第1回目の記事【パスワードの基礎と主な管理手法について】で、パスワード管理手法のうち、業務効率化の観点及び安全性向上の観点からパスワードマネージャーによる管理が有効な手段であることをご紹介しましたが、今回は具体的な選定のポイントについてご紹介をしていきたいと思います。
パスワードマネージャーの選定ポイント
無償ツールと有償ツール
パスワードマネージャーは主に無償・有償の観点でツールを大別することができます。
- 無償ツール：主にブラウザベンダーがブラウザに標準搭載しているパスワードマネージャー機能のこと
- 有償ツール：専門のサイバーセキュリティベンダーから提供されているもの
※無償ツールの中には有償ツールを提供するベンダーが提供する無償版も存在しますが、今回はスコープ外とします。
無償ツールの特徴（メリット、デメリット）
以下に、無償ツールの特徴をご紹介します。
[代表的な提供ベンダー]
Apple（Safari）、Google（Chrome）、Mozilla（Firefox）、Microsoft（Edge,IE）
[メリット]
- ランニングコストがかからない：
文字通りですが、無償であることが最大の魅力です。 - 利用・導入の容易さ：
ブラウザの機能となるため、導入作業無しに即時利用が可能です。
[デメリット]
- 安全面の不安：
ブラウザはパスワード管理をするための物ではないため、安全面よりも利便性を追求しています。その上で、追加的に付与された機能であるブラウザパスワードマネージャーには安全面で以下の危険があることを認識しておく必要があります。- パスワードの保存/利用と暗号化
一部のブラウザでは一貫した暗号化がなされない（若しくは、なされていなかった）ことが専門家により指摘されております。具体的には、本来、機微情報であるパスワードを暗号化して保管し、復号して利用する場合、そのパスワードを復号できる人は唯一、利用者本人であり、利用者本人がパスワードを利用しないときは完全に暗号化されている必要があります。（＝ゼロナレッジアーキテクチャ※1）
しかし、一部のブラウザにおいて、部分的に暗号化がなされておらず平文で保管される瞬間や場所がある（若しくは、あった）ことが指摘されております。 - アクセス制御
皆様は普段どれくらいの頻度でブラウザにログインを行っているでしょうか。多くの方は、ほぼ常時ブラウザにログインした状態で作業をし、頻繁にブラウザからログアウト→ログインをするというのは稀なのではないでしょうか。これ自体が悪いわけではありませんが、パスワード管理の観点では危険と隣り合わせの行為と言えます。
ブラウザでパスワードを保管している場合、ブラウザにログインしている間、パスワードは平文で確認することができる状態となっているため、上記のようなブラウザの使い方をされている方は、ほぼ常時パスワードが暗号化されていない状態に晒されていることになります。この状態で端末を紛失したり、他人が端末を操作できてしまえば保管されているパスワードが全て漏洩する危険があると言えます。 - マルチデバイス対応とアタックサーフェイス
ブラウザでパスワードを保管する場合、その情報は他のブラウザとは共有されません。つまり、複数のブラウザを利用する場合、それぞれのブラウザでパスワードを保管する必要があります。利用方法にもよりますが、一般的に複数回パスワード生成や保管の作業をする必要があるという利便性の低さと、機微情報であるパスワードを多くの箇所に置くことにより、アタックサーフェイス（＝サイバー攻撃を受ける可能性があるポイント）が増えるという安全面での懸念があると言えます。
- パスワードの保存/利用と暗号化
有償ツールの特徴（メリット、デメリット）
以下に、有償ツールの特徴をご紹介します。
[代表的な提供ベンダー]
Dashlane、Keeper Security、LastPass、1Password
[メリット]
- 高い安全性：
有償ツールはパスワード管理専用ツールであり、安全面を最重視した設計となっているため、無償ツールがかかえる「安全面の不安」を以下のように解消することができます。- パスワードの保存/利用と暗号化
有償ツールの中でも採用している暗号化アルゴリズム、暗号化の単位は異なりますが、基本的にゼロナレッジアーキテクチャ※1に基づいた暗号化メカニズムが採用されており、パスワードが平文で晒されるようなことがない設計となっています。 - アクセス制御
有償ツールのほとんどがログインタイマー等の設定がデフォルトで有効化されており、パスワード利用後は自動的にログアウトする設計となっています。
