認証や最新のMFA用語のアルファベットスープについての解説

July 25, 2022 1 minute read

大半のサイバー攻撃は、ログインパスワードやその他認証情報の盗難から始まります。 クラウド化が進む世界では、企業、個人、政府機関の通信システムには、インターネット経由で誰でもアクセスでき、攻撃を受けやすくなっています。 様々なサイバー攻撃の中でも、クレデンシャルフィッシングは最も重大な問題で、これらの脅威から自分を保護するためにはガイダンスの意味を理解することが大切です。  

Yubicoでは、フィッシング対策の多要素認証（MFA)ガイドの共有をはじめとする保護ツールをご用意しています。 セキュリティ業界には、頭字語や複雑な技術ツールから構成される「アルファベットスープ」の悪いイメージがありますが、MFAも例外ではありません。 MFAのすべてを理解しようとする気が遠くなりますが、MFAの用語や種類を常識的なカテゴリーに分類してみると、思っていたよりもわかりやすくなります。

連邦政府は、企業に対して堅牢な認証プロセスを採用するように、ますます強く要請しています。 バイデン大統領による昨年のサイバーセキュリティに関する大統領令とその他の今年の緊急声明から、行政管理予算局（OMB）による公的機関向けのフィッシング対策MFAのためのゼロトラスト戦略の策定計画、サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）の最近の声明とShield Upプログラムまでを踏まえると、今こそサイバーセキュリティ脅威から身を守り、すべてのMFA専門用語を確実に理解する時です。 

以下は、組織で使用できる重要な用語です。 これには、主要な認証用語とその定義、および主流認証ツールとMFAツールのリストが含まれています。 また、パスワードの落とし穴と、未来のパスワードレス認証に向けた重要なステップについても、こちらのダイジェスト版ビデオで紹介しています。

MFA用語：2FA、MFA、フィッシング対策MFAの定義 

  • 2要素認証（2FA）
    • 2FAとは、2種類の違う要素を組み合わせて使い、ユーザーが主張するオンラインIDを確認する方法です。 これを「2段階認証」と呼ぶ場合もありますが、略語として2FAが使用されています。 2FAに使用される要素には、本人が知る要素（例：パスワードやPIN）、本人が持つ要素（例：セキュリティキーや電話番号）、本人が備える要素（例：顔認証）が含まれます。 
  • 多要素認証（MFA）
    • MFAでは、アカウントにサインインするために、複数の証拠または要素を使って、3つ以上の方法でログインすることが要求されます。 MFAにはSMSベースのワンタイムパスワード（OTP）、モバイルアプリ、生体認証、磁気ストライプカード、スマートカード、物理セキュリティキーなど様々な種類があります。 
  • フィッシング
    • フィッシングとは、ユーザーが騙されてユーザー名、パスワード、クレジットカードなどの個人情報を、そのユーザーのアカウントの乗っ取りを謀る第三者に教えるように誘導されることです。 フィッシング攻撃の59%が金銭目的です。
  • フィッシング対策MFA
    • フィッシング対策MFAとは、攻撃者がアクセス情報を傍受することや、ユーザーを騙して情報を開示させることを防ぐ認証プロセスのことです。 パスワード、SMSやその他のワンタイムパスワード（OTP）、セキュリティの質問、さらにはモバイルプッシュ通知など一般的に使用されるMFAは、前述の攻撃のいずれかまたは両方の影響を受けやすいため、フィッシング攻撃への耐性はありません。 更に、このプロセスでは常に各当事者はその有効性と開始の意思を示す証拠を提出しなければなりません。 アメリカ合衆国行政管理予算局が最近発行した覚書（7ページ）によると、フィッシング対策MFAは、連邦政府のPIV（Personal Identity Verification）カードおよびスマートカードと、最新のFIDOおよびWebAuthnの2つの認証技術として定義されています。  

