■■【一口情報】 クラウドサービスのセキュリティ対策
時代の流れを時系列的に見ると、見えないものが見えてきます。ＮＨＫの放送や新聞・雑誌などを見て、お節介心から紹介しています。
■ クラウドサービスのセキュリティ対策
2014年９月、米国人気女優やモデルなど著名人のプライベート画像が多数流出したことが話題になりました。報道およびApple社の調査によると、iCloudのアカウントが乗っ取られてしまったことでiCloudから多数の画像が流出したとされています。
ＩＰＡサイトでは、
「クラウドサービスからの情報漏えいに注意！」
～スマートフォンで撮影した写真の保存先と
公開範囲を意識していますか？～
というタイトルで、iCloudを例としてクラウドサービスを利用する上での留意点やアカウント管理のポイントを紹介しています。
もちろん、このような被害が発生するリスクはApple社のサービスに限ったことではなく、クラウドサービス全体に言えることですここでは、ＩＰＡのサイトを基に、ご紹介しておきます。
◆１ クラウドサービスの概要
クラウドサービスは、いまさら説明するまでもなくよく知られていますし、二兆五利用の方も多いでしょう。しかし、そうでない人もいらっしゃいますので、簡単にご紹介しておきます。
インターネットを通じてデータ保管やソフトウェア利用を提供するサービスの総称です。インターネットに接続できる環境を持つどの端末からも、同様のサービスを利用できることが特徴です。
Apple社が提供するiCloudというクラウドサービスは「自分のフォトストリーム」という機能を利用した、複数の端末間での写真データを同期して利用することができます。
iCloudの「自分のフォトストリーム」を有効にしますと、１台の端末でアップロードした写真が、自動的にiCloudにアップロードされます。自分が所有する他の複数の端末でも閲覧できます。
iCloudを利用すると写真だけではなく、メール、連絡先、カレンダー等、普段はiPhoneで利用している情報を、iPadやパソコンでも閲覧できます。便利であるということは、リスクも伴います。
◆２ クラウドサービスのリスク
iCloudには、写真だけではなく、各種の個人情報でも利用できるという利便性を紹介しました。もし、iCloudのアカウント情報が何らかの方法で悪意ある第三者の手に渡ってしまった場合、どうなるでしょう。
iPhoneやiPadで撮影した写真や、iCloudから確認できるメール、連絡先、カレンダー等の情報が窃取され、漏えいしてしまう可能性があります。
ＩＰＡでは、その怖さを下記のように紹介しています。
１）「自分のフォトストリーム」を有効にしていると、ユーザーがiPhoneで撮影した写真は、自動的にiCloudにアップロードされる。
２）悪意ある第三者が、iCloudが利用できる端末から、ユーザーのアカウント情報を悪用してiCloudに不正ログインする。
３）iCloudに保存されているユーザーの写真データが悪意ある第三者の端末にダウンロードされる。
４）入手したユーザーの写真データを、悪意ある第三者がインターネット上に流出させる。
他にもiCloudに不正ログインされると、iCloud Driveに保存されているファイル等が漏えいしてしまうことも考えられます。また、iCloudバックアップを利用している場合は、自動的にバックアップされたデータが悪意ある第三者のiPhoneなどに復元されてしまい、様々な情報の漏えいにつながる可能性があるのです。
◆３ クラウドサービスを利用する際の注意点
iCloudに限らず、どこからでもアクセスできるという機能は、他の一般的なクラウドサービスでも共通のことで、便利な一方、リスクでもあります。
データをパソコン上にだけ保管している場合は、パソコンさえしっかり守っていれば情報漏えいの被害に遭いません。
一方、クラウドサービスを利用している場合は、悪意ある第三者にIDとパスワードを知られてしまうと、自分のiCloudが乗っ取られてしまいます。すなわち、自分のクラウドサービスに、他人が勝手に不正ログインできてしまい、情報漏えいの被害に遭うことになりかねないのです。
そのため、他のインターネットサービスと同様に、クラウドサービスの利用においても、IDとパスワードを適切に管理することが重要です。加えて必要のないデータは共有しないことが賢明です。
