仕事用コンピューティングにおける最近のトレンドのひとつは、「できる」、より正確には、データやアプリケーションのオンラインストレージの登場である。コンピュータやスマートフォンといった物理的なデバイスのローカルストレージにデータやソフトウェアを直接保存してアクセスするのではなく、データやソフトウェアをオンラインに保存するのだ。デバイスはインターネット上の適切なプラットフォームにアクセスするだけで、データや機能にアクセスできる。パンデミック（世界的大流行）により、健康と安全上の理由から在宅勤務やその他の形態のハイブリッドワークが不可欠となったため、この2年間はこれが極めて重要なものとなった。しかし、それは同時に、デジタル犯罪がこの新たなフロンティアに目を向けるようになったことを意味し、サイバーセキュリティの強化の必要性を意味する。

ワークロードのサイバー・セキュリティ・リスク

サイバーセキュリティにおける最大の課題のひとつは、ID窃盗によって一個人のリソースが危険にさらされることである。言い換えれば、誰かのクレジットカードが盗まれれば、その人のクレジット購入は外部の行為者によってコントロールされることになる。

しかし、クラウド・ベース・コンピューティングのサイバーセキュリティはさらに問題が多い。クラウドベースのワーク・ソリューションでは、1台のローカル・マシンやハードディスク上ではなく、世界中のどこからでも個人（あるいは犯罪者）が自分の仕事にアクセスできる。さて、その個人の仕事量と管理者権限の程度によっては、サイバー攻撃の権限とアクセスの量は壊滅的なものになる可能性がある。一人の幹部が、以下のすべての部下のデータで構成されるワークロードを持っている場合、それは膨大な量のデータへのアクセスとなる。これがマイクロソフトのアジュールやアマゾン・ウェブ・サービスのような異なるクラウドサービスに分散していれば、リスクはより大きくなる。

ステップ

企業は現在、ID保護だけでなく、ワークロードの管理と保護も考慮しなければならない。単一のユーザーのワークロードを保護しなければ、他のシステムやデータへの広範なアクセスは重大なサイバー・セキュリティ・リスクを引き起こす。

企業は、多要素認証システムやバイオメトリクスを統合して、単一パスワードによるセキュリティ・システムからの脆弱性を減らすなど、より優れた安全策を検討する必要がある。例えば、デジタルキーの使用により、安全な情報がオンラインに送信される危険性を排除することができる。しかし、企業は、真に安全なシステムのために、ワークロードがどのように発生し、誰がそれを管理し、それらのワークロードが侵入に対してどの程度脆弱であるかを注意深く評価する必要がある。

クラウドベースのストレージやコンピューティングは驚くほど効率的で便利ですが、適切に保護する必要もあります。クラウドベースのセキュリティ強化のために、Nok Nokの多要素認証技術やパスワード不要のセキュリティ対策についてご紹介します。

米国政府は最近、「ゼロ・トラスト」戦略をすべての機関に統合するため、広範かつ包括的なイニシアチブを実施すると発表した。しかし、これは具体的に何を意味するのだろうか？それは、より優れた、より安全な多要素および暗号ベースの認証を既存の政府機関に導入するという目標であり、より多くのセキュリティIDチェックを意味するが、障害はより少ない。

何もかもが当たり前ではない

その名が示すように、「ゼロ・トラスト」戦略は、検証なしに額面どおりに受け取られるべきでないという仮定の下で機能する。しかしこの場合、検証は異なるメカニズムやセキュリティ機能を通じて複数回行われる可能性があり、これは暗号鍵ペアを組み合わせた多要素認証の基本概念である。

従来の "信頼された "セキュリティー・システムでは、1回の検証で十分である。従来のシングル・パスワード・システムがその好例である。例えばマネージャーは、従業員記録、銀行口座番号や社会保障番号のような従業員データ、さらには購買データベースを介した顧客のクレジット番号や郵送先住所まで、完全にアクセスすることができる。パスワードは、英数字のランダムな文字列のような複雑なものから、マネージャーが "password "という単語を使うだけのシンプルなものまである。万が一、そのパスワードが盗まれたり、犯罪者に推測されたりした場合、管理者が持っていたアクセス権や管理権はすべて他の誰かに移ってしまう。パスワードが必要ない場合もある。オフィスにあるマネージャーのデスクトップ・コンピューターにログインしさえすれば、システム、ネットワーク、データへの完全なアクセスが許可される。

