「うちは大丈夫だと思っていました」。ある製造業の総務担当者から、そんな言葉を聞いたことがある。社員10名ほどの会社で、基幹システムのパスワードは入社時に配られた「company123」のまま。誰かが辞めても変更せず、新しく入った社員にも同じ文字列を口頭で伝える。それが5年以上続いていた。
きっかけは、取引先から届いた1枚のセキュリティチェックシートだった。大手メーカーとの新規取引の条件として、情報セキュリティ体制の自己点検票への回答が求められた。「パスワードポリシーを定めていますか」「二要素認証を導入していますか」「アクセス権限は退職者ごとに速やかに削除していますか」。項目を前に、担当者は手が止まった。答えは、ほぼすべて「いいえ」だったからだ。
それから2週間、その会社は既存システムのパスワード一斉変更、権限の棚卸し、二要素認証の導入検討に追われることになった。現場からは「またパスワードを覚えるのか」「面倒だ」という声も上がった。慌てて対応すること自体が悪いわけではない。ただ、もう少し早く、自分たちの頭で「どこまでやるべきか」を考えていれば、ここまで場当たり的にならずに済んだはずだ。
この記事で伝えたいのは、パスワードポリシーや二要素認証の教科書的な知識ではない。取引先や規制から降ってくる要求に振り回されるのではなく、自社の情報の重さとシステムの重要度を自分たちで測り、必要な防御線を自分たちの言葉で引けるようになることだ。セキュリティと現場の使いやすさ、そのどちらも諦めずに両立させようとする人たちを、この記事は応援したい。
弱いパスワード運用が引き起こす具体的なリスク
「面倒だから」という理由で見過ごされがちなパスワード運用の緩さは、実際にどんな被害につながるのか。抽象論ではなく、起こりうる具体的な事態から見ていきたい。
使い回しがもたらす連鎖的な被害
個人が使っている無料のWebサービスと、業務システムで同じパスワードを使い回しているケースは珍しくない。もし片方のサービスから情報が漏えいすれば、攻撃者はそのID・パスワードの組み合わせを別のサービスにも次々と試す。これを「パスワードリスト攻撃」と呼ぶ。自社のシステムが直接攻撃されたわけではないのに、社員が別の場所で使っていたパスワードの使い回しが原因で、業務システムに不正ログインされる。実際に国内でも、通販サイトやSNSからの漏えい情報を使った不正ログイン被害が繰り返し報道されている。自社のシステムの堅牢さとは無関係に、社員一人ひとりの習慣が入り口になってしまう。
単純なパスワードは秒で破られる
「12345678」や「password」といった単純な文字列、あるいは会社名と数字を組み合わせただけのパスワードは、専用のツールを使えば数秒から数分で解析されてしまう。攻撃者は総当たりで試すだけでなく、よく使われるパスワードのリストを持っており、それを機械的に試す。文字数が短く、辞書に載っている単語をそのまま使ったパスワードは、攻撃者にとって最も労力の少ない標的になる。
退職者との共有アカウントという時限爆弾
冒頭の会社のように、全社員で1つのアカウントを共有している、あるいは退職した社員のIDやパスワードをそのまま放置しているケースは、想像以上に多い。円満に退職した人ばかりとは限らない。待遇に不満を持って辞めた元社員が、まだ有効なアカウントで社内システムにアクセスできる状態が何ヶ月も続いていた、という話は決して特殊な例ではない。悪意がなくとも、退職者のアカウントが放置されたままだと、そこが攻撃者に乗っ取られた際の踏み台にされるリスクも残り続ける。
これらのリスクに共通するのは、「うちは狙われるほどの規模ではない」という思い込みが、実は最大の弱点になっているということだ。攻撃者の多くは特定の企業を狙い撃ちしているのではなく、無差別に弱い鍵を探して回っている。鍵が古くて壊れかけている家は、狙われているかどうかに関係なく、いつか誰かに開けられる。