認証とMFAでよく使われている用語

  • 認証アプリ
    • 認証アプリは、モバイルまたはデスクトップ端末で時間ベースのワンタイムパスコード (TOTP) を生成することで、オンラインアカウントのセキュリティ層を追加します。 TOTP方式は2層目のセキュリティを追加する設計で、多数の認証アプリで採用されています。 これには、モバイルとデスクトップにおいて最も安全な認証アプリであるYubico Authenticatorが例に挙げられます。 認証アプリはレベル2の強固なセキュリティですが、フィッシング対策MFAと同じレベルにまでは届きません。
  • 生体認証
    • 生体認証は、物理的または行動的な人間の特性によりシステム、デバイス、またはデータへのアクセスを許可する人をデジタルで識別する仕組みです。 バイオメトリクス識別子の例としては、指紋、顔のパターン、音声、タイピングのリズムが挙げられます。 セキュリティキーなどの生体認証データを取得すると、テンプレートが保存され、後でデバイスまたはアプリケーションへの認証に使用できるようになります。 生体認証は2FAの安全な形態と考えられていますが、それでもサイバー攻撃を受けやすく、Lapsus$による最近のサイバー攻撃など、膨大な生体認証データベースの盗難が発生しています。
  • FIDO CTAP1
    • FIDOとは、単純なパスワードに代わる認証規格の開発と普及をミッションとして2013年に発足したオープンな業界団体FIDOアライアンスのことです。 YubicoはFIDOアライアンス理事会の会員で、FIDO標準の作者兼開発者です。 CTAP1とは、Client to Authenticator Protocolのことで、外部ポータブル認証器（ハードウェアセキュリティキーなど）をコンピュータなどのクライアントプラットフォームと連動させることができるプロトコルです。 U2F（上記の定義参照）は、FIDOのCTAP1とCTAP2プロトコルの一部です。 
  • FIDO CTAP2
    • CTAP2を使用する認証器はFIDO2認証器（またはWebAuthn認証器）と呼ばれています。 その認証器がCTAP1/U2Fも実装していれば、U2Fとの下位互換性があります。 YubiKey 5シリーズのセキュリティキーはCTAP 1とCTAP 2の両方をサポートしているためU2FとFIDO2の両方に対応し、強力な1要素認証（パスワードレス）、2要素認証、多要素認証を提供できます。 
  • OTP
    • ワンタイムパスワード（またはパスコード）は、1回きりのログインセッションまたはトランザクションにのみ有効です。 通常、OTPはSMS経由で携帯電話に送信され、2FAプロセスの一環として頻繁に使われています。 最近、連邦標準機関であるNISTは、SMSは2FAの弱い形式であるとして、最新のMFAには他の手法を使うように推奨しています。 
  • パスキー
    • WebAuthn/FIDO認証情報は最終的にパスワードに取って代わる可能性があるため、業界では、WebAuthn/FIDO認証情報がセキュリティキー上にあっても、デバイスのハードウェアに結合されていても、あるいはデバイス上のファイルに保存されてクラウドプロバイダによってコピーされていても、簡単に参照できるように「パスキー」という用語を導入しています。 これらの追加オプションにより、より多くのサイトがWebAuthn/FIDOを採用するようになることを願っています。これは、コピー可能なマルチデバイスパスキーを使用していても、YubiKeyのようにパスキーがYubiKeyハードウェアにバインドされている強力なソリューションを使用していても、すべての人にメリットをもたらします。 最近、弊社はパスキーと、業界におけるパスキーの重要性について詳しく説明したブログをこちらに掲載したので、参照してください。
  • パスワード
