パスワードは、コンピュータシステムが登場して以来、ずっと私たちと共にありました。 しかし、セキュリティを確保しなければならないアカウントやウェブサイト、アプリの数が増えるにつれ、これらの認証情報を管理することが難しくなってきました。
今日でも、アメリカ人の半数以上（57％）が 、仕事関連のパスワードを 付箋に書き留めています。 驚きましたか？ まあ、人間の本性について知っている以上、そうすべきではないのかもしれませんね。
多くの場合、複雑で覚えにくい認証情報や定期的なパスワード変更を義務付ける、行き過ぎた方針によって、こうした課題はさらに深刻化しています。 セキュリティと利便性のバランスを適切に保つことが重要です。
そこで、この「世界パスワードデー」に、皆様のお役に立てるよう、パスワードのセキュリティに関するよくある誤解について見ていきましょう。 そして、良い政策とはどのようなものかを説明してください。
Taniumの専門家2名、米州担当最高情報セキュリティ責任者（CISO）のクリス・ハレンベック氏と、EMEA担当最高ITアーキテクトのオリバー・クロンク氏が出演する「To the Point」のこのエピソードをご覧ください。
https://youtu.be/0ri1bQsobig
パスワードに関する4つのよくある誤解を解き明かす
誤解その1 — パスワードは複雑であればあるほど安全だ。
必ずしもそうとは限りません。 研究によると、比較的覚えやすい長い文章やフレーズは、短くて複雑な単語よりも、攻撃者が解読したり推測したりするのが難しい可能性があることが示されています。
誤解その2 — パスワードは頻繁に変更する必要があります。
企業のパスワードポリシーは、リスクに応じて動的に調整する必要があります。 。 管理者アカウントや、高い権限を持つアカウントについては、パスワードをかなり頻繁に変更する必要があります。 しかし、エンドユーザー向けのアカウントの場合、頻繁な強制更新は、前述の付箋の例のように、不適切な慣行を招くだけでしょう。 これは、IT部門による慎重な検討を要する、絶妙なバランス感覚が求められる課題です。
誤解その3 — 「 の多要素認証（MFA） と強固なパスワードを使えば、絶対に安全だ」という考え。
残念ながら、サイバーセキュリティにおいて 100％の保護などというものは存在しません。 効果的なユーザー認証によってある経路を遮断できたとしても、攻撃者が試みうる他の経路――例えば、認証情報を含むブラウザのクッキーの盗み出しなど――が残っている可能性があります。 しかし、その目的は、相手にとって状況をできるだけ困難にすることです。 また、組織全体で多要素認証（MFA）と強固なパスワードの使用が徹底されていれば、堅実なスタートを切ることができます。特に、これらが のゼロトラストアプローチの一環として導入されている場合はなおさらです。。
神話その4 — もし自分のアカウントがハッキングされたら、誰かが自分を狙っているということです。
とんでもないです。 ほとんどの場合、侵入行為はかなり無作為で、好機を伺って行われるものです。 たとえば、クレデンシャルスタッフィング攻撃は、あるサイトで使用したパスワードを別のサイトでも再利用し、そのサイトが後にハッキングされた場合に発生する可能性があります。 その後、これらの認証情報は、ダークウェブのマーケットプレイスから攻撃者によって入手され、他のアカウントへのアクセス権を獲得できることを期待して、多数のサイトで同時に試されます。
パスワードのベストプラクティス
幸いなことに、組織や個人がパスワードのセキュリティを向上させるためにできることはたくさんあります。 しかも、必ずしも多大な時間や労力を要するわけではありません。 次のことを考えてみてください：
- GoogleやMicrosoftなどのID管理サービスプロバイダーは、セキュリティチェックアップを提供しており、これは、各アカウントで脆弱なパスワードや重複したパスワード、あるいは過去に漏洩したパスワードを使用していないかを確認する良い方法となります。 結果が圧倒的だと感じられる場合は、オンラインバンキングやメールなど、ご自身が「最優先」と見なすアカウントに焦点を絞ってください。 後者のメールアドレスには、プロバイダーからパスワードのリセット用リンクが送信されますので、強固で固有のパスワードと多要素認証（MFA）を用いて、これらのセキュリティを確実に維持することが不可欠です。
- 管理者アカウントや特権の高い企業アカウントのパスワードは、一般ユーザーアカウントよりも頻繁に変更してください。
- すべてのユーザー、特に管理者については、MFAを有効にしておく必要があります。
- パスワードを選ぶ際は、長さを重視しましょう。完全なフレーズの方が、10～12文字のパスワードよりも安全です。
- GitHubなどのサイトに認証情報が保存されていないかを確認し、ポリシーが遵守されていることを必ずご確認ください。こうした状況は、組織に不必要な追加のリスクをもたらす恐れがあります。
- また、こちらのサイト（ ）で、ご自身のメールアドレスがデータ漏洩の対象となっているかどうかを確認することもできます。「Have I been pwned?」（）
- 企業は「世界パスワードの日」のような日を、意識啓発の機会として活用できますが、パスワードだけに留まってはいけません。 また、彼らのアクセスプロトコルを見直す良い機会でもあります。 脆弱なパスワードを破れば、アクセスが可能になります。 組織が注力すべきは、サイバー犯罪者がそのアクセス権を利用して何ができるかという点です。
Taniumがどのように役立つか
Taniumは、以下の2つの方法でこうした取り組みを支援することができます：
当社は、エンドポイントデバイスにグローバルなポリシーが確実に適用されるよう、お客様が必要とする可視性と管理機能を、迅速かつ大規模に提供いたします。 例えば、組織全体で使用されている平文のパスワードファイルがないかを確認できるようにすることで。
当社は、企業ユーザーがログインする前にデバイスの認証を行うことで、ベストプラクティスであるゼロトラストアプローチを支援しています。 ID管理 は、極めて重要なステップです。 しかし、エンドポイントが侵害されている場合、攻撃者が企業の防御網をすり抜けて侵入してしまう可能性があります。
によるパスワードセキュリティ「 」を貴社に導入する方法について詳しくお知りになりたい場合は、弊社のウェブサイトをご覧いただくか、までご連絡いただき、デモをご依頼ください（）。