パスワードポリシーの基本 —— 「定期変更」神話の見直し
かつて多くの企業が「パスワードは90日ごとに変更すること」というルールを掲げていた。しかし、この定期変更ルールは、近年の考え方では必ずしも推奨されなくなっている。
理由はシンプルだ。定期的な変更を強制されると、人はより覚えやすく、より単純なパターンに流れてしまう。「Password1」を「Password2」に変えるだけ、月の名前を語尾につけるだけ、といった予測しやすい変更パターンが横行し、結果としてパスワード全体の強度が下がる。米国立標準技術研究所(NIST)のガイドラインをはじめ、国内外の多くの指針でも、漏えいの兆候がない限り定期的な変更を強制する必要はない、という方向に見直しが進んでいる。
では何を重視すべきか。現在の主流な考え方は、次の3点に集約される。
- 文字数を長くする —— 複雑な記号の組み合わせより、まず長さ。8文字より12文字、12文字より16文字の方が、解析にかかる時間は桁違いに伸びる
- 使い回しを禁止する —— 1つのパスワードを複数のサービスで使わないことを、社内ルールとして明文化する
- 漏えいが疑われたら即座に変更する —— 定期的にではなく、疑わしい兆候(不審なログイン通知、関連サービスの漏えい報道など)が出た時点ですぐに動く
「長いパスワードを覚えるなんて無理だ」と感じるかもしれないが、ここで有効なのがパスフレーズという考え方だ。意味のない記号の羅列ではなく、「朝7時にコーヒーを飲む」のような、自分だけが覚えやすい文章やフレーズをベースにする。長さは十分に確保でき、しかも記憶の負担は小さい。ルールを厳しくすることと、現場が守れるルールにすることは、対立する話ではない。両方を満たす設計を探すのが、担当者の腕の見せどころだ。
二要素認証(MFA)とは何か、導入のハードルの実態
二要素認証(多要素認証、MFAとも呼ばれる)は、ID・パスワードという「知っている情報」に加えて、スマートフォンアプリに表示されるワンタイムコードや、指紋・顔認証といった「持っているもの」「本人自身の特徴」を組み合わせてログインを認証する仕組みだ。パスワードだけが漏えいしても、もう一つの要素がなければログインできないため、不正アクセスの成立を大幅に難しくする。
効果は明確だ。マイクロソフトの調査では、多要素認証を有効にするだけでアカウント侵害のリスクを99%以上減らせるというデータも公表されている。実装コストに対して、得られる防御効果は非常に大きい。
それでも導入が進まない会社は多い。理由は技術的な難しさではなく、たいてい次のような現場の抵抗にある。
- 「ログインのたびにスマホを取り出すのが面倒」という声
- 年配の社員やITに不慣れな社員が、スマホアプリの操作に戸惑う
- 外出先や工場の現場など、スマホの電波が届きにくい環境での運用不安
- 「今まで通りで困っていないのに、なぜ変えるのか」という心理的な抵抗
これらは軽視すべきではない、現実の声だ。だからこそ、導入する側が丁寧に設計する必要がある。例えば、社内のオフィスネットワークからのアクセスは通常のパスワードのみとし、社外や新しい端末からのアクセスにだけ二要素認証を要求する、といった「リスクベース認証」の考え方を使えば、現場の負担を最小限にしながら重要な場面だけ守りを固められる。また、SMSよりも認証アプリの方が安全性が高いとされているが、まずはSMSでの導入から始めて社員が慣れてから移行する、という段階的なアプローチも現実的だ。完璧な仕組みをいきなり全員に強いるのではなく、現場が受け入れられる速度で一歩ずつ進める。それもまた、壁を越えていく仕事の一つの形だと思う。
自社にとって「どこまで」必要かの判断軸
ここまで基本的な考え方を見てきたが、最も難しいのは「うちの会社は、結局どこまでやればいいのか」という判断だ。すべてのシステムに最高レベルのセキュリティを課すのは非現実的だし、逆に何もしないのは論外だ。判断軸は、大きく3つの物差しで考えるとわかりやすい。