    • パスワードについては誰もが知っているし、頭字語でもありませんが、ここでお伝えしたいことは、10年、15年または30年前のパスワードの概念は、現在では通用しないということです。 以前は、複雑なパスワードを使い定期的に変更すれば安全性が高まるというのが一般的な認識でした。 現在では、パスワードは最低レベルのセキュリティしか提供せず、フィッシング攻撃やその他の方法で認証情報の盗難に遭いやすいことがわかっています。 
  • パスワードレス
    • パスワードレスとは、パスワードを使わない認証やログインのことで、企業や消費者の何十億ものユーザーが、重要なリソースやシステムに安全にログインする方法に劇的な変化をもたらします。 ユーザーは、FIDO2ベースのハードウェアセキュリティキーやスマートカードの個人認証（PIV）などのパスワードレスデバイスを使って認証するだけで、アプリケーションやシステムで自分の認証情報を確認できます。
  • PIVスマートカード
    • Personal Identity Verification（PIV）認証は、連邦政府が管理する施設と情報システムに適切なセキュリティレベルでアクセスするために使用される米国連邦政府機関の認証情報です。 これは、従業員がワークステーションやその他のアクセスポイントにログインする際に使用するセキュリティトークンとなる集積チップ（IC）が埋め込まれた物理的なカードであるため、「スマートカード」と呼ばれることが多いようです。 ハードウェアセキュリティキーは、導入が簡単なスマートカードとしても機能します。 CACは、Common Access Card（共通アクセスカード）を指す別のアルファベットスープ成分で、実際にはPIVとコンセプトは同じですが、 国防総省の職員と請負業者が使用しています。 前述の通り、アメリカ合衆国行政管理予算局（OMB）の覚書ではPIVとCACを「ますます巧妙になる攻撃から保護するためのMFA フィッシング対策手法」と呼んでいます。
  • プッシュ認証
    • プッシュ認証はモバイル認証手法で、プロバイダーはユーザーの電話に通知を送信します。 受信した人はリクエストを承認または拒否します。 
  • セキュリティキー
    • Yubicoは、複数の認証プロトコルをサポートし、エンドユーザーが管理する認証用の専用ハードウェアデバイスであるYubiKeyとセキュリティキーのフォームファクターを使用して、ハードウェア認証を刷新しました。 セキュリティキーは、プラットフォーム、ブラウザー、アプリケーション間でFIDO認証を有効にします。 これはU2FやWebAuthn/FIDO2対応サービスでは最強の認証となり、強力な1要素（パスワードレス）、2要素、多要素認証から選択できます。 YubiKeysはFIDO、PIV、TOTP、OpenPGPなど、更に幅広い認証オプションに対応しています。 
  • U2F
    • Universal 2nd Factorは、2012年にYubico、Google、NXPによって共同開発され、Google従業員に配備された後、FIDOアライアンスに提供されました。 このプロトコルは、既存のユーザー名とパスワードに基づくログインフローを強化するための2番目の要素として機能するように設計されています。 これはYubicoが発明した拡張性に優れた公開キーモデルがベースになっていて、各サービスに対して新しいキーペアが生成され、無制限の数のサービスに対応しながら、それぞれのサービスを完全に分離してプライバシーを保護します。 
  • WebAuthn
    • これは、すべての主要なブラウザとプラットフォームでサポートされている、Web上での安全な認証のための新しいW3Cグローバル規格です。 WebAuthnでは、ハードウェアセキュリティキーなどの外付けまたはポータブルな認証機能や、生体センサーなどの組み込みプラットフォーム認証機能など、アカウントを保護するための認証機能の選択肢をユーザーに簡単に提供できます。.

