エンタープライズと富士通は、企業における業務用PCとユーザー認証についての実態調査を実施した。エンタープライズと富士通はこのたび、企業における業務用PCとユーザー認証方法についての読者調査を実施した。調査によると、懸念されるセキュリティ課題のうち「端末の紛失と盗難」と「内部関係者による情報の持ち出し」への対策が懸念とする回答がそれぞれ6割に達するという結果となった。「パスワードの管理をユーザーに委ねる運用方法」がまだ多くを占めている業務端末より各種業務システムへログインする際の認証方法は、回答者全体の89.7%が「固定パスワード」で、これ以外に「ワンタイムパスワード」(8.9%)、「生体認証(指紋)」(8.2%)、「磁気/ICカードとの組み合わせ」(8%)が続いた。ワンタイムパスワードや磁気/ICカードは固定パスワードと組み合わせて運用するため、複数回答となる率が高く、個人情報を扱う端末など社内の一部のみとする回答も含まれると想定する。固定パスワードをユーザーに入力させる手段が存在する、つまり、パスワードの管理をユーザーに委ねる運用方法がまだ多くを占めている傾向も見てとれる。業務用PCログイン時のユーザー認証方法では、このパスワードのポリシーをどう設定しているか。会社で、パスワードの安全性を高める施策として何を実践しているかを問いたところ、「パスワードの最小文字数を指定」(60.9%)、「パスワードの有効期間を設定」(58.5%)、「パスワード文字種を複数組み合わせる」(55.3%)が上位となった。基礎の基礎と言える施策のため複数回答が多く、何かは当然実施していることが伺える。「パスワード履歴を記録」(37.7%)といった管理側に必要な機能、そして「業務システムごとに異なるパスワードを設定」(10.5%)や「使用できないNGワードを指定」(17.3%)など、固定パスワード自体のセキュリティを高める対策の意向はやや少ないことも分かった。中には「教育や注意喚起のみ」という人も7.7%存在した。情シスとユーザー間で意識差これら全体の傾向に対し、情シス部門は具体的に何を課題にしているか。ユーザーのパスワード管理状況について情シス部門へ具体的に何をリスクとして認識しているかを聞くと、「メモや付せんに書いて置いている」(44.2%)、「定期的にパスワードを変更していない」(42.3%)、「複数の業務システムでパスワードを使い回している」(41.7%)が上位となった。“付せんにパスワード”は昔から危険と言われていたことだけに、そのようなユーザーはさすがにもういないと思うかもしれない。認識するリスクとして最上位にあるということは、まだこのようなユーザーが存在すること、情シス担当者の指導や教育といったリスク回避の対策がいまだ必要であることを示した。回答が多かった「複数の業務システムでパスワードを使い回すのはリスク」に対し、「プライべートと勤務先でパスワードを使い回す」こともリスクとして認識していた情シス読者は20.5%ほど、全体でも22.2%ほどしかいなかった。リスクとして認識しているパスワード管理状況これらをふまえ、情シス部門は現在のユーザー認証方法にどんな課題を抱えているのか。「ユーザーの意識・リテラシーが低い」(61.5%)を筆頭に、「“なりすまし”のリスクがある」(32.7%)、「ID/パスワードが流出するリスクがある」(26.9%)など、システムをどう守っていくかに関わる項目に多く票が集まった。「ユーザーの意識・リテラシーの低さ」とともに「ユーザーのパスワード忘却時に工数がかかる」(26.9%)、「認証ログを残せない」(12.2%)、「パスワード増加などで、情シスの負担が増えている」(23.1%)など、管理部門ならではの悩みも多かった。業務用PCの導入を検討する際に信頼性を重視している読者が59.7%いる一方で、実際にはリスクの認識自体ができていなかったり、価格を優先したり、実態がともなわないでいることが明らかになった。「ユーザーの意識・リテラシーの低さ」は、情シスの61.5%に対して全体(ユーザーと経営者)では50.1%と、かなりの意識差があった。パスワードの流出時に影響範囲を最小限にとどめる効果のある「システム個別にパスワードを設定する」に関わるパスワード増加の運用方法においては、「ユーザー」も「情シス」も、どちらも負担が大きいと思っていることが分かった。業務端末へのユーザー認証手段にリスクが高まっている。ユーザーも情シス部門も、パスワードの管理がとても大変と感じている。ユーザーも、情シス部門も、有効な具体的な対策はとれていない。この現状は、固定パスワードをユーザーに管理させるこれまでの手段とは考え方を大きく変えた、新たなユーザー認証の手段が必要であることを端的に示しているのではないかと考えられる。今後、新しいユーザー認証技術や製品を選定するなら、どの点を重視すべきか。「運用・保守に関わる費用と工数」が48.1%、次いで「導入にかかる費用と工数」(42.3%)など、自身が実務として直接関わる運用や保守、工数とそのコストを意識した回答が多かったほか、ユーザーの利便性を高める「シングルサインオンへの対応」(38.5%)、「ユーザビリティの高さ」(34%)、「既存の業務システムとの連携」(23.7%)への意識も高かった。これらに並んで「内部関係者の情報持ち出しを抑制」(34%)も上位に入ったが、プライベートとビジネスでパスワードを使い回していることがセキュリティリスクになる「リスト型アカウントハッキング攻撃」対策までを考えている読者は17.3%と低かった。新しいユーザー認証技術/製品選定時に重視すること回答者プロフィール回答者の割合は、業務部門ユーザーが48%、情シス担当者が37%、決裁者が15%。従業員規模は1000人以上32.1%、100〜1000人未満が37.5%、100人未満が30.4%。情シス担当者のうち、73.1%が「導入候補の製品を選定/検証する立場」に関わっている。回答者プロフィール(有効回答数:427件)関連記事パスワードリスト攻撃につながる4つの原因と、ほんとに怖い2つのケース2014年は、IDやパスワードの使い回しが原因とみられるWebサイトへの不正ログインが多数発生した。この原因につながる4つのパターンがあることをご存じだろうか。2つは深刻な事態を引き起こしかねない。パスワード管理における神(紙)ワザ至るところで「パスワードリスト」攻撃による不正ログイン事件が起きている。これまで「パスワードの使い回しはダメ!」と言われてきたが、あまり浸透してはいないようだ。IPAも推奨するようになったパスワード管理の神(紙)ワザを考えてみたい。「パスワード使い回しは危険」、注意されても状況変わらず多発する不正ログイン事件からパスワードの使い回しに警鐘が鳴らされてきたが、トレンドマイクロの調査ではユーザーの傾向に変化はみられない。「安易なパスワード」ランキングの最新版、首位が交代これまで首位を保ってきた「password」が初めて2位に転落し、代わって「123456」が最悪のパスワードに浮上した。称して情報を盗む「ご注意!!OFFICEのプロダクトキーが不正コピーされています。「ご注意!!OFFICEのプロダクトキーが不正コピーされています。「ご注意!!OFFICEのプロダクトキーが不正コピーされています。Updateで追加されるセキュリティ機能たち「PHPMailer」に重大な脆弱性、直ちにパッチ適用を「ご注意!!OFFICEのプロダクトキーが不正コピーされています。称して情報を盗む「ご注意!!OFFICEのプロダクトキーが不正コピーされています。Japanスマートジャパン3Dモデラボキャリア@IT自分戦略研究所エンジニアライフディルバートアプリITmediaねとらぼねこらぼついトピ!ITmediaはアイティメディア株式会社の登録商標です。