パスワードとパスキー：アカウントを守る
同じパスワードを複数のサイトで使い回すことは、今もアカウント乗っ取りの最も多い原因のひとつです。パスワード管理ツール、二要素認証、パスキーの3つで、問題の大部分は解決します。
Kayzen Security編集チーム読了時間：4分
良いパスワードの条件
見た目の複雑さよりも長さが重要です。互いに関連のない複数の単語からなるパスフレーズは、長く、しかも覚えやすいものです。CNILは、単独で使う場合と第二要素と組み合わせる場合とで異なる、パスワードに関する詳細な推奨事項を公表しています（délibération n° 2022-100、2022年7月21日）。
- アカウントごとに固有であること。
- 長いこと：パスフレーズまたはランダムに生成された文字列。
- 個人情報（名前、日付、ペットの名前）から作らないこと。
- 漏えいが判明した場合や疑わしい場合は、すぐに変更すること。
パスワード管理ツール
パスワード管理ツールは、ひとつのマスターパスワードで保護された暗号化された保管庫に認証情報を保存します。ランダムなパスワードを生成して自動入力し、正しいサイトでのみ候補を表示するため、フィッシングのリスクも抑えられます。
評価の確立したツールを選び、マスターパスワードを大切に守り、保管庫そのものにも二要素認証を設定してください。企業では、チーム向けの管理ツールを使えば、メールで送ることなくアクセス情報を共有できます。
二要素認証
- 認証アプリまたは物理セキュリティキー：最も安全な選択肢です。
- SMSによるコード：ないよりは良いものの、より攻撃されやすい方法です（回線の乗っ取り、リアルタイムのフィッシング）。
- 受け取ったコードは、たとえ相手が銀行やテクニカルサポートを名乗っていても、求められて教えることは絶対にしないでください。
- バックアップコードは、メインの端末以外の安全な場所に保管してください。
パスキー：自然な次のステップ
パスキー（アクセスキー）は、FIDO AllianceとW3Cの標準に基づいています。端末はサイトごとに固有の鍵ペアを作成します。秘密鍵はサイトに送信されることはなく、端末またはパスワード管理ツールの中にとどまり、管理ツールはそれを暗号化して同期します。秘密鍵は指紋、顔、またはPINでロック解除します。
鍵は本物のドメイン名に紐づいているため、偽サイトでは使えません。これはフィッシングに対する強力な防御です。サービスが対応していれば、復旧手段を確保したうえで有効にしましょう。
企業では
- メール、リモートアクセス、管理ツールで二要素認証を必須にする。
- 共有スプレッドシートではなく、チーム向けのパスワード管理ツールを提供する。
- 退職者のアカウントは速やかに無効化する。
- 端末ごとに異なるローカル管理者パスワードを使う。
公式情報源
- CNIL （新しいタブ） — Mots de passe : une nouvelle recommandation pour maîtriser sa sécurité
- FIDO Alliance （新しいタブ） — Passkeys (clés d'accès)
- Cybermalveillance.gouv.fr （新しいタブ） — Assistance et prévention en sécurité numérique (fiches réflexes, prestataires ExpertCyber)
引用した資料は、各発行元が原語で公開しているものです。Kayzen はこれらの機関のいずれとも提携していません。
本ガイドは一般的な情報提供を目的としたものです。法的助言や情報セキュリティ専門家による対応に代わるものではありません。