最適な認証オプション

これまで、いくつかの2FAとMFA手法について説明してきました。 しかし、これらは全て同じように作られているわけではありません。 ほとんどの基本的な認証方法は安全ではありません。SMS、ワンタイムパスワード、モバイルプッシュ認証でさえ、フィッシング、ソーシャルエンジニアリング、中間者攻撃によりアカウントを乗っ取られる恐れがあります。 

今すぐ最先端のフィッシング対策MFAを実装しましょう

もちろん、どんな認証やMFAでも何もやらないよりはましですが、デジタルライフを保護するという点では、フィッシング対策MFA、特にPIV/スマートカードとWebAuthn/FIDOを導入することが明らかに効果的で、両方ともYubiKeyでサポートされています。 

現在使用しているアプリやサービスでMFAのオプションを増やしませんか？ 問い合わせ先 

パスワードの使用をやめて、パスワードレス認証に移行しましょう

Share this article:

Recommended content

Thumbnail

WebAuthnの実装： Yubicoからの新規アップデートの重要性

WebAuthnではたくさんの略語とプロトコルが使われています。 しかし、これらの意味と、これらの中から重要なものだけを特定する方法を理解していますか？ 弊社ではわかりやすい説明とサポートの両方をご用意しています。 このブログでは、WebAuthnの実装のコツや、java-webauthn-serverライブラリのアップデート、YubicoのWebAuthnスターターキットの最新版についてのニュースをお伝えします。 初期 Universal 2nd Factor（U2F）は、YubiKeyなどのハードウェアトークンを使ったオープン認証規格です。 これは当初、FIDOアライアンスによって2014年に公開されました。 Yubicoはこの規格を開発者で、YubiKeysは最初のUniversal 2nd Factor（U2F）セキュリティキーのひとつでした。 この規格は主に次の2つから構成されています。 ホストコンピュータ（クライアント）とセキュリティキー（オーセンティケータ）の間で USB または NFC を介して通信するために使用されるFIDO U2F HIDプロトコル （後にCTAP1、Client To Authenticator Protocolに改名）. ウェブサイトで認証情報の登録と認定に使用されるFIDO U2F JavaScript API これらのプロトコルのサポートは複数の異なるブラウザに追加され、この規格はコンセプトを実証と証明に使われてきましたが、いくつかの制約が普及の妨げになっていました。 進化 U2Fはセキュリティの強化と使い勝手の面では優れていましたが、まだ改善の余地がありました。 U2Fの後続ソリューションはFIDO2で、「パスワードレスログイン」、デバイス上でのPINや生体認証のサポート、その他いくつかの拡張機能など、多数の新しいユースケースに対応しています。 この製品により、これらの新機能をセキュリティキーでサポートするCTAP2と、FIDO U2F JavaScript APIの後継製品であるWebAuthnという新しいAPIが登場しました。 WebAuthnは従来のJavaScript APIに完全に代わり、W3Cによって標準化され、主流ブラウザで実装されています。 旧型のU2F APIのサポートは現在段階的に終了していて、大半のブラウザでは機能していません。 ここで、WebAuthnの出番となります。WebAuthnは、CTAP1（U2Fプロトコル）およびCTAP2（FIDO2プロトコル）の両方と完全な互換性があります。 また、WebAuthn APIを利用した拡張機能により、古いU2F認証情報を継続して利用することも可能で、ユーザーはセキュリティキーを再登録しなくても、引き続き使用できます。 WebAuthnはほとんどの開発者が接するAPIなので、「WebAuthn」はブラウザだけでなく、セキュリティキーからサーバーまでのエンドツーエンドの実装全体を指す用語になっています。 WebAuthn実装方法   これまで、ホストから認証システムへの通信（CTAP）、Webページからブラウザへの通信（WebAuthn）について説明してきましたが、サーバー側についてはまだ確認していません。 FIDO2仕様書では、サーバーが認証情報を検証するために必要なことを段階的に説明していますが、実際のWebAuthnの実装は読者の演習として残されています。 実装に使えるライブラリはいくつかありますが、その中でもYubicoのjava-webauthn-serverライブラリバージョン2.0は、公開されたばかりです。 このライブラリを使用すると、既存のJVMベースのバックエンドにWebAuthnのサポートを追加し、次のことを実行できます。  クライアントに送信する必要があるバイナリメッセージの作成と読み込み 暗号署名の有効性確認  仕様によって課された規則の履行 この新しいライブラリは、FIDO Metadata Service ...

