技術対策は3層で考える
認証・アクセス権限・データ保護の3層を重ねることで、堅牢な守りを作れます。
なぜ多層防御が必要か
1つの対策だけでは、破られたときに被害が全体に及びます。パスワードだけの認証は破られやすく、突破されると全データにアクセスされます。3層の防御を重ねると、たとえ入口を突破されても次の層で止められる仕組みになります。認証が破られてもアクセス権限で必要な情報しか見られない、権限を突破されてもデータが暗号化されていて読めないなど、被害が広がらない構造を作ることが多層防御の本質です。
3層の役割
第1層の「認証」は入口の鍵で、本人確認の仕組みです。第2層の「アクセス権限」は入った後の制限で、権限のあるデータだけを見せる仕組みです。第3層の「データ保護」は最終防衛で、万が一データを持ち出されても中身を読めない状態にする仕組みです。銀行の建物を例に取ると、入館時の本人確認（認証）、金庫室に入れる人の制限（権限）、金庫自体の頑丈さ（データ保護）に対応します。役割の違いを理解すると、対策の抜け漏れが見えやすくなります。
第1層：認証で入口を守る
認証は入口の鍵。ここが弱いと他の対策が効きにくくなります。
パスワードの管理
パスワードは長さと複雑さが基本です。8文字以下や辞書に載っている単語は破られやすく、業務用途では最低12文字以上・英数記号混在が推奨されます。使い回しは絶対に避け、サービスごとに異なるパスワードを設定する必要があります。1つのサービスから漏れたパスワードで他のサービスにログインする「パスワードリスト攻撃」は極めて多く、使い回しは危険です。パスワード管理ツール（1PasswordやBitwardenなど）を使うと、記憶負担なく管理でき、月数百円で全社導入できます。
多要素認証（MFA）
パスワードに加えて、スマホアプリのコードやSMSで送られる番号など、複数の要素で本人確認する仕組みです。パスワードが漏れても、スマホがなければログインできないため、突破が格段に難しくなります。米国調査ではMFA有効化でアカウント乗っ取りが99%減少するデータもあり、費用ゼロで効果が最大級の対策です。Google・Microsoft・Salesforce・freeeなど主要クラウドサービスの多くが標準機能として提供しており、有効化は数分で完了します。
生体認証・シングルサインオン
指紋・顔認証や、1つのIDで複数サービスにログインできるシングルサインオン（SSO）も、認証を強化する手段です。特にSSOは、社員が多くのパスワードを覚える負担を減らしつつ、退職時のアカウント一括削除が可能になるため、組織的な管理に有効です。Google WorkspaceやMicrosoft 365と主要SaaSを連携させる形が中小企業でも導入しやすく、複数のクラウドサービスをまたぐ運用の一元化と、退職時のリスク低減が同時に実現できます。
第2層：アクセス権限を最小限にする
業務に必要なデータだけを見られるようにすることで、内部漏洩を防げます。
役割ベースのアクセス制御
社員1人ごとに権限を設定するのではなく、役割（営業・経理・管理職など）ごとに権限をまとめる方式です。役割の権限テンプレートを作れば、新入社員も転属もテンプレートを当てはめるだけで済み、管理が楽になります。個人単位の管理では社員数が増えるほど設定漏れや権限の付けすぎが発生し、監査でも問題視されがちです。役割ベースに切り替えると、組織変更にも対応しやすく、監査時の説明もシンプルになります。
最小権限の原則
業務に必要な最小限の権限だけを与える考え方です。営業担当者に経理データは必要ないため、見られない状態にします。原則として「デフォルトで見せない」設計にし、必要な人にだけ権限を追加していきます。この設計だと、権限外閲覧のリスクが構造的に低くなり、万が一アカウントが乗っ取られても被害範囲が限定されます。中小企業では「全員が全部見られる」が便利さから放置されがちですが、情報資産の重要度に応じて権限を絞り込むのが基本です。
権限の定期見直し
組織変更・退職・異動があった場合、権限も見直す必要があります。年1回全社員の権限を棚卸しする、退職時は即日アカウント削除するなどのルールを設けます。特に退職者のアカウント放置は、退職後の不正アクセスにつながるため危険です。数年前に退職した社員のアカウントが有効なまま放置されているケースは中小企業で珍しくなく、監査で必ず指摘されるポイントです。人事異動と連動した権限の自動更新の仕組みを整えると、運用漏れを防げます。
第3層：データそのものを守る
データを暗号化してバックアップを取れば、万一の際も被害を抑えられます。
暗号化
データを解読できない形に変換する技術です。ノートパソコンやUSBメモリを紛失しても、暗号化されていれば中身は読めません。パソコンのディスク全体を暗号化するBitLocker（Windows）やFileVault（Mac）は費用ゼロで有効化でき、法律上の「安全管理措置」の要件も満たせます。クラウドストレージの標準暗号化機能を有効にすることが基本で、機密性の高いファイルはパスワード付きZIPで二重保護する運用も併用します。
バックアップ
データの複製を別の場所に保管しておく仕組みです。ランサムウェア感染や機器故障、誤削除などから復旧するための最後の保険になります。バックアップ先は本体と物理的に離れた場所（クラウド・別拠点）にし、常時接続でない環境に保管することで、感染の連鎖を防げます。「3-2-1ルール」（3つのコピー、2種類の媒体、1つは遠隔地）が国際的な標準で、これに沿った設計にすれば大半の事故に耐えられます。
世代管理
バックアップは1世代だけでなく、複数世代（1日前・1週間前・1カ月前など）を残す設計にします。ランサムウェアはバックアップも暗号化することがあり、感染に気づく前のクリーンな版が残っていないと復旧できません。近年のランサムウェアは潜伏期間が数週間に及ぶこともあり、直近のバックアップだけでは救えないケースが多発しています。世代管理は復旧確度を大きく上げる仕組みで、日次・週次・月次を組み合わせるのが一般的です。
中小企業でもすぐできる技術対策
高額な投資なしで始められる技術対策が多く存在します。
| 優先度 | 対策 | 手段の例 |
|---|---|---|
| 最優先 | 多要素認証の有効化 | Google・Microsoft・クラウドサービスの標準機能 |
| 優先 | パスワード管理ツール導入 | 1Password・Bitwardenなど |
| 優先 | OSとソフトの自動更新 | Windows Update・自動アップデート設定 |
| 中 | ディスク暗号化 | BitLocker（Windows）・FileVault（Mac） |
| 中 | クラウドバックアップ | OneDrive・Google Drive・専用サービス |
特に多要素認証は、費用ゼロで最も効果の高い対策です。すべてのクラウドサービスとメールで最初に有効化することを強く推奨します。次回は「組織で守る」として、社内ルールと教育の設計について解説します。
まとめ
情報セキュリティの技術対策を、認証・アクセス権限・データ保護の3層で解説しました。
- 技術対策は「認証」「アクセス権限」「データ保護」の3層を重ねる
- 認証はパスワード＋多要素認証が基本。パスワード管理ツールで運用を楽にする
- アクセス権限は役割ベースで最小限に。定期的な棚卸しが必須
- データ保護は暗号化＋バックアップ＋世代管理で、万一の際に備える
- 中小企業でも、多要素認証・自動更新・暗号化など、費用ゼロで始められる対策が多い
技術対策は「設定すれば効果が続く」タイプの守りで、費用対効果が高い領域です。ジョブらくでは、業務に合わせた技術対策の選定と、既存システムでの多要素認証・アクセス権限設計を支援しています。「どこから手をつければいいか」の段階から、お気軽にご相談ください。
コメント