海外コメンタリー

マイクロソフトのCISOが語る--なぜパスワードをなくそうとしているのか

Liam Tung (Special to ZDNET.com) 翻訳校正: 石橋啓一郎 編集部

2021-06-23 06:30

 Microsoftの最高情報セキュリティ責任者(CISO)であるBret Arsenault氏は、同社に勤めて31年になるが、大勢の人から歓声を浴びた経験が1度だけあるという。それは、71日ごとのパスワード変更を義務づける社内ポリシーを廃止したときだ。

 Arsenault氏は、米ZDNetの取材に対して「それはセキュリティ担当者として、経営幹部として私が喝采を浴びた初めての経験だった」と話す。「私たちは、パスワード自体をなくしたことで、Microsoft社内のパスワードのローテーションをなくすのだと説明した」

 Arsenault氏は、MicrosoftのCISOとして、同社の製品と16万人の従業員に使われている社内ネットワークの両方を守る責任を負っている。ベンダーまで含めれば、世界で24万人分のアカウントの責任を負っていることになる。パスワードを廃止し、多要素認証(MFA)などのより良い選択肢に置き換えることは、同氏のやるべきことリストの上位に位置している。

 Microsoftはパスワードに関するポリシーを段階的に改訂してきた。2019年1月には、テレメトリーで効果を検証しながら、パスワードの有効期限を1年間に変更した。2020年1月には、その結果に基づいて、パスワードの期限を無期限にした。

 また2019年には、顧客に対してパスワードの有効期限を60日間に定める方針を推奨するのをやめる方針示した。これは、ユーザーが既存のパスワードに小さな変更を加えるだけになったり、新しい優れたパスワードを忘れてしまう傾向があったためだ。

 Arsenault氏は、あらゆる場面にMFAを導入すべきだと主張する代わりに、この変化をパスワードをなくすための試みの一環として説明した。

 「パスワードが好きな人などいない。あなたも、ユーザーも、IT部門もみんなパスワードを嫌っている。パスワードが好きなのは犯罪者だけだ。サイバー犯罪者はパスワードが大好きだ」と同氏は言う。

 Arsenault氏は、「私たちはあらゆるところにMFAを導入することをモットーとしていたが、今にして思えば、それはセキュリティの目標としては正しいが、アプローチとしては間違っていた。追求すべきはユーザー目線での成果であり、目指すべきはユーザーに『パスワードをなくしたい』と思わせることだった。しかし、物事をどう表現するかは重要なことだ。この単なる表現の変化によって、文化が変わり、実現しようとしていることに対する見方が変わった。さらに重要なのは、それによって私たちが作る製品の設計が変わったことだ。『Windows Hello for Business』はその好例だといえる」と述べた。

 「パスワードをなくして何らかの生体認証を使えば、認証は素早く行えるようになり、ユーザー体験も改善される」と同氏は話す。

ZDNET Japan 記事を毎朝メールでまとめ読み(登録無料)

ホワイトペーパー

新着

ランキング

  1. セキュリティ

    ChatGPTに関連する詐欺が大幅に増加、パロアルトの調査結果に見るマルウェアの現状

  2. セキュリティ

    迫るISMS新規格への移行期限--ISO/IEC27001改訂の意味と求められる対応策とは

  3. セキュリティ

    警察把握分だけで年間4000件発生、IPA10大脅威の常連「標的型攻撃」を正しく知る用語集

  4. セキュリティ

    いま製造業がランサムウェアに狙われている!その被害の実態と実施すべき対策について知る

  5. セキュリティ

    ランサムウェア攻撃に狙われる医療機関、今すぐ実践すべきセキュリティ対策とは?

ZDNET Japan クイックポール

所属する組織のデータ活用状況はどの段階にありますか?

NEWSLETTERS

エンタープライズコンピューティングの最前線を配信

ZDNET Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]