Read More
Thumbnail

継続的な認証のための基盤構築

継続的な認証とは、システム、アプリケーション、デバイスの間を行き来するユーザーのアイデンティティをリアルタイムに検証する機能を提供する、将来の「完全な状態」のセキュリティの概念のことです。 理論的には、継続的な認証ソリューションは、さまざまな監視ソースからのリスク信号を使用してユーザーを認証し、潜在的な脅威を特定し、侵害されたとフラグが付けられた認証情報の機能を積極的に修復します。 しかし、今日、継続的なユーザー認証は概念にすぎず、まだ確立された規格ではありません。 業種全体で現在使用されている従来の認証方法は静的であり、ユーザーは認証ワークフローの開始時にのみ、認証要素(例:パスワードまたはPIN、ワンタイムパスコード、生体認証)の提供に積極的に参加する必要があります。 概念的には、継続的な認証は、地理位置情報、生体認証の変更、さらにはキーストロークやマウスパターン、コンテキスト、その他の活動パターンなどの動作監視など、機械学習をベースとするインテリジェントなリスク監視ソースへの積極的な参加に取って換わるものか、または補強するものです。 継続的な認証への取り組み 継続的認証の背後にある明確な推進力： サイバー攻撃はその数と精巧さを増し続けており、データ侵害の61%はユーザー認証情報が根源となっています。 SMSベースのOTP（ワンタイムパスワード）のような従来のセカンドファクターでセキュリティを高めようとしても、ユーザーの不満や安全でない回避策を招くだけで、43%の組織が多要素認証（MFA）の使用における最大の障害としてユーザーエクスペリエンスを挙げています。 ハイブリッドワークやリモートワークへの移行は、今日のID管理やアクセス管理の方法における弱点を増大させています。 IDアクセス管理(IAM)、および特権アクセス管理(PAM)ソリューションを使用して、エンタープライズアプリケーションへのアクセス制御の合理化が試みられてきました。多くの場合、シングルサインオン (SSO) を使用して、ユーザーがアクセスできるアプリケーションごとに個別のトークンを割り当てます。 IAMやPAMのソリューションの中には、リスク分析を適用してステップアップ認証を促すものもありますが、これは継続的な認証の本質を捉えていません。 さらに、前述のソリューションは、特に設定されていないアプリケーションを監視、接続、操作することができないため、独自の壁によって制限されることが多く、脅威や異常を検出できる高度な自動化機能やインテリジェンスによって、IDとアクセスを管理するための全体的なキャパが減少します。 継続的な認証の概念は、かなり前から存在しており、2004年には、温度、目の動き、クリック圧を測定するさまざまな方法が研究され、80%以上の精度で本人確認を継続的に認証することができました。 今日、コンテキストや行動データにインテリジェンスを適用し、プロセスや認証フレームワークと組み合わせて動的にアクセス制御を適用できるポイントソリューションがいくつか存在します。 ただし、IDまたはアクセスを管理する方法では、基になる信頼モデルにユーザー名やパスワードなどの従来の認証方法やモバイルベースの認証システムが含まれている場合、IDベースライン (本人であることの証明) には本質的に欠陥があります。 実際には、継続的な認証の概念を実現する前に実行しなければならない重要な手順があります。 継続的な認証の構成要素 最先端で強力な認証は、継続的な認証とゼロトラストの両方に必要な構成要素の一つです。 「決して信頼せず、必ず確認する」のゼロトラストフレームワークでは、組織は、ネットワークまたはデータへのアクセスを許可される前に適切に検証されない限り、ユーザー、パケット、インターフェイス、またはデバイスを信頼してはいけません。 この信頼は、継続的な認証の場合と同様に、リスクシグナルを使用して受動的に確立できますが、最初に強力な認証を使用しバックアップする必要があります。 ただし、MFAのすべての形式が同じではないことに注意してください。 どのような形式のMFAも、何もMFAを使用しないよりは優れていますが、ユーザー名とパスワード、またはSMSのワンタイムパスコード (OTP) 、プッシュ通知、認証アプリなどのあらゆるモバイルベースの認証は、フィッシング、標的型攻撃、アカウントの乗っ取りに対して脆弱です。 これらの認証は、マルウェア、中間者 (MiTM) 攻撃、SIMスワップ、およびその他の悪意のある行為によって侵害される可能性のある 「共有シークレット」 に依存しています。  Yubicoは、FIDO2などの最先端規格に支えられた強力な認証を使用して、個人が本人であることを確認するように求める、将来のゼロトラスト戦略のより進化した状態として継続的認証をとらえています。 インテリジェントなシステムが個人のパターンを学習するため、ユーザーはより頻繁に本人確認を求められるようになります。時間の経過とともに、日常的な活動では認証プロンプトの数が減少し、不規則な活動や潜在的にリスクの高い活動時に特権アクセスを行うには、引き続きステップアップ認証が必要になります。 これに備えるために、組織は少なくともフィッシング対策 の2要素認証 (2FA) またはMFAのベースラインを確立する必要があります。これには、単純なタッチや生体認証に依存するYubiKeyなどのハードウェアベースの認証が含まれます。 理想的なのは、組織がユーザーフレンドリでパスワード不要の強力な認証に移行した場合にのみ、ゼロトラストと継続的な認証フレームワークを構築できるようになることです。 現在、すべてのシステムとアプリケーションに継続的な認証を適用できる単一の解決策はありません。 しかし、今日の組織は、認証を向上させ、機密性の高いデータへのアクセスを一般的に提供するミッション・クリティカルなアプリケーションに継続的な認証の概念を適用するよう、行動を起こすことができます。  FIDO U2FやFIDO2などのフィッシング対策認証プロトコルとゼロトラスト原則を使用し、認証フレームワークを将来に備え強化することで、将来のより現代的で応答性の高いセキュリティ戦略の基盤を築くことができます。  — 強力なフィッシング対策認証を使用してゼロトラスト戦略を加速する方法の詳細については、こちらのホワイトペーパーを参照してください。.

