schedule 2017/08/22 refresh 2023/11/09
アカウント管理とセキュリティ
一般的に、情報システムやクラウドサービスなどのアプリケーションを利用する際は、IDとパスワードなどのアカウントを入力してログオンします。
独立行政法人情報処理推進機構（IPA）は、2016年12月「2016年度情報セキュリティに対する意識調査」の報告書の中で、アカウントについて興味深い結果を発表しています。
（出典：IPA、2016年度情報セキュリティに対する意識調査）
パソコンの利用者5,000名を対象に行った結果、自分で管理しているアカウント数は、2種類以上が最も多く64.1％、1種類が27.1％、ゼロが8.8％でした。10種類以上が、23.0％を占めました。
サービス毎に異なるパスワードを設定している割合は、21種類以上が45.3％と最も高く、2位8種類43.2％、3位16～20種類43.1％、4位11～15種類40.4％、2種類以上の回答者全体では32.4％となりました。
アカウントの管理方法では、1位「手帳などの紙にメモをしている」が53.6％、2位「自分で記憶している」52.0％､3位「ブラウザの保存機能を使っている」12.0％という結果でした。
アプリケーション利用者の多くは、記録した紙や記憶を頼りに、多くのアカウントを管理していますが、半数以上がパスワードを使い回していると思われます。
多くの複雑なアカウントを持っていると、アプリケーション毎にアカウントの入力作業や認証手続きが必要、記憶忘れ、メモの紛失による再設定、など煩雑です。
また、記録によるパスワードの漏えい、パスワードの使い回しなどによりパスワードが漏れ、なりすましの対象になる危険性が高まり、情報セキュリティが脅かされます。
（画像はイメージです）
SSO導入のメリット
シングルサインオン（SSO）とは、1回の認証手続きで、複数のシステムを利用できる機能です。
SSOは、利用者から、使用する複数の情報システムやクラウドサービスの個別アカウントを記憶し、管理する煩雑さを開放します。
利用者は、複雑であっても1つのアカウント情報を記憶し、1回のログオンで必要なアプリケーションにアクセスできるので、本来業務に専念できます。その結果、利用者からのアカウント情報の漏えいが減少し、利便性と生産性が向上します。
システム管理者は、一元的に統一された認証情報のルール整備を行い、管理することで、アカウント管理作業が軽減し、情報システムの効果的なセキュリティ対策を立てることができます。
新規利用者の登録、退職者などによる抹消・停止、利用者のパスワード忘れによる再発行作業や、組織やプロジェクト変更に伴う再設定、などの作業は軽減します。
また、新規システムの開発・導入においても、SSOの認証システムを統一しておけば、導入期間やコストの短縮になります。
SSO機能を包含し、利用者の認証情報と所属部門やプロジェクトなどの属性情報を統合したアカウント管理、認証、アクセス制御を担うシステムを構築すれば、さらなるセキュリティ強化につながるばかりでなく、組織体のITガバナンスが向上するでしょう。
SSO導入のデメリット
SSOの導入により利用者の利便性は向上します。しかし、万一マスター・アカウント情報が流出や漏えいすれば、SSO可能なすべてのシステムやサービスが、なりすましにより簡単に不正利用されてしまいます。
ユーザーに対する啓蒙教育や定期的なパスワード変更を義務付けることで、アカウント漏えいの危険性を軽減させることはできます。
利便性は落ちますが、多要素認証を導入し、ワンタイムパスワード、生体認証、認証デバイスなどと組み合わせてセキュリティの多重化を検討する必要もあるでしょう。特に社外から社内システムにアクセスする場合には、必要な措置です。
デメリットは、SSOの実現方式にもよります。SSOの実装の際、脆弱性の存在で危険性が増大し、セキュリティが低下します。
実際2008年SAMLを用いたGoogleのクラウドサービス「Google Apps（現G Suite）」に脆弱性が発見され、大問題になったことがありました。
各クライアントやサーバ毎にSSOソフトを導入する方式では、コスト、作業量、作業時間を要します。
IPAの「企業のCISOやCSIRTに関する実態調査2017」によると、セキュリティ関連製品・ソリューション導入状況（P55）の中で、SSOを含むアイデンティティ管理／ログオン管理／アクセス許可製品は、日本20.1％、米国35.9％、欧州41.6％でした。
SSO製品には多くの方式があり、導入時自社システムの変更や新規システムの構築が必要なため、SSOの導入と利便性の向上やセキュリティ強化との費用対効果が、十分ではないとの判断があると思われます。
SSO機能の導入で、利用者とシステム管理者に、大きなメリットをもたらします。しかし、社内システムとの整合性、導入・メンテナンス・アプリケーション利用費用、将来を見据えた経営方針とのバランスを考慮する必要があるでしょう。