「便利さの裏には、リスクが伴う」ということを強く意識し、仲間との情報交換にも細心の注意を払うことが必要ですね。それにより、多少の不便さを伴っても、安全性をとるという強い医師も必要かもしれません。
◆４ クラウドサービスを利用する際の注意点１
ＩＰＡでは、２つの切り口から利用上の注意点を紹介しています。
１．不正ログインされないようにする。
２．クラウドサービスを理解した上で利用する。
前者の「不正ログインされないようにする」という点では、主に４つの観点から注意を払うとよいと紹介されています。
１）安易に推測できるパスワードを使用しない。
２）パスワードを使い回さない。
３）IDとパスワードの入力は、確実に本物と判断できるサイト上でのみ行う（フィッシング対策）。
４）セキュリティオプション（ログイン通知、二段階認証など）が提供されている場合は積極的に採用する。
パスワードは、自分自身が忘れてしまわないように、誕生日とか電話番号とかなどに関連づけて、決めがちです。それにより、いつでも思い出せるという便利さがあるわけですが、それらの情報が流出し待っていると、簡単に悪用されてしまいかねません。
ましてや「１２３４」「００００」とか「ＡＢＣＤ」などという簡単に類推できるようなパスワードでは、直ぐに破られてしまいます。
パスワードの使い回しも、いろいろなところで警告が出されています。ところが、複数のパスワードを使いこなすことは結構大変です。ファイルを開いたり、ログインしたりする度に、手帳を開くのも面倒です。
最近では、一つのパスワードで、安全に複数のパスワードを管理することができるアプリもありますので、それを利用するという方法も考えられます。
フィッシング詐欺も、しばしば耳にする警告です。
最近、都市銀行の某支店の個人情報が流出し、その銀行の名前をかたったメールがほぼ毎日のように届くようになりました。
あたかもその銀行から発信されたメールのようになりすまされていますし、手続をしないと口座が閉鎖されるというような脅し文句もあるので、そのメールの指示通り操作をしてしまう人もいるかもしれません。
サイト上で、個人情報やＩＤ／パスワードを入力しなければならない場合には、偽サイトではないかという疑問を持つことも大切だと思います。
◆５ クラウドサービスを利用する際の注意点２
ＩＰＡでは、２つの切り口から利用上の注意点を紹介しています。
１．不正ログインされないようにする。
２．クラウドサービスを理解した上で利用する。
前回は、１項について記述しました。今回は、後者の「クラウドサービスを理解した上で利用する」ということについて、ＩＰＡサイトを中心にご紹介します。
便利さを求める余り、あまり仕組みが充分に理解できていないまま、利用してしまうということが多々あります。
ＩＰＡでは「利用するクラウドサービスの特性を理解して、使用の判断を慎重に行ってください」という警告を出しています。
クラウド利上において、アップロードする情報を必要最小限度に押さえるということが大きな問題に繋がらないことに繋がると思います。もし、クラウドサービスが悪意ある第三者に不正ログインされても、漏えいする情報を最小限に抑えることができます。
例えば、既述の「自分のフォトストリーム」というサービスを利用する場合を考えてみましょう。常にデータの同期が不要とは限らないわけですから、どうしても同期をしなければならない場合は、設定を「無効」にしておくほうば安全です。
また、写真以外におきましても、メール、連絡先、カレンダーなどの共有は、目的に応じて判断し、公開・非公開などの適切な設定を行うとよいでしょう。
「写真の共有」設定を有効にする場合もユーザー間での照会機能を有効に活用し、本当に信頼できる人だけの共有に限定できるようにすべきです。
私は、上記以外に、期間限定で共有するようにしています。共有したい相手に、「○月○日までにダウンロードして下さい」というような通知を出したり、それを決めごとにしたりして、それ以後は、共有できないようにしています。
クラウドサービスによって、機能が異なりますので、利用するサービスの特性を理解した上で、利用することで、便利さと安全性の両方を確保したいですね。
詳細については、ＩＰＡのページをご覧ください。
https://www.ipa.go.jp/security/txt/2014/10outline.html
皆様のハッピー・クラウドサービス利用を祈念しています。
毎日複数本発信
