社内にはメールやグループウェアなど様々な業務システムがあり、それぞれID・パスワードの入力が必要です。以前は、業務システムごとにパスワードを定期的に変更するよう促していましたが、結果として付箋紙にパスワードをメモしてPCのモニタ部分に張り付けてしまう人が続出。これではかえってセキュリティリスクが高くなると考え、定期的にパスワード変更する運用をやめ、各自覚えやすいパスワードを設定してもらっています。おそらく個人で利用しているサービスと同じパスワードを利用してしまっている可能性は否定できませんが、ある程度重複もやむを得ないと判断しています。

　IPAが発表した「情報セキュリティ白書2014」によれば、IDとパスワードを使いまわしている利用者を狙ったパスワードリスト攻撃、いわゆる“リスト型アカウントハッキング（リスト型攻撃）”による被害が多発していると報告されています。これは、あくまで個人が利用するオンラインサービスなどへの攻撃ですが、ID・パスワードの使い回しによって、企業が利用するクラウドのシステムに不正アクセスされるリスクも同様に高まっているといっても過言ではありません。トレンドマイクロ株式会社のパスワードの利用実態調査によれば、パスワードを重複して使い回しているユーザーが90％を超えているという実態が明らかになるなど、被害は今後も増加していく可能性を秘めています。

　だからこそ、そもそもID・パスワードを覚えておかなくてもセキュリティが保たれる認証の仕組みが必要になります。例えば指紋や静脈など個人の生体情報をベースにした認証手法であれば、わざわざ覚えておかなくともセキュアな環境が維持できるようになります。

　PCログイン時や業務システム利用時の「パスワード認証」だけではセキュリティ面で心配なので、外付けのIDカードリーダを新たに導入し、IDカードとパスワードを併用した二要素認証を全社的に導入しました。現在PCログインはもちろん、イントラネット内の様々な業務システムのログイン時にIDカードを利用しています。

　まず、カード認証では、貸し借りや紛失・盗難が起こり得るのでセキュリティ面で万全とは言えません。実際に紛失・盗難した場合、カード1枚あたり500～2000円程度の再発行費用がかかり、さらに、登録情報の取り消しや新たなカードの手配、再設定などの工数を含めると、日常的な運用だけで１ユーザーあたり年間1万5000円～20000円の費用が必要になるという試算もあります。また、IDカードを自宅に忘れてくる従業員も多く、その都度ヘルプデスク側で臨時対応が必要、といったコストも発生します。

　そこで注目したいのが、カードやパスワードの代わりに指紋や静脈といった「生体情報」を用いる認証です。生体情報は体表または体内の情報であるため、盗難・紛失はなく、一般的には偽造も困難です。特に静脈といった体内情報は偽造が困難なので、「なりすまし」や「不正利用」のリスクがなくなります。さらに、パスワードの管理や入力、カードの抜き差しといったユーザーの負担がなくなるので、利便性も大幅に向上します。

　昨年多発した企業における情報漏えい事件の教訓から、外部からの脅威だけでなく、自社の従業員や運用を委託している協力会社の常駐スタッフも含めた内部不正対策にも着手。社内の機密情報が格納されているファイルサーバにアクセスできる権限を特定の人のみに限定、現状は幹部社員のみにアクセス権限を付与しています。ID/パスワードがファイルサーバに設定され、たとえ社内の人間であっても幹部社員以外にアクセスできない仕組みになっており、情報が持ち出される心配はないと考えています。

　前提として、内部不正はいずれ必ず露見してしまう「ハイリスク・ノーリターン」であることを周知させることで、内部不正を思いとどまらせることが大切です。そのためにも、確実な本人特定、証跡管理が不可欠です。独立行政法人情報処理推進機構(以下、IPA)が発表した「組織における内部不正防止ガイドライン」では、2005～2010年の内部不正行為による個人情報漏えいの件数は全体のわずか1％に対して、漏えいした個人情報の数は全体の約25％にまで膨れ上がっていると言及しており、内部不正が原因で大量の個人情報が漏えいしていることがわかります。人間は置かれた状況次第では、つい出来心で不正行為に走ってしまうという「性弱説」の立場に立ち、常に監視されていることを周知しておくことが重要です。

　実際のところ、パスワード認証では、本当に権限のある人が利用したかどうかを、その証跡のみで判断することはできません。悪意のある人であれば、肩越しにパスワードを盗み見る“ショルダーハッキング”でパスワードを盗取することもあれば、ゴミ箱に捨てられた資料から情報を盗み出す“トラッシング”、「覚えられないから社員番号にしている」等、パスワード文字列のヒントとなる情報を日常会話から類推することも可能。これでは内部犯行に対する抑止力としては不十分です。体内情報である静脈認証のような、なりすましが困難な生体認証を採用することで、高い抑止効果を期待できます。