ゼロ・トラスト・ストラテジーは、このような前提を一切持たず、暗号化多要素認証がこの哲学の要となる。ゼロトラストの実装がどの程度広範囲に及ぶかにもよるが、ログインする人の身元を確認するだけでは十分ではない。ログインに使用された接続とデバイスのタイプさえも確認する必要があるかもしれない。そして、機密データへのアクセスや支払いトランザクションの実行など、価値の高いイベントについては、その人の身元が継続的にチェックされる。

これは、クラウドストレージやクラウドコンピューティングベースのアプリケーションによって、正規のユーザーがソフトウェアやデータにどこからでもアクセスできるようになった時代において特に重要である。多要素認証は、本社のオフィス内で機密データにアクセスする人が、日本で会社支給のスマートフォンから同じことを素早く行うことを可能にする。重要な違いは、たとえパスワードやスマートフォンが盗まれたとしても、ゼロ・トラストという暗号ベースの多要素認証の哲学が、盗まれた認証が1つ、2つ、あるいは3つで十分であることを防ぐ安全装置を備えていることだ。

バイオメトリクス、デジタルキー、その他の設計上の工夫により、複数の認証システムを煩雑にすることなく、迅速かつ簡単に行うことができます。Nok Nokの最新のIDおよびパスワードレス認証技術が、今日の多要素セキュリティ対策をどのように保護しているかについて、詳しくはこちらをご覧ください。

シングルパスワードシステムに頼ることの最大の負債のひとつは、そのパスワードを知っている誰にでも、前例のないコントロールとアクセスを許してしまうことである。残念ながら、パスワードが盗まれる可能性を減らす唯一の方法は、パスワードを覚えやすくすることであり、その結果、犯罪者がますます洗練され、自動化された手法によって、パスワードを推測したり、解明したりすることを容易にすることである。

逆に、ランダムな英数字の羅列によってパスワードを推測しにくくすることは、パスワードの使用を遅く、難しく、不便にし、その効率性を排除すると同時に、アクセスを許可するために単一のパスワードのみに依存するリスクを依然として残すことになる。

FIDO、パスワードレス認証でセキュリティ向上

FIDOアライアンスは、"fast online identity"（高速オンライン・アイデンティティ）の略称である。FIDOプロトコルは、ブラウザ、プラットフォーム、およびデバイス間でこれらの暗号対策が相互運用可能であることを保証するために、デバイスやソフトウェアプラットフォーム間で互換性のある暗号標準を作成します。FIDOの目標は、フィッシングに強いパスワードレス認証システムを可能にすると同時に、ユーザー体験を摩擦のないシームレスなものにすることである。 これらの最新のセキュリティ技術は、ユーザー名やパスワードのような個人的な秘密や情報の収集、保存、入力に基づくレガシーシステムよりも、ユーザーアクセスをより速く、より簡単に、より効率的に、より安全にする。

FIDOは、非対称暗号化方式を使用し、暗号化されたユーザーの1ステップで2要素認証を提供するキー・ペアとして知られるデュアル・キー・ベースの認証システムを通じてこれを実現している。

複数のメカニズム

対称暗号化は、ほとんどの人が知っているものだ。データを入れたUSBキーなど、1つのデバイスを使って何かを暗号化したり「ロック」したりする。キーが存在すれば、データは暗号化され、アクセスできず、読み取ることもできない。同じ鍵が存在する場合、データにアクセスすることができ、復号化されて読み取ることができる。

非対称暗号化は2つの鍵に依存する。ひとつは「公開鍵」で、ユーザーが保護すべきデータの暗号化形式を選択できるようにする。もうひとつは「秘密鍵」で、復号化のために存在しなければならない。 

