長谷川 孝史
自治体や病院などでは、窓口端末など複数のユーザーが同じ端末を共有して利用することがあります。このような共有端末は、通常異なるユーザーアカウントを持つ個々のユーザーが、同じ端末上で個々のアカウントでログインして利用できるようになっています。しかし、運用や管理の簡便性、コスト削減などを目的とし、複数のユーザーが同じユーザーアカウントとパスワードを共有して利用することもあります。
このように、共用端末を共通となるひとつのアカウントで利用した場合、メリットだけでなくいくつかの安全性に関する懸念が存在します。今回はこのメリットとリスク、およびその対策について取り上げます。
共通アカウント利用のメリット
共通アカウントの利用にはいくつかのメリットが考えられます。その代表的なものを以下に挙げます。
- 簡素化と利便性
複数のアカウントやパスワードを管理する必要がなく、アクセス権の管理が容易になります。 - コスト削減
複数のアカウントやライセンスが必要なくなり、ソフトウェアのライセンス料やサブスクリプション費用を削減できます。 - 共有の一貫性
管理者によるアカウントに関する情報や設定が一貫して保たれ、共通アカウント間での連携が容易になります。
これらのメリットは、組織が共通アカウントを導入する際に検討すべきポイントになります。ただし、ユーザーやユーザーが取り扱う個人情報に対する適切な対策が必要となります。
次に、共通アカウントを利用する場合のリスクについて見てみましょう。
共通アカウント利用のリスク
共通アカウントの利用にはいくつかのリスクが伴います。その代表的なものを以下に挙げます。
- セキュリティリスク
共通アカウントが不正に利用された場合、複数のサービスやプラットホームに関連する情報が危険にさらされます。 - アクセス権の誤用
共通アカウントに対して誤って共有権限を与えてしまうと、アカウントの所有者以外のユーザーがこの権限を誤って利用する可能性があります。 - パスワードの脆弱性
共通アカウントを利用する場合、強力なパスワードを確保する必要がありますが、脆弱なパスワードを適用してしまった場合、セキュリティが脅かされかねません。 - アカウントの権限管理の複雑化
人事異動などによりアカウントの権限設定やアクセス管理が複雑化する可能性があります。 - 法的コンプライアンスの問題
特定の業界や地域には法的な規制があります。共通アカウントの仕様がこれらの規制に違反する可能性がないか確認する必要があります。
これらのリスクを最小限に抑えるために、共通アカウントの設定や管理には適切な対策が必要です。
次に、その対策はどのようなものか見ていきます。
共通アカウントを利用する場合の対策について
共通アカウントを利用する場合、リスクを理解したうえで適切なセキュリティ対策を講じることが重要です。対策としては以下のようなものが挙げられます。
- 強力なパスワードの使用
パスワードには、他人が推測したり、技術的に解読することが困難な、独自の文字の長い組み合わせが必要です。数字、文字（大文字と小文字を組み合わせる）、特殊文字を使った長いパスワードを用いることで、セキュリティを向上させます。 - 多要素認証の有効化
IDとパスワードのみの認証では、それらを入手すれば誰でも本人になりすますことができます。多要素認証を導入し、共通アカウントへのアクセスを保護します。 - アクセス権の適切な管理
共通アカウントにアクセスするユーザーごとに、必要最小限のアクセス権を設定します。 - アクセスログと監査
アクセスログを記録し、定期的な監査を実施して、共通アカウントへの不正アクセスや異常なアクティビティを監視します。 - 定期的なパスワード変更 *1
共通アカウントのパスワードは定期的に変更します。 - 法的コンプライアンス
個人情報の取り扱いに関する法的要件や業界規制に従い、法的コンプライアンスを確保します。
*1 パスワードの定期変更については、現時点では、複雑なパスワードを利用していれば定期的に変更しなくてもよいとする指針が示されています。アメリカの国立標準技術研究所（NIST）が2020 年 3 月に発行した認証に関するガイドラインでは「定期的に変更するよう要求すべきではない」とされていますが、ポリシー上、定期変更の運用が残っていることも多く見受けられます。
これらの対策を行い利用者も遵守することで、共用端末による共通アカウント利用時のセキュリティを保護し、リスクを最小限に抑えることができます。
まとめ
共有端末を共通アカウントで利用する必要がある環境においては、メリットにのみ目が向きがちになります。リスクについて軽視すると重大なセキュリティ事故や運用負荷の増加により、想定していない費用が発生することでコスト増加へとつながることも考えられます。
株式会社ディー・ディー・エスが提供する多要素認証ソリューション（EVEMA、EVEFA、Themis）を導入することで、共通アカウント利用に必要なセキュリティ対策を実現するとともに、管理者による運用負荷の軽減もご提案が可能です。製品の詳細や各種機能についてご不明な点がございましたらお気軽にお問い合わせください。
※記載の製品名は、各社の商標または登録商標です。