1. 取引先からの要件
大手企業や官公庁と取引がある、あるいはこれから取引を始めようとしている場合、相手側のセキュリティ基準への対応が事実上の必須条件になる。プライバシーマークやISMS認証を求められる、Pマーク取得企業としか取引しないという方針を持つ取引先もある。まずは自社に関わる取引先が、契約書や覚書、チェックシートでどのような水準を求めているかを洗い出すことが出発点になる。
2. 扱う情報の機微度
顧客の個人情報、クレジットカード情報、医療情報、設計図面や技術情報など、漏えいした場合の影響が大きい情報を扱っているシステムほど、高いレベルの防御が必要になる。逆に、社内の備品発注システムのように、漏えいしても実害が限定的な情報しか扱わないシステムに、同じ水準の対策を課す必要は薄い。すべてを一律に守ろうとすると、コストと現場の負担ばかりが増えて、本当に守るべきものへの意識が薄まってしまう。
3. システムの重要度(止まったら困る度合い)
そのシステムが乗っ取られたり止まったりした場合、業務にどれだけの影響が出るかも重要な軸だ。受発注や会計、給与計算など、止まれば会社の血流が止まるようなシステムは、機微度がそれほど高くなくても優先して守るべき対象になる。
この3つの軸を掛け合わせ、自社のシステムを高・中・低の3段階程度に仕分けてみるとよい。すべてに二要素認証を入れる余力がないなら、まずは最重要のシステムから始める。全社一律のルールを一気に敷こうとするより、優先順位をつけて着実に進める方が、現場も無理なくついてこられる。この段階分けの作業こそ、経営者やシステム担当者にしかできない、会社を守るための本質的な仕事だ。
よくある失敗パターン
セキュリティ強化に動き出した会社が、思わぬところでつまずくパターンにはいくつかの共通点がある。
- ルールだけ厳しくして、覚えられないパスワードを付箋に書いてモニターに貼る —— 結果的にセキュリティが下がる典型例
- 二要素認証を全システムに一斉導入し、現場から強い反発を受けて形骸化する —— 段階導入の設計を怠った失敗
- 退職者のアカウント削除の手順が属人化しており、担当者が休みの日に退職手続きが重なると数週間放置される
- 社長や役員のアカウントだけ「特別だから」という理由でルールの例外にしてしまう —— 実際には最も守るべき対象であることが多い
- チェックシートに答えるためだけに規程集を作り、実態が伴わない —— 文書と運用が乖離し、監査や事故対応の場面で露呈する
共通しているのは、「守る」という目的と、「日々使う人の負担」という現実のバランスを取り損ねていることだ。セキュリティは、現場の人間が無理なく続けられて初めて機能する。厳しすぎるルールは形骸化し、緩すぎるルールは穴になる。ちょうどいい塩梅を探し続けることこそが、この仕事の本質だと言える。
まとめ
パスワードポリシーと二要素認証は、どちらも「絶対にこうすべき」という唯一解があるわけではない。大切なのは、取引先の要件、扱う情報の機微度、システムの重要度という3つの物差しで自社を測り、どこに力を注ぐべきかを自分たちの言葉で説明できるようになることだ。
冒頭で紹介した会社は、取引先のチェックシートをきっかけに、慌てながらもパスワードの一斉変更、権限の棚卸し、重要システムへの二要素認証導入を一つずつ進めていった。半年後、担当者は「最初は面倒だと思ったが、今は誰が何にアクセスできるかを自分たちで把握できている安心感の方が大きい」と話していた。セキュリティ対応は、外から押しつけられた宿題ではなく、自社の仕事のやり方を自分たちの手で守るための投資だ。完璧を最初から目指す必要はない。今のシステムと情報を棚卸しし、優先順位をつけ、一歩ずつ壁を越えていく。その積み重ねが、取引先からの信頼にも、現場で働く人たちの安心にもつながっていく。