「パスワードは多い方が安全」
という誤解

日本ヒューレット・パッカード株式会社
IceWallソフトウェア本部 本部長 小早川 直樹氏

――経営者からすると「SSOはパスワードが一つしかなく、万が一それが漏洩したら複数のシステムにアクセスできてしまう。従ってSSOでパスワードを一つにするのは危険だ」という考えもあるのではないでしょうか?

小早川: 業務上、ID,パスワードの数が多くなると、社員の方の管理が甘くなりがちです。たとえばパスワードを使い回してしまうこともあるのではないでしょうか。「パスワードの使い回し」は業務システムだけに及ばす、プライベートで使うサービスでも同じパスワードを使い回してしまうことも考えられます。このような運用では、そのうちの1つのシステムでパスワードが盗まれてしまうと、すべてのシステムが危険な状態に陥ってしまうことになるのです。しかもシステム的に社員がパスワードの使い回しのチェックをするのは困難です。つまり企業は見えないリスクに晒されている状態となります。ある企業では、セキュリティを高めるために10個以上の業務システムのパスワードを3カ月ごとに変更していたといいますが、本当にセキュリティは高まったのでしょうか?社員の生産性を低下させただけのように思われます。

――それでは「パスワードの使い回し」にはどのように対応したらよいのでしょうか?

山田:パスワードの管理は個人の運用に任せる部分が多いため、パスワードの使い回しを抑止することは困難です。パスワードが増えても、同じパスワードの使い回しなどを行っていては意味がなく、十分なセキュリティは確保できません。そのため、パスワードを安全に管理するためには、まずできるだけ数を少なくする必要があり、そのためにSSOが有効だと言えるのです。またもし1つのパスワードが不安であれば、入口を1つにしてそこを生体認証などの高度な認証により徹底的に強化すべきです。

「SSO製品は機能本位で
選択するべきだ」という誤解

――SSOが利便性の向上だけではないということはわかりました。では、SSO製品を選ぶときには、どのような考え方で選択していけばよいのでしょうか。

山田: 一般的に企業がソフトウェア製品を選ぶときには、機能を比較しますよね。もちろん、SSO製品についても、機能は重要です。しかし、SSO製品は基幹となるミドルウェアで、アプリケーションと同じではありません。SSOが止まるとすべての業務システムが止まってしまうことになりかねないので、信頼性と可用性、パフォーマンスを最優先に選択する必要があります。

――その点、貴社の提供する「IceWall SSO(※)」は日本国内で企画・開発しているとのことですね。なぜSSO製品を国内で開発することにこだわっているのでしょうか。

小早川:IceWall SSOは日本ヒューレット・パッカードが提供している製品としては珍しく、国内開発であることが特徴の1つにあります。日本のお客様は、サービス品質を極めて重視されており、可用性や品質を非常に高いレベルで要求されます。また長期間安定して運用できることを望まれています。現行バージョンのIceWall SSO 11.0は2028年3月末までサポートします。

さらに、SSOに対する日本独自の要件があります。部門やグループで共有するグループアカウントなどの認証や、春や秋に一斉に人事異動を行うなど日本ならではの慣習への対応も求められます。

IceWallは国内で開発し、これらの要望に迅速に対応できるよう体制を整えています。また外資系企業の強みを生かし、最先端の技術も常に製品に組み入れています。

こういった方針を日本で決定できることも国内開発の強みだと思っています。

※日本ヒューレット・パッカードが開発、販売しているWebシングルサインオンソフトウェア。1997年に販売を開始し日本では50%以上のシェアを確保している。
https://www.hpe.com/jp/ja/japan/icewall/sso.html

――SSOの本当のメリットを既に理解している「成長する企業」では、実際にどのような活用をされているのでしょうか。

小早川:我々は、20年以上SSOに関わってきていますが、導入されているお客様は、超一流の企業の割合が多いと感じます。全体でガバナンスを有効にし、セキュリティを向上させる必要があるという意識を持っている企業が、上手に活用できていると言えるのではないでしょうか。セキュリティ製品を導入すると、その副作用として利便性が低下してしまったり運用コストが増えてしまったりする場合が多くあります。SSOはセキュリティ製品に分類されますが、うまく使いこなすことで、利便性を高め、運用や管理のコストを低減させます。

さらには、解決することの難しい情報システムのサイロ化の課題も、SSOの導入をきっかけに改善されることもよくあります。一般的には企業内の業務システムは個別で開発・管理され、それぞれが連携を取ることはあまりありません。これが情報システムのサイロ化を生み出す大きな要因となっています。SSOの導入を進めることで業務システムの認証が連携されるのは当然ですが、それによって初めて経営層が関与して業務システム毎の連携にガバナンスを効かせるようになり、認証以外の面でもサイロ化の問題に取り組むことでITの全体最適化が実現できるのです。

SSOはガバナンスが効いた強い企業への変革を手助けします。我々はSSOがこれらに有効であることを伝えていくことが重要だと考えていて、今後も啓蒙活動を続けていきたいと考えています。

日本ヒューレット・パッカードでは、『成長する企業はなぜSSOを導入するのか』という書籍を日経BPから出版し、IceWall SSOだけでなく、企業にとってSSOがなぜ重要かを解いていきたいと考えているという。『成長する企業はなぜSSOを導入するのか』とは大げさに聞こえるかもしれないが、認証が担う領域の広さとその認証を効果的に支えるSSO導入効果の大きさを知れば、決して誇張ではないことが分かってもらえるだろう。

ITの常識が変わる!
成長する企業はなぜSSOを導入するのか

この1冊でSSO(シングルサインオン)のメリットと導入実例がわかる、経営者・CIO・CTO・情報システム担当者必見の書。

暗証番号やパスワード運用ミスによる情報漏えいや企業競争力低下――。こうした「認証の運用課題」は今や、企業経営にも大きな影響を及ぼすといっても過言ではない。そんな中、1回の認証手続きでネットやサービスにアクセスできるSSOが、企業の情報システムの課題を一挙に解決するシステムとして注目を浴びている。SSOの導入により「認証のサイロ化」を防ぎ、業務効率化、運用コスト削減、セキュリティと生産性の向上を実現できるのだ。

本書ではまず、企業に明日起こってもおかしくない「認証に関する様々なリスク」を紹介し、認証が企業の経営課題となっていると警鐘を鳴らす。さらにパスワード認証の利点と欠点、パスワード認証を強化する多要素認証の仕組みを解説する。

中盤からはSSOの方式や機能、導入によるメリット、クラウドサービスとのSSOを行うフェデレーションの仕組みをSAMLを例として詳しく掲載。また実際にSSOを導入した3社(運輸・流通業界、IT・サービス業界、金融業界)のケーススタディにより、導入の際の注意事項や成果なども紹介する。最終章ではFIDO、FinTech、ソーシャルログインといった注目の認証技術も紹介した。

http://ec.nikkeibp.co.jp/item/books/263800.html

お問い合わせ

日本ヒューレット・パッカード株式会社

https://www.hpe.com/jp/ja/home.html