言い換えれば、公開鍵が複製されたり盗まれたりしても、データへのアクセス権が与えられるだけである。データにアクセスしたり、ソフトウェア・サービスにアクセスしたりするには、正しい公開鍵とそのペアである秘密鍵の両方が存在する必要があるため、データは依然として読み取ることができない。FIDOキー・ペア・システムの組み合わせは、ランダムな英数字の強力で覚えにくい文字列を作成する不便さをなくし、また、公開されているソーシャルメディアのプロフィールや投稿を検索して得られることが多い、ヒントのために母親の旧姓を尋ねるような知識ベースの認証システムもなくす、簡単なパスワード不要の認証システムを作り出す。

FIDOプロトコルを使用し、パスワードレスのIDおよび認証システムに移行することに興味がある方は、こちらをお読みください。

ロシアの侵攻に対するウクライナの防衛という²¹世紀最初の大きな軍事的交戦の過程で、デジタル戦争が重要な役割を果たしていることも明らかになった。残念ながら、サイバーセキュリティ戦争は軍事目標だけに限定されるものではない。このことは、ウクライナも、米国を含む世界中の同盟国も、今、自ら発見していることである。

その結果、ホワイトハウスは現在、すべての関連機関や組織のコンピューター・ネットワークに「ゼロ・トラスト戦略」を導入するため、積極的に前進すると宣言している。

サイバーセキュリティのために、信頼せず、常に検証する

皮肉なことに、ゼロ・トラスト戦略のルーツはロシアの諺にある。その意味するところは、たとえ信頼している人や物があったとしても、その相手があなたが期待している人なのかどうか、常に時間をかけて確かめるべきだということである。

サイバーセキュリティの観点では、ゼロトラスト戦略とは、ネットワークのインフラが以前に受け入れた個人、アカウント、またはハードウェアの一部が正当であっても、ユーザーの真正性を検証する必要があることを意味する。これは、正規のユーザーが世界中のどのデバイスからでもログインできる可能性がある、今日のワイヤレス世界ではさらに重要なセキュリティ・プロトコルである。認知されたユーザーが、身元を確認するスタッフとともに安全なビルに入り、自分のオフィスに入って安全なネットワーク内でコンピュータを使うというのは、ひとつのことだ。その同じ人物が、途中でユーザーの身元を確認することなく、まったく別の国でスマートフォンを使って安全なデータベースにログインしていると主張するのは、別の問題だ。

包括的だが価値ある取り組み

複数の政府機関を最新のゼロ・トラスト準拠のセキュリティフレームワークに取り込む取り組みは、迅速でも、安価でも、容易でもないだろう。各機関はすでに確立された独自の慣例とプロトコルを有しているため、異なる組織のニーズを尊重するためには、多くの適応と進化が必要になるだろう。

しかし、アメリカ政府がゼロ・トラスト・アーキテクチャに積極的に取り組んでいることは、²¹世紀のサイバーセキュリティの本質を物語っている。世界中どこからでも簡単にアクセスできることに依存し続ける中で、クラウドベースのストレージやアプリケーション、多要素認証、そしてゼロトラスト戦略のその他の要素が不可欠となっている。たった一つのパスワードが盗まれれば、膨大な量のデータとシステム制御を放棄することになる。多要素認証、暗号鍵ペア、ゼロ・トラスト戦略は、さらなる安全策を保証する。

モダンIDと暗号化多要素認証は、サイバーセキュリティを向上させる一つの方法です。Nok NokのモダンIDおよびパスワードレス認証技術について、また多要素のセキュリティ対策をどのように保護し、安心感を高めるかについてはこちらをご覧ください。

デジタル決済システムの利用には、非常に大きな利便性とスピードがある。一般消費者にとっては、クレジットカードや暗号通貨を利用したオンライン決済により、地元では購入できないような世界中の商品を購入することができる。企業にとっては、オンライン決済は偽札による不正な支払いの可能性を排除する。すべての取引は、本物の資金を使用した合法的なものである。

