パスワードは、コンピュータシステムと同じ期間、私たちと共にあります。 しかし、保護する必要があるアカウント、ウェブサイト、アプリの数が増えるにつれて、これらの資格情報を管理することが難しくなります。
現在、半数以上(57%)のアメリカ人が 、仕事関連のパスワードを粘着性のメモ帳に書き込んでいます 。 驚きましたか？ そうですね、人間の本性について何をしているかを知るべきではないかもしれません。
多くの場合、こうした課題は、複雑で覚えにくい資格情報と定期的なパスワード変更を必要とする過度なポリシーによって悪化します。 セキュリティと利便性のバランスを取ることが鍵です。
この世界パスワードデーを支援するために、パスワードセキュリティに関するよくある誤解を見てみましょう。 良いポリシーとはどのようなものかを説明します。
Taniumのエキスパート、南北アメリカ最高セキュリティ責任者のChris HallenbeckとEMEA最高ITアーキテクトのOliver Cronkの2人が「To the Point」のエピソードをご覧ください。
https://youtu.be/0ri1bQsobig
上位4つのパスワードに関する神話のバスティング
神話#1 - パスワードの安全性を高めるには、複雑なパスワードにする必要があります。
これは必ずしもそうではありません。 調査によると、比較的覚えやすい長い文章やフレーズは、攻撃者にとって短い複雑な単語よりもひび割れや推測が難しい可能性があります。
神話#2 — パスワードは頻繁に変更する必要があります。
会社のパスワードポリシーは、 リスクに応じて動的に調整する必要があります。 Adminアカウントや高いレベルの特権を持つアカウントについて話す場合は、パスワードをかなり頻繁にローテーションする必要があります。 ただし、エンドユーザアカウントの場合、頻繁に強制更新を行うと、上記の付箋の例のように、プラクティスが悪くなるだけです。 これは、IT部門が慎重に検討する必要があるバランスの取れた行為です。
神話#3 — 多要素認証(MFA) と強力なパスワードを使用している場合、私は防弾です。
残念ながら、サイバーセキュリティには 100%の保護というものはありません。 有効なユーザ認証によって1つの道を閉じたとしても、資格情報を含むブラウザCookieの盗難など、攻撃者が探すべき他の方法があるかもしれません。 しかし、目的は、敵のために可能な限り困難にすることです。 また、企業にMFAと強力なパスワードを施行することで、特に ゼロトラストアプローチの一環として実装されている場合、強力なスタートを切ります。
神話#4 - 私のアカウントがハッキングされた場合、誰かが私の後を追っています。
まったくありません。 ほとんどの場合、侵入はかなりランダムで日和見的です。 例、資格情報のスタッフィング攻撃は、後で侵害された別のサイトでパスワードを再利用した場合に発生する可能性があります。 これらの資格情報は、ダークウェブマーケットプレイスから脅威によって取得され、他のアカウントの一部をロック解除することを期待して、多くのサイトで同時に試されます。
パスワードのベストプラクティス
幸いなことに、組織や個人がパスワードセキュリティを改善するためにできることはたくさんあります。 また、必ずしも余分な時間と労力は必要ありません。 以下を考慮してください。
- GoogleやMicrosoftなどのID管理プロバイダは、アカウント全体で脆弱なパスワードや繰り返しパスワード、以前に侵害されたパスワードを使用しているかどうかを確認するための優れた方法となるセキュリティチェックを提供しています。 結果に圧倒的と思われる場合は、オンラインバンキングやEメールなど、「ティア1」とみなされるアカウントに注目してください。 後者は、プロバイダによってパスワードリセットが送信される場所であるため、強力で一意のパスワードとMFAを使用して、パスワードリセットを安全に維持することが重要です。
- Adminおよび高権限の企業アカウントのパスワードを通常のユーザアカウントよりも頻繁にローテーションします。
- MFAは、すべてのユーザ、特に管理者に対してオンにする必要があります。
- パスワードの選択では、10～12文字のパスワードよりも完全なフレーズの方が安全です。
- ポリシーに従っていることを確認し、資格情報がGitHubなどのサイトに保存されているかどうかを確認します。このため、企業不要な追加リスクにさらされる可能性があります。
- また、メールがサイト上のデータ侵害にあったかを確認することもできます。
- 企業は、世界パスワードデーのような日を使用して意識を高めることができますが、パスワードだけで止めるべきではありません。 アクセスプロトコルを調べるのにも良い時期です。 脆弱なパスワードを破ると、アクセスできるようになります。 サイバー犯罪者がそのアクセスでできることは、組織が自分の時間に集中すべき場所です。
Taniumがどのように役立つか
Taniumは、次の2つの方法でこれらの取り組みをサポートできます。
当社は、グローバルポリシーがエンドポイントデバイスに適用されるように、必要な可視化と制御を迅速かつスケールに提供します。 例、企業で使用されているプレーンテキストのパスワードファイルの有無をチェックできます。
当社は、企業ユーザがログインする前にデバイスを認証することで、ベストプラクティスのゼロトラストアプローチをサポートしています。 ID管理 は重要なステップです。 しかし、エンドポイントが侵害されたとしても、攻撃者が企業の防御に侵入する可能性があります。
企業での パスワードセキュリティの実装 についての詳細は、当社のウェブサイトをご覧になるか、デモについて当社にお問い合わせください。
