はじめに

サイバーセキュリティにおけるパスワードの役割

インターネットやスマートフォンの普及に伴い、ネットショッピング、銀行取引、仕事、SNSなど私たちの生活の様々な場面でオンライン化が進んでいます。

このようなネット社会で、個人や組織を問わず【サイバーセキュリティの重要性】が増しており、データ保護をするための最初の防衛対策であり、サイバーセキュリティの基盤となるのが”パスワード”です。

パスワード管理がなぜ重要なのか？

パスワードは、アカウントやデータにアクセスするための「鍵」です。
パスワードの強度と管理が不十分であれば、悪意ある第三者に侵入されてしまいます。
以下、3つの観点からパスワード管理の重要性を簡単に説明します。

1. データの保護

個人情報や機密情報を守るための基本的な手段が”パスワード”となります。
適切なパスワード管理によって、不正アクセスのリスクを低減することが重要です。

2. 管理負担の軽減

多くのサービスを利用するようになり、個人が管理しなければならないパスワードが増加しています。
そのため管理が煩雑化し、負担が増えることで「覚えやすく簡単なパスワードを使い回す」危険なパスワード管理の要因となってしまいます。
適切なパスワード管理によって管理負担が低減し、それに伴うリスクを回避しやすくなります。

3. 経済的損失の防止

サイバー攻撃によるデータ侵害は、重大な経済的損失をもたらす可能性があります。
これは企業だけでなく一般個人においても、
クレジットカードの不正利用などの経済的被害を受けることも十分に考えられます。
適切なパスワード管理でこうしたリスクを低減するために重要な対策となります。
パスワード管理が重要である理由は、とてもシンプルです。
このようにシンプルで重要にも関わらず、パスワード管理が疎かにされがちです。

パスワード管理の現状

パスワードの使い回し

近年では多様なジャンルのネットサービスが増加し、パスワードを入力する機会が多くなっているかと思います。そんな中、「考えるのが面倒くさい。覚えられない。」からと言って1つのパスワードを使い回していませんか？

それはとても危険な行為です。
たった1つのサイトがハッキング(不正アクセス)されてしまいパスワードが流出すると、そのパスワードを使用している全てのアカウントが危険にさらされてしまいます。

※引用：内閣サイバーセキュリティセンターが2022年に公開したコラムで、「国内700名へのアンケート調査で、87.6％がパスワードを使い回している」という結果が出ています。

強力なパスワード作成の誤解と注意点

パスワードの使い回しの危険性がわかったところで、
不正アクセスされにくいパスワードを作成するための重要なポイントをいくつかお話したいと思います。
パスワードを作成する際によく誤解されているの・・・
「覚えられる単語の組合せ、できるだけ文字数を長くすればいい」という考え方です。

（例）使っているサービス名＋自分の名前＋生年月日

上記のように、
サービスごとにパスワードが差別化されてパスワードが使い回されず、覚えやすいかもしれません。
しかし、これは安全なパスワードとは言い切れないのです。

では、強力なパスワードを作成する際にどのような注意が必要かいくつかご紹介します。

1. 簡単な情報を避ける

自身の誕生日や名前、連続する数字や文字列は、簡単に推測されるため避けましょう。

2. 複雑性を持たせる

アルファベット大文字・小文字、数字、記号を組み合わせましょう。

3. ランダム性

ランダムな文字列は予測が困難で、セキュリティを向上することができます。
例えば、「P@ssw0rd123!」よりも「wv>Ma)kC5l」の方が強力なパスワードになります。

これらにより、ブルートフォース攻撃＝総当たり攻撃に有効で破られにくいものを作成することができます。

※ブルートフォース攻撃（総当たり攻撃）とは・・・
辞書に載っている単語、フレーズ、一般的に使用されるパスワードなどから「推測されるパスワード」のパターンを総当たりで順番に入力し、不正ログインを試みるサイバー攻撃の一種。

パスワード使い回しで起こる事例紹介

同じパスワードを使い回すことで想定される被害は以下のような3つが代表例です。
「①個人情報や機密情報の流出、②アカウント乗っ取り、③データの改ざんや削除」

ここでは、パスワードに関連する実際のデータ侵害事例を簡単に紹介します。

ドラッグストアのアプリポイント不正利用

過去流出したIDとパスワードのリストを不正入手 ↓ そのIDとパスワードを使って、30代女性のアカウントに不正ログイン ↓ 女性が貯めたポイント6万7500円分を使い、化粧品などを購入 ↓ 中国籍の男が不正アクセス禁止法違反の疑いなどで逮捕

某家電量販店/通販サイトの商品不正購入

パスワードリスト攻撃によって通販サイトや家電量販店の会員情報を不正入手 ↓ 入手したIDとパスワードで複数名のアカウントに不正アクセス ↓ およそ約200万円相当のポイントを不正利用 ↓ 攻撃者である犯人が逮捕

