでしょう。
パスワードのセキュリティについて、安易な解決策にはご注意ください
現在、多くのベンダーが、一日も早く全面的に導入したいと考えている組織向けに、ワンストップの多要素認証（MFA）やゼロトラスト機能を提供するとされるパスワードレスソリューションを売り込んでいます。 実際、いくつかの有望なスタートアップ企業は、その加速的なアプローチを背景に、 目を見張るようなベンチャーキャピタルからの投資を集めています。
しかし、シーメンスのジョン氏は、企業がこうした提案に安易に飛びつくことに対して警鐘を鳴らしています。 「最初に目についたパスワードレスソリューションを安易に選んではいけません」と彼は言います。 「入念に検討し、利用可能なすべての選択肢を精査すべきです。」 彼は、中長期的な戦略をじっくりと検討することを勧めています。「そうした解決策の中には、短期的な利益をもたらすものの、目標達成に向けた成果は次第に薄れていくものもあるでしょう」と彼は述べています。
組織が安全なマルチクラウドインフラを構築・導入できるよう支援するソフトウェア企業「Containn」のCISOであるダグ・キャビット氏も、特定のベンダーのエコシステムに安易に飛びつくことに対して警鐘を鳴らしています。 はい、パズルのピースは同じ箱に入っているものの方が、よりうまくはまるという主張は、今でも妥当です。 しかし、バックエンドのレガシーシステムがそのインフラに適していない場合、パスワードレスプラットフォームはうまく機能しない可能性があります。
「問題は、誰もがあなたを自社のエコシステムに閉じ込めようとするということです」とキャビット氏は言います。 「しかし、もし私の組織がそれほど均質ではない場合――多くの企業に当てはまることですが――その方向性については再考するでしょう。」
のパスワードレス認証の手法：スマートフォンをローミングキーとして活用できるか？
多くの組織は、シングルサインオンやアクセス監査、その他の対応策を超えた、パスワード不要のセキュリティの未来は、スマートフォンをローミング認証手段として活用することにあると考えています。 安全な認証に焦点を当てた業界団体であるFIDOアライアンスは、過去 10 年間にわたり、こうした技術の開発に取り組んできました。 同社の最新の「 FIDO2 」および「WebAuthn」、ならびに「パスワードレス」規格 は、ウェブサイト、企業ネットワーク、およびデバイスへの安全なログインのための暗号化機能を統合するものです。
「パスワード不要の新しい技術やアプローチが登場しており、それらはまさに優れています。」IT-Harvestのチーフリサーチアナリスト、リチャード・スティエンノン氏
ユーザーは、顔認証や指紋認証などの生体認証を利用して、自分のデバイスにログインすることになります。 一方、Bluetoothは、ユーザーが物理的に近くにいることを確認することになります。 スマートフォンの所有者がテキサス州オースティンに住んでいるにもかかわらず、ログインがミシシッピ州ビロクシから行われているように見える場合、その端末はこの不一致を検知し、サイトへのアクセスをブロックする可能性があります。 理論的には、これにより のフィッシング攻撃の脅威を最小限に抑えることができるでしょう。というのも、こうした攻撃は多くの場合、パスワードの盗み出しに依存していますが、この手法は排除されることになるからです。
もちろん、FIDOのアプローチには懐疑的な見方もあります。 一部のセキュリティ専門家は、 において、 FIDO2 規格が導入されれば、ユーザーがネットワークにログインするために常に端末を持ち歩かざるを得なくなるとして不満を述べています。 Others, such as Richard Stiennon, IT-Harvest chief research analyst, note that if hundreds of digital certificates are stored on a device and a user loses it—and 70 million smartphones are reportedly lost every year—that makes things tricky.
[関連記事：今や、すべての従業員がサイバーセキュリティチームの一員でなければなりません]
「もしそれが仕事で使うものなら、どうしますか？」 スティエノンが尋ねます。 「それをみんなに報告するんですか？ 雇用主の方へ？ たぶん、それは問題ではないかもしれません。 しかし、もしあなたが電話会社だったとしたらどうでしょうか？ 「では、銀行のIPアドレスが登録された携帯電話を紛失した場合は、銀行にその旨を伝えなければならないのでしょうか？」
専門家によると、パスワード不要のセキュリティが、一夜にして主流の認証手法になる可能性は低いとのことです。 しかし、彼らは、何十年にもわたって口先だけで語ってきた後、組織がついに行動に移し始めていると考えています。
「パスワードは消えつつあると言える段階に来ています」と、スティエノン氏は断言します。 「彼らが絶対に悪いからそう言っているわけではありません。」 それらはその役割を果たしました。 そう申し上げるのは、より優れた新しいパスワードレス技術や手法が登場しつつあるからです。 そして、やがてはログインの際にパスワードが不要になるでしょう。」