Read More
Thumbnail
japanesejapanesejapanesejapanese

リモートワーカーに対するソーシャルエンジニアリング攻撃の増加への対応

現在、パンデミックがさまざまなソーシャルエンジニアリング攻撃にうってつけの条件を提供していることは明白です。 これまでも、リモートワークの普及やそれに伴うリスクに適応する中で、スピア型フィッシングから、ヴィッシング、ランサムウェアなどコロナウイルス関連の攻撃が増えていることについて、FBI やCISA, 、インターポールをはじめ信頼できる組織から、多くの報告や警告が出されています。 ソーシャルディスタンスとリモートワークは、多くの点でハッカーにとってより好ましい環境を作り出していますが、今日目にされるソーシャルエンジニアリング攻撃の種類は、過去に見られたものとあまり変わりません。 それでは、なぜ今でも大規模な情報漏洩が頻繁にニュースの見出しを賑わせているのでしょうか?  歴史から学ぶことが一つあるとすれば、ハッカーは常に人的要因を利用するということです。 不確実性、恐怖、注意力散漫、孤立、混乱はすべて、ユーザーの脆弱性の増大につながります。 そして、世界的なニュースの話題が目まぐるしく変化し続ける中で、パンデミックや大きなニュースイベントの中で、日和見主義的なハッカーが悪用するような次の展開を予想することは不可能です。 例として、COVIDの景気刺激策や救済策に関連したフィッシング攻撃の増加について見てみましょう。  パンデミック収束後も、ソーシャルディスタンスは継続し、仮想世界でのやりとりが増加すると予想されています。つまり、企業はソーシャルエンジニアリング攻撃の増加から身を守るために、強力な認証を利用しなければなりません。 分散化が進む作業環境では、システムと情報のセキュリティに対する信頼が失われるため、ユーザーとの信頼を再確立することが不可欠です。 その方法はこちら： 従業員の教育やトレーニングだけでは不十分です 新型コロナウイルス関連の詐欺に注意するよう従業員を教育することは、不可欠ですが、包括的な対応ではありません。 フィッシングやソーシャルエンジニアリングに関するユーザー教育をいくら行っても、攻撃の中には成功するものもあるのです。 ユーザーの行動を必要とし、フィッシング攻撃や中間者攻撃の特定がユーザーに依存している限り、脆弱性は今後も問題となるでしょう。 2FA戦略を見直す時期に来ています 組織は、将来のソーシャルエンジニアリング攻撃から保護するために、パスワード、回復質問、または基本的な2要素認証 (2FA) に継続的に依存する余裕はありません。 これらの方法は、モバイルマルウェア、, SIMスワップ、フィッシング攻撃に対処できないことが何度も証明されています。 ハッカーはますます賢くなってきており、私たちもそうならなければなりません。 ユーザーエクスペリエンスは、組織の安全にとって重要です 同僚やIT部門から物理的に離れ、自宅と職場の生活を両立させている世界では、強力な認証が、さまざまなデバイス、ビジネスに不可欠なアプリケーション、さまざまな環境で大規模に機能する必要があります。 ユーザーエクスペリエンスが向上するほど、特定のユーザーのみを保護する複雑なポイントソリューションとは異なり、企業全体に展開してセキュリティを確保することが容易になります。 つまり、新型コロナウイルス関連の攻撃の増加は、現実に存在する危険です。 しかし、これが一時的な脅威であったり、新型コロナウイルスだけの問題であるとは考えられません。 これは、ソーシャルエンジニアリング攻撃が増え続けていることを示す最新の事例にすぎず、より強力な対応が求められています。 当社は日々、大小の企業が新しい日常に適応できるよう支援しています。 準備はよろしいでしょうか？ 主要なクラウドベースサービスに対してハードウェア支援を受けた強力な認証を使用して、デジタル変革を加速させます。 Google Cloud, やMicrosoft Azure Active Directoryをはじめとする多くの日常の業務アプリケーションは、YubiKeyとのシームレスな統合を実現しています。