スマホ決済サービスで不正利用

数千万回のパスワードリスト攻撃受けて不正ログイン ↓ 約800人のユーザーが電子マネーを不正利用される事態が発生 ↓ 被害総額は4,000万円にのぼり、開始わずか数ヶ月あまりでサービス終了 ↓ 被害を受けたユーザーに向けて払い戻し対応

どれも身近にある企業やサービスで起こった出来事です。
パスワードの使い回しが危険であり、パスワード管理の重要性がわかっていただけたと思います。

強力なパスワードを作成するためのガイドライン紹介

定期的なパスワード変更は必要なのか？

数年前までは定期的にパスワードを変更することが推奨されていましたが、
最近では強力かつユニークなパスワードの場合頻繁な変更は必要ではないとされています。

ただし、セキュリティ侵害やパスワード流出があった場合は、速やかに変更が必要です。

これらは、内閣サイバーセキュリティセンター（NISC）から示されており、
総務省が運営する「国民のためのサイバーセキュリティサイト」に記載されています。

※出典：総務省 国民のためのサイバーセキュリティサイト「安全なパスワードの設定・管理」
https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/business/staff/06/

※出典：内閣サイバーセキュリティセンター「パスワードは何桁なら大丈夫？」
https://www.nisc.go.jp/pr/column/20220705.html

パスワードの複雑さと、計算上の破られにくさについて

10年程前までは「8桁以上」が推奨されていましたが、
現在では内閣サイバーセキュリティセンター(NISC)が以下の88種類の文字をランダムに使い、
10桁以上を安全圏として推奨しています。

• 英大文字（26種類）
• 英小文字（26種類）
• 数字（10種類）
• 記号（26種類）

さらに、近年ではAI技術の発達によりパスワードが短時間で解読されてしまうようになってきています。
以下の表は、構成文字と文字数の組み合わせがどのくらいの時間で解読されるかをまとめたものになります。

※出典：https://www.hivesystems.com/blog/are-your-passwords-in-the-green-2023?utm_source=footer の内容を翻訳して使用（ChatGPTがパスワードを解読するのに同じハードウェアがかかる時間）

みなさんが使っているパスワードの構成は、黄色や緑色のマスでしたか？

8桁のパスワードは英数字記号を使用しても1秒程度で解読されてしまいます。
単純なパスワードであれば、より早く解読されるということです。

前述した最低限10桁のパスワードであっても1時間程度で解読されてしまうのです。
このように10桁以上の桁数でランダムな文字列を使ったパスワードを作成し、完璧に覚えて管理することは不可能です。

安全なデジタルライフを送るためには、適切なパスワード管理が重要になります。
そして、何よりもパスワードを管理する負担がなくなることが重要なことです。

では、負担なくパスワード管理するにはどうすればいいのか？

パスワード管理ツールの利用

機能と利点

パスワード管理ツールは、強力かつユニークな安全性の高いパスワードを自動生成し、
安全に保管することができます。また、情報漏洩や業務効率低下を防げる利点があります。

弊社ブルームテクノロジーでも昨年よりパスワード管理ツールを導入し、
パスワード管理に費やす時間と労力とストレスを軽減することができています。

自動生成

複雑で強力なパスワードを自動生成して、使い回しを防止することができます。

安全な保管

暗号化されたデータベースにパスワードが安全に保管されます。

自動入力

ログイン画面でパスワードを自動入力し、手間を省いてくれます。

複数デバイス対応

複数のデバイス間でパスワードを同期し、いつでもどこでもアクセスできます。

パスワード共有

会社や組織等でメンバー共通で使うパスワードを、社員間のパスワード共有できます。

有名なパスワード管理ツールの紹介

いくつかの有名なパスワード管理ツールを紹介します。

1Password	・有料版のみ（無料のお試し期間あり） ・削除されたパスワードが一年間さかのぼって復元可能
Dashlane	・有料版のみ（無料のお試し期間あり） ・通信暗号化、通信量無制限のVPN付きのパスワードマネージャー
Keeper	・有料版のみ（無料のお試し期間あり） ・Webサービスやアプリのログイン認証を自動入力 ・ビジネス向けプランが豊富。ビジネスに特化した機能も多数
Trend Microパスワードマネージャー	・トレンドマイクロ社が提供 ・Windows版/Mac版は無料でパスワード5つまで登録可能
ノートンパスワードマネージャー	・セキュリティソフト「ノートン」が提供 ・ノートンパスワードマネージャーのみは無料で利用可能 ・セキュリティソフトと併用して総合セキュリティ対策ができる
LastPass	・個人向けの無料版あり ・無料プランでもパスワード保存無制限 ・パスワードを分析し、変更推奨するパスワード判別機能を搭載
Bitwarden	・オープンソースのパスワードマネージャー ・個人向けの無料版あり ・マルチデバイス対応 ・2段階認証、生体認証の高度な認証が可能
Googleパスワードマネージャー	・Googleアカウントを持っていれば無料で利用できる ・Chromeブラウザでパスワード自動保存と入力ができる ・他のパスワードマネージャーと比べると高度な機能は不足している
iCloudキーチェーン	・Appleデバイスユーザーは無料 ・AppleデバイスとSafariブラウザでのみ利用可能

