「パスワード平文保存」が今なお繰り返される真因 徳丸浩が警告する「形だけのセキュリティ」：特集：ID・パスワードから始める「引き算」のセキュリティ（3）（3/3 ページ）

「パスワードの平文保存」や「トークンの誤公開」など、なぜ「やってはいけないこと」は繰り返されるのか。Webセキュリティの専門家・徳丸浩氏にその真因と「足し算セキュリティ」のわな、バズワードに惑わされず自組織の「真のリスク」を洗い出すためのアプローチを聞いた。

[石川俊明，＠IT]

「監査部門はセキュリティが分からない」　監査でインシデントを防げない理由

――自組織にとっての「真の脅威」を分析して基本のセキュリティに立ち返る。次のステップで基本ができているかどうか振り返りをすることも重要だと考えます。いわゆる「監査」がその役割を果たすことになりますか。

徳丸氏　いえ、一般的な監査にそこまでの役割を期待することはできないのが現実です。「監査の仕組み自体が不要だ」と言っているわけではありませんが、一般的な監査は、あくまであらかじめ定められたセキュリティポリシー通りに業務できているかどうか（例：USBメモリを使用していないかどうか）をチェックする事務的なコンプライアンスチェックに終始するものだからです。

　つまり、今そこにある技術的な弱点や最新の脅威に踏み込んで監査するものではありません。どれだけ監査を繰り返しても、システム構造の根深い弱点や、本当に致命的なリスクをあぶり出すことはできないのです。

　日本の多くの企業の監査部門における実態として、監査を担当する方々は技術や総務など多様な部署を経験した年配の方が多く、組織の中で「上がりの役職」として位置付けられている傾向があります。そうした大ベテランの方々が、最先端のサイバーセキュリティ技術に関する深い知識をお持ちであるケースは非常にまれです。

　今でも印象に残っているのが、2020年にゆうちょ銀行の電子決済サービス「mijika（ミジカ）」で不正アクセスによる金銭被害が発生した事例です。記者会見の場で当時の社長が「わが社の監査部門は事務的な監査は得意だが、セキュリティはあまりよく分かっていない」と正直に発言していました。

　ゆうちょ銀行は非常に巨大な金融機関であり、そのトップが、「自社の監査部門はセキュリティを理解していなかった」と認めざるを得ないほど、技術と監査の乖離は深刻です。

――従来のコンプライアンスチェックとは異なる、本質的な「振り返り」の仕組みも必要になるということですか。

徳丸氏　はい。監査的な手法で振り返ること自体は重要かつ必要ですが、これまでの「事務的な監査」とは全く別軸の取り組みとして考えていく必要があるでしょう。技術に精通した人材を配置するか、外部のペネトレーションテストなどを適切に組み合わせて、システムそのものの構造的な弱点や、今そこにある真のリスクを随時把握できるガバナンス体制を構築する必要があります。

　とはいえ、事業を理解して技術にも精通した人材を育成するのは困難で、ほとんどの組織が取り組めていない状況にあるのも大きな課題です。

開発における認証情報保護のこれからは「持たない・使い捨てる」

――本特集のテーマは「引き算のセキュリティ」です。最後にメッセージをお願いできますか。

徳丸氏　認証情報の保護、すなわち「クレデンシャル保護」は今まさに最も旬なテーマです。ソフトウェアサプライチェーン攻撃が問題視され、各種コンポーネントが汚染されて情報漏えいするリスクも高まっています。対策として、現代のセキュリティ設計は「認証用のキーやトークンをそもそも極力使わない（持たない）ようにしよう」という方向へ議論が進んでいます。

　これまでは「ソースコードにAPIキーをハードコードするな、環境変数に置け」といわれていましたが、今や「トークンを永続的に持つこと自体がリスク」と見なされます。従来は3カ月程度とされてきたトークンの寿命も、現代のモダンなセキュリティの観点では長すぎます。今後は「認証情報の寿命を極限まで短くするか、使い捨てる」というアプローチが主流になるでしょう。

　最新のセキュリティトレンドを追うとともに、自組織にとっての脅威分析に取り組んだ上で、古いレガシーなやり方・しがらみを見直し、本質的な防御へと踏み出していただきたいと思います。

――ありがとうございました。

1人で抱え込まずに、「しがらみ」と決別を

　「古いシステムをやめると問い合わせが殺到するから放置する」「会社のルールだからと診断は受けるが直さない」――徳丸氏が指摘したこれらのボトルネックは、基本のセキュリティ対策を阻んでいるのが技術的な難しさに限らず、「運用の都合」や「形式主義」という組織のしがらみにあることを浮き彫りにしている。

　ランサムウェア対策をはじめとする社内インフラの防御に注目が集まる一方で、開発・運用の現場ではこうした事情から、自社サービスにおける顧客の認証情報保護という「基本中の基本」が置き去りにされがちだ。だが「宅ふぁいる便」や「mijika」の事例が示す通り、致命的な結果を招きかねない。

　こうした「問題点を分かってはいるけれど変えられない」構造に関して問題提起できるのは、システムの内部構造とリスクを最もよく知る現場のエンジニアやIT担当者自身だ。

　高価な製品を導入して安心する「足し算のセキュリティ」から脱却し、自社の「真のリスク」を直視すること。そして、経営層から「うちの対策は大丈夫か」と問われたとき、担当者が抱え込んで取り繕うのではなく、外の話題も「黒船」として賢く利用しながら、「今の体制では無理がある」「この古い設計・運用こそがリスクだ」と声を上げて組織を動かしていくことが求められている。

　とはいえ、個人でリスクを背負い込む必要はない。本特集で紹介した専門家のコメントや、IPAなどの公的ガイドライン、脅威分析の手法など「客観的な正論」が、孤立せずに主張するための最大の盾となるはずだ。

特集：ID・パスワードから始める「引き算」のセキュリティ

---

セキュリティ業界では「サイバー攻撃の高度化・複雑化」という決まり文句がしばしば使われます。それ自体は間違っているわけではありませんが、企業を悩ませている真因は「攻撃の高度化・複雑化」ではなく「セキュリティ対策の高度化・複雑化」にあるのではないでしょうか。本特集では近年発生したランサムウェア攻撃の多くが認証情報の窃取から始まる状況を踏まえ、基礎中の基礎である認証情報（ID／パスワード）保護を基点にしたセキュリティ対策の見直しの重要性を提言し、そうした基本の対策さえ不十分になっている現状から抜け出すための指針を提供します。