利便性が下がるように思われるかもしれませんが、有償ツールのログインに指紋認証や顔認証を用いることで、利便性が大幅に下がることを防ぐこと可能です。
- パスワードの保存/利用と暗号化
- 痒い所に手が届く：
一部後述する「パスワード利用状況の可視化」、「適切なパスワード共有管理」等のパスワード管理専用ツールとしての機能を利用することができ、包括的なパスワード管理が可能です。
[デメリット]
- ランニングコストがかかる：
当たり前ですがコスト発生はデメリットであり、メリットとの比較が必要になります。
※1 ゼロナレッジアーキテクチャ（ゼロ知識アーキテクチャ）
ゼロ知識アーキテクチャとは、顧客データの平文（暗号化されていないデータ）をベンダーのクラウドに送信することなく、ユーザーのデバイス上でのみ暗号化と復号を行う仕組みです。
アプリケーションが平文を保管することはありませんし、ベンダーのクラウドが平文でデータを受信することもありません。
データが他のデバイスに同期される場合には、他のデバイスで復号（デコード／暗号化データの解読）されるまで、データは暗号化されたままとなります。
無償ツールと有償ツール、選定のポイントは？
では、無償ツールと有償ツール、どちらのパスワードマネージャーを利用すべきなのか。
ここからは、選定時のポイントについて解説をしていきます。
無償ツール → 有償ツールの順序で考える
最初にお勧めしたい大切な考え方は「無償ツールで運用できないか？」からスタートすることです。この考え方でスタートし、どうしても有償ツールが必要な場合には有償ツールを検討する、という順序が重要となります。
その上で、無償・有償の判断が分かれるポイントして以下の要素が参考になります。
個人利用か法人利用か？
この観点でいうと、個人利用＝「無償ツール」、法人利用＝「有償ツール」と考えるのが一般的です。
個人利用の場合、パスワードの管理責任は各個人にありますが、法人利用の場合、その管理責任は法人に帰属する点がポイントです。一般的に有償ツールには、組織全体のパスワード管理状況を可視化し、管理者は各従業員の「パスワード使い回しの有無」や「弱いパスワードの利用」をチェックする仕組みが搭載されています。しかし、無償ツールにはそのような仕組みは存在しません。（もちろん、スプレッドシートやメモにも存在しません）
そのため、法人利用に無償ツールを選定してしまうと、適切なパスワード管理が組織的になされているか分からず、サイバー攻撃後のインシデント調査ではじめて管理体制の不備を指摘されるという結末になりかねません。こういったことから、基本的には法人利用＝有償ツールが適しているという結論になります。
※但し、小規模な組織等で、何らかの手段で適切なパスワード管理を組織として担保できる場合には、法人利用でも無償ツールは有効な手段となり得ます。
例：セキュリティ知識のある数名で設立したベンチャー企業など。
共有アカウント（＝ID/PW）はあるか？
そもそも、「パスワード共有」自体、行わないことがベストなのは言うまでもありませんが、業務上、やむを得ないケースも存在致します。
よくあるのが、SNSアカウントの運用を複数人で行うケースや、外部から付与・貸与されているアカウントを複数人で行うケースです。
このようなケースでは、必然的に1つのアカウントを複数人で共有しながら運用していくことになるため、ID・パスワードの管理を安全かつ効率的に行うことが業務上でとても重要となります。
そして、ほとんどの有償ツールにはこのような課題を解決するためのパスワード共有機能が搭載されています。詳細な機能説明は各ツールごとに異なるため省きますが、この機能を用いることで、メールやスプレッドシートで平文もしくはそれに近い低強度な保護でID・パスワードを共有するのではなく、有償ツール上で、必要な時に、必要な人にだけ（＝Need to KnowやLeast Privilegeの原則に沿った）、高強度の保護と共にID・パスワードを簡単に共有することが可能となります。
まとめ
- パスワードマネージャーは無償ツールと有償ツールで大別されます。
- 無償ツールは安全性よりも利便性を重視しており、有償ツールはその逆と言えます。
- 無償/有償をどちらかにするか考える時は「無償ツールでいけないか？」から考え、ダメなら有償ツールを考えるのがオススメです。
- 個人利用＝「無償ツール」、法人利用＝「有償ツール」が基本的な考え方となります。
- 法人利用の場合、従業員の「パスワード使い回しの有無」や「弱いパスワードの利用」をチェックする仕組みが必要となります。
次回はMITREフレームワークに見るパスワード管理について解説します。