しかし、実際の取引が合法的で適法だからといって、購入者が合法的であるとは限りません。そこで、サイバーセキュリティの侵害により、オンライン取引による支払い詐欺が増加している。

ID窃盗と口座乗っ取りによる支払い詐欺

今日の決済詐欺の手口は、偽札を印刷し、その偽札を使って買い物をするといった従来の戦略からシフトしている。今日のデジタル犯罪者は、脆弱な口座を探し、その口座を掌握し、その口座に関連する資金や決済システムを使って買い物をする。言い換えれば、お金は本物で、口座も正当なものだが、口座を使っている人物が正当な所有者からそのアクセス権を盗んだか、所有者が知らないうちに口座を使っているということだ。

この結果、被害者は最終的に、購入した覚えのない買い物の領収書やその他の支払い証明を受け取ることになる。これは、誰かが財布を盗まれ、泥棒がその現金を使って買い物をするのと同じことである。

詐欺の増加

決済詐欺は、特にいくつかの重要な分野で増加している：

• デジタルウォレット
• ペイメント・サービス・プロバイダー取引
• 暗号通貨取引
• 今すぐ購入、後払い取引
• ロイヤリティ特典ポイント

毎年、何十億ドルもの決済詐欺が発生しているが、その原因のひとつは、レガシー・セキュリティ・システムの不備にある。特に、不注意な顧客が容易に解読可能なパスワードを使用した場合、多要素認証を有効にしていても、単一のパスワードのみのセキュリティシステムは信じられないほど脆弱である。強力な単一パスワードが使用されている場合でも、犯罪者が「キーロギング」を使用すれば、これを打ち破ることができる。

多要素認証は、この種の ID 窃盗に対してシステムを「強化」する追加的な方法の 1 つである。これらのサイバー・セキュリティ対策は、物理的・デジタル的な「鍵」や生体認証などの追加的なサイバー・セキュリティ・コンポーネントを使用して、より強固なセキュリティの層を追加する。パスワードが盗まれても、追加の認証要素がなければ、パスワードだけではアカウントへのアクセスやコントロールはできない。

しかし、課題は、サイバー・セキュリティ対策が妨害することなく保護を提供できるようにすることにある。セキュリティ機能によって購入が難しくなるようでは、良いことよりも悪いことの方が多い。そこでNok NokのFIDOプロトコルの活用のような取り組みが重要な役割を果たす。詳しくはこちらをご覧ください。 

特殊軍事作戦という慎重な言葉が使われているが、紛れもない事実として、大規模な軍事力がウクライナの広大な土地に侵攻し、場合によっては破壊している。現在、苦境にあるウクライナとロシアの侵略者との間で戦争が繰り広げられているが、ウクライナ防衛の主要な支援国であるアメリカとその企業は、サイバーセキュリティに対する攻撃の危険にさらされている。

前例との戦い

ウクライナのデジタルインフラはすでにサイバー攻撃の影響を受けている。電気インフラから輸送関連のネットワークまで、あらゆるものが侵害されている。長年にわたり、ロシアはアメリカのサイバーセキュリティを破る限界を試し、アメリカもそれに応えてきた。

しかし、ある国と別の国との間の公然たる戦争によって、世界は今、デジタル空間が第二の戦場となり、しばしば二次的だが重要な結果をもたらすことを目の当たりにしている。そして、アメリカは戦争に直接参加してはいないが、ウクライナの主要な支援国としての役割によって、アメリカのデジタル空間はプーチンの "ギャング外交 "の標的となっている。

期待すること

サイバーセキュリティに対する攻撃のターゲットになりやすいのは、伝統的に4つのセクターである。金融は、ロシアが歴史に残る制裁の犠牲者となっているため、誰も驚かないだろう。エネルギー部門もそのひとつで、発電の制御権を奪ったり、正当なユーザーを発電から締め出したりしようとする攻撃がある。ロジスティクスは常に計画や作戦の成功に重要な役割を果たすからだ。

