はじめに
前回は「バイブコーディング」を取り上げました。生成AIと対話しながら、まずは動くものを作り、さらにやり取りを重ねて改善していく開発の進め方です。AIによって、業務ツールを作るハードルは大きく下がりました。
一方、ここで重要度を増しているのが「セキュリティ」です。AIを使えば仕事は速くなり、クラウドを使えばどこからでも仕事ができます。便利になるにつれて、会社の情報にアクセスする場所、利用者、端末、サービスは増えていき、同時に攻撃や事故の入口といった、リスクが増していることになります。
昔のように「会社の中は安全、外は危険」と場所を分ける考え方だけでは、セキュリティを保ちにくい時代になりました。
今回のテーマは、「ゼロトラスト」「多要素認証」「サイバーリスクマネジメント」です。デジタルを安全に使うための基本的な考え方を、まとめて解説します。
ゼロトラストとは何か
ゼロトラストとは、「確認しないまま信頼しない（Never trust, always verify）」という考え方です。人を疑うという意味ではありません。会社の情報やシステムにアクセスする際には、「社内からだから大丈夫」「一度ログインしたから大丈夫」と判断せず、アクセスの度に信頼を検証し続けるという考え方です。
以前は、会社のネットワークの内側を守れば一定の安全を確保できると考えられていました。これを「境界防御」と呼びます。しかし現在は情報にアクセスする入口が増えています。自宅や外出先、出張先といった場所や、スマートフォンやパソコンなどの端末、クラウドサービスや外部サービスとの連携。このように守るべき対象と入口が大きく広がり、「会社の中を守れば十分」という考え方だけでは不十分になっています。
そこから「ゼロトラスト」という概念が生まれました。ゼロトラストでは、アクセスのたびに確認を行います。本人であるか、端末は安全か、その人がその情報の閲覧権限があるか、いつもと違う場所や時間からアクセスしていないか、などを確認し、必要な範囲だけ利用を認めることで安全を確保します。
多要素認証とは何か
ゼロトラストを実現するための手段として、多要素認証があります。多要素認証とは、本人確認をするときに異なる種類の確認方法を組み合わせる考え方です。
パスワードだけでログインする場合、パスワードが漏えいすると、第三者が本人になりすましてログインできてしまう危険があります。そこでパスワードに加えて、スマートフォンに届く確認コード、認証アプリ、指紋認証、顔認証などを組み合わせます。
本人確認には、「本人だけが知っているもの」「本人だけが持っているもの」「本人の身体的特徴」などがあります。（例：パスワード、スマートフォン、指紋、顔など）このうち異なる種類を組み合わせるのが多要素認証です。
このように多要素認証はなりすましを防ぐうえで大事な仕組みです。ただし、多要素認証を導入すれば絶対に安全というわけではありません。心当たりのない認証通知を承認しない、確認コードを他人に伝えない、重要な業務ではより安全な認証方式を使う。こうした運用まで含めて考えることが重要です。
身近な事例 テレワークとクラウド利用
社員が自宅から会社のクラウドサービスにログインし、顧客情報を含む資料を確認する場面を考えてみます。
「IDとパスワードが合っていれば入れる」という仕組みだけでは不十分です。もしパスワードが外部に漏えいしていれば、第三者が同じIDとパスワードでアクセスできてしまうからです。
ゼロトラストの考え方ではここで追加確認を行います。いつもの端末か、いつもと違う場所や時間ではないか、多要素認証を通過しているか、その資料を閲覧する権限があるか、といった点を確認したうえでアクセスを認めます。
場合によっては閲覧だけを許可し、ダウンロードは禁止するといった制御をする場合もあります。
サイバーリスクマネジメントとは何か
サイバーリスクマネジメントとは、サイバー攻撃や情報漏えいを単なるシステム部門の問題ではなく、会社全体の経営リスクとして管理する考え方です。
サイバー事故が起きると、システムが止まるだけでは済みません。サービス提供の停止、情報漏えい、取引先への影響、会社の信用低下など、売上や事業継続にもダメージを与えます。
つまり、サイバーリスクは「システム部門だけの問題」ではありません。会社の事業そのものに関わる問題です。
サイバーリスクマネジメントでは、事故を防ぐことだけでなく、万が一起きたときに被害を小さくし、早く復旧する準備まで含めて設計します。どの情報やシステムが重要か、止まるとどの業務に影響するか、どのリスクから優先して対策するか、事故が起きたとき誰が誰に報告するのか、どのシステムや業務を誰の判断で一時的に止めるのか、最終決定者は誰なのか。こうした点をあらかじめ想定し、整理し、決めておくことが重要です。
まとめ
ゼロトラストは、「社内だから安全」といった前提で判断せず、その都度確認する考え方です。多要素認証は、パスワードだけに頼らず、異なる種類の方法で本人確認をする仕組みです。サイバーリスクマネジメントは、サイバー上の危険を会社全体のリスクとして管理する考え方です。
DXが進むほど仕事は便利になります。しかし便利になるほど情報に触れる入口も増えます。これからのデジタル活用では、「使えること」は常に「安全に使えること」でなければいけません。安心して使える状態を作ることも、DXの大事な基盤なのです。
ポイント
ゼロトラストは「確認しないまま信頼しない」という考え方
多要素認証は異なる種類の確認方法を組み合わせる仕組み
サイバーリスクは会社全体の経営リスクとして考える
自分の仕事で扱う情報を、「公開してよい情報」「社内だけの情報」「特に注意が必要な情報」に分けてみましょう。そのうえで、誰が閲覧してよいのか、どこからアクセスしてよいのかを、チームで共通認識にしておきましょう。
さらに、不正にアクセスされた場合のことを想定しておくことも重要です。誰に報告するのか、どの部分を止めるのか、お客様や関係部署にどう知らせるのかを整理してみましょう。
セキュリティは、不正アクセスを防ぐだけでなく起きたときに被害を広げない準備まで含めて考えることが大切です。
DXビジネスアンバサダー
岸 晶子
きし あきこ
都市銀行勤務後、出産を経て専業主婦に。3人の子育てが一段落した際にデジタルリスキリングを実施。その経験を活かしDXビジネス教育に関するコラム記事や大学向け教材作成などを手がける。