他にも様々なパスワード管理ツールがあります。
製品の特徴や契約するプランによって機能が制限されていたりするので製品を選ぶ際は、
「無料か有料か？どんな機能が欲しいか？対応するOSは？インターフェースは扱いやすいか？」など
様々な観点で選んでみてはいかがでしょうか。

パスワード管理ツールの安全性

各社セキュリティレベルが違うため一概に言えませんが、強力な暗号化技術を使用しており、
特にエンタープライズプランを提供する場合は、安全性は比較的高いでしょう。

また、最近はほとんどがクラウドストレージに保存されるため、
万が一デバイスを紛失した場合でも暗号化されているため、第三者がアクセスするのは難しくなっています。

多くのパスワード管理ツールでは、ゼロ知識セキュリティモデルを採用しており、
サービス提供者がユーザーのデータにアクセスできないようになっています。

※ゼロ知識セキュリティとは…
パスワードを誰にも見せることなく、その情報で証明することができる仕組みです。
サービス提供者側にそのままパスワードが格納されていることはないし、サービス提供者はその中身を見ることさえできないため、本人以外がパスワードを知らない状態で認証されるようになっています。

さらに、二段階認証（2FA）や多要素認証（MFA）を有効にして、
パスワードと組み合わせることで、セキュリティレベルをより一層強化することをオススメします。

特に機密情報を扱うオンラインバンキング等では利用を推奨しており、
仮にパスワードが漏洩しても追加認証が必要なため不正アクセスを防ぎ、最悪の事態を回避することが期待できます。

※認証について詳しく知りたい方はこちらのブログもご覧ください。

個人／組織で使える便利な機能

私は会社・プライベートでパスワード管理ツールを利用してます。
製品選びの中で個人や組織を問わず便利と思った機能をご紹介したいと思います。

ログイン画面で自動生成／自動入力

ログインする際に、自動的にIDとパスワードを入力してくれるので、手間が省ける！ URLで自動入力するか判断するから偽サイトに誤ってパスワード入力するリスクも減って安心して利用できる！

パスワード変更アシスト

すでに設定されているパスワードを変更する際も、 変更アシストをしてくれるから、何度もサイト画面やアプリを切り替える必要がない！

パスワード強度監査機能

パスワードの強度を「弱い・まあまあ・強い・強固」など 視覚的にわかりやすく評価して、弱いパスワードや使い回しパスワードを検出してくれるから安心です！

パスワード共有

誰かと共通して使うアカウントのパスワード共有が簡単にできるから、 組織やチーム内で安全＆効率的にパスワードを管理できる！

ワンタイム共有

自宅Wi-Fiのゲストパスワードを一時的に共有したり、1日だけ取引先へパスワードを共有することができる！ 期限設定したり、共有URLを開いたデバイスだけで閲覧できる制限付きなので安心して共有ができるから便利！

複数URL設定

グループ会社で全く同じログイン情報なのにサービスによってURLが違う場合、 個別にパスワードを作成しなくても、複数URLを設定することができる機能もあるので活用方法でより便利に！

これは個人的な感想にすぎませんが、
無料で使えたらラッキーと思わず、ビジネス・個人問わずパスワード管理ツールを利用する際は、
有料版で高度且つ多機能なパスワード管理ができて、暗号化や安全なパスワード保管体制でセキュリティ対策されているものをオススメします。

まとめ

パスワード管理の重要性と自社で導入した所感

サイバーセキュリティの基盤であり、私たちのデジタルライフを守るために欠かせないもので、
強力なパスワード作成と適切なパスワード管理ツールの利用が効果的なセキュリティ対策の一環です。

パスワード以外にも多要素認証やSSO(シングルサインオン)、パスキーの導入など様々な認証を取り入れることも一つの対策手段です。これら様々な認証を1か所にまとめて効率的に認証を行えるのがパスワード管理ツールの強みと言えるでしょう。

自社でパスワード管理ツールを導入してからは、
時間と労力とストレスが軽減されたと実感しています。

例えば、「どこにパスワード保管してるの？」「誰が何のパスワードを持ってるの？」「誰が誰に共有してるの？」など目に見えない情報を把握する必要がなくなり、特定メンバーへの一括共有や共有範囲の確認ができるようになったので社員の入退社対応がスムーズになり、今まで頭を抱えていた管理にかかる労力や負担から解放されました。

何よりも1つのパスワードさえ覚えていれば、数多くある全てのパスワードを確認できて、簡単にログインできることが導入して一番良かったことかもしれません。

サイバーセキュリティ意識の向上への取組み

一人ひとりがパスワード管理の重要性を理解し、日常的にセキュリティ意識を持って適切な対策をすることが、サイバー攻撃のリスクを低減する「鍵」になると考えています。

今からできるパスワード管理・セキュリティ対策を始めてみましょう。