しかし、ロシアのサイバー攻撃は意図的な戦略による攻撃だけでなく、機会を狙った攻撃でもあることに注意することは極めて重要である。ロシアの攻撃は、必ずしも個人が特定の名指しされた標的だけを狙って行っているわけではない。彼らはどこでも積極的に脆弱性を探し、見つかればそれを悪用する。

単一パスワードのみの知識ベースのサイバー・セキュリティ・システムに依存することは、あらゆるビジネスにとって深刻な脆弱性を露呈しかねない。多要素認証システム、あるいは暗号化生体認証のような他の手段を用いたパスワードレス認証システムは、システムの信頼性と安全性を桁違いに高める。パスワードレス・システムには盗まれる可能性のあるパスワードがなく、多要素認証システムにとっては、パスワードが漏洩しても、もはやシステムやアクセス・コントロールが与えられることを意味しない。一度だけランダムに生成されるコードや、物理的なデジタル・キーの検出など、それらの追加要素がなければ、システムにはアクセスできないままである。

サイバーセキュリティの変革にご興味のある方は、Nok Nokの最新のIDおよびパスワードレス認証技術、暗号化された多要素セキュリティ対策について、さらに詳しくご覧ください。

近年、金融とテクノロジーの分野で最も人気が高まっているトレンドのひとつが「暗号通貨」の利用だ。これは、ドルのような不換紙幣が持つような物理的・歴史的根拠を持たないデジタルマネーの一形態である。暗号通貨はインターネット上で共有されるコンピューター・コードとして存在し、その価値はインターネット全体で常に確認され、再確認される。また、規制緩和されており、どの国や銀行の管理下にもないため、政府が管理できない資産となっている。

しかし、この人気の高まりは、暗号通貨に対する監視の目を厳しくしている。米国政府は現在、暗号通貨を規制するための基礎固めを行っているが、その問題のひとつは、暗号通貨をめぐるサイバーセキュリティへの懸念が高まっていることだ。現在、暗号通貨は高い確率で盗難に遭っている。

アカウント盗難

暗号通貨はドル紙幣のように偽造することはできないが、不換紙幣よりも盗まれやすい面もある。暗号通貨に対する一般的な誤解のひとつに、取引を追跡するのが非常に難しいため、違法な取引に人気があるというものがある。しかし、暗号取引はブロックチェーン上に不変的に保存されるという事実が、サイバー犯罪者や窃盗犯の追跡を容易にしている。

しかし、暗号通貨には重大なサイバーセキュリティ上の問題がある。従来のウェブ技術をベースにしているため、暗号通貨の所有者が取るか取らないかの安全策によっては、暗号口座が盗まれ、資金が別の場所に送金される可能性がある。さらに、今日の暗号口座は、1つの暗号キーがユーザーのIDと口座の電子財布アドレスの両方に使用されるため、脆弱でもある。 

パスワードだけでは不十分

暗号通貨が極めて脆弱になる可能性があるのは、所有者が通貨のセキュリティをたった一つのパスワードに委ねている場合だ。たった一つのパスワードが判明したり、フィッシングなどの手法で盗まれたりすれば、その口座の管理権は奪われ、正規のユーザーは自分の資金から締め出され、暗号通貨は別の口座に移される。暗号通貨の最大の売りである匿名性と規制のなさは、最大の弱点でもある。

暗号通貨を保護する最善の方法は、特別な予防措置を講じることだ。多要素認証は、アカウントの乗っ取りをより困難にする一つの方法である。最新のFIDO生体認証のようなパスワードレス認証システムなど、他のサイバーセキュリティ対策に切り替えることも、典型的なフィッシングや個人情報窃盗の手口がシステムに侵入できないようにする方法のひとつだ。 

デジタルストレージやデジタルアクセスへの依存が高まる中、サイバーセキュリティ対策もそれに対応する必要があります。最高のデジタル保護と安心のために、Nok Nokの最新のアイデンティティとパスワードレス認証、そして多要素セキュリティ対策について、詳しくはこちらをご覧ください。