Read More
Thumbnail

製品開発のセキュリティ優先のアプローチを検討する4つの理由

インターネットはパワフルな発明です。 元々はコラボレーションのために作られましたが、すべての人が予想した能力をはるかに超え、社会の中核的な機能を担うようになりました。開発者として、当社は日々これらの素晴らしい進歩に貢献していますが、インターネットの未来を守り、維持することも当社の仕事です。 端的に言えば、インターネットは元々、自動車のようにセキュリティを念頭に置いて構築されたものではありませんでした。 しかし、時間をかけて、インターネットユーザーおよび共有される機密データを保護する必要性を認識するようになりました。 現在では、自動車を購入する際にエアバッグ、シートベルト、警報システムなどが装備されていることを期待するのと同様、製品やサービスにセキュリティ機能が組み込まれることが期待されています。 セキュリティは製品開発ライフサイクルの中で後から追加することができるとはいえ、それは望ましくありません。 サイバーセキュリティの状況は進化しており、組織もそれに合わせて進化する必要があります。 ここでは、次世代の革新的なソリューションを構築する際に、組織がセキュリティ優先の考え方の採用を検討すべき4つの理由を説明します。 情報漏洩からの復旧にはコストがかかる  情報漏洩がもたらす経済的格差は、特に小規模企業にとって壊滅的なものです。 情報漏洩によって企業が被るコストは平均392万ドルであり、最初の情報漏洩から数年間、組織は継続的に残存コストを負うことになります。 このような影響を元通りにする方が、最初から堅牢なセキュリティ基盤に投資するよりもはるかにコストがかかります。 権限ベースのアクセス、強力な認証、リスクの最小化の原則を最初から確立すると、組織の資金と時間を節約し、将来的なブランド価値の低下を抑えることができます。 ネガティブなブランドの評判が顧客の信頼を低下させる 情報漏洩は、顧客の信頼を失うなど、ブランドのイメージと評判に大きなダメージを与える可能性がああります。 実際、調査によると、情報漏洩の被害者の65%は漏洩後に組織に対する信頼を失い、80%の消費者は情報漏洩されるとサービスの使用を避けています。 堅牢なセキュリティは競争力のある差別化要因  リモートワーカーの増加によりセキュリティの状況が絶えず進化しているため、将来を見据えてセキュリティを強化する考え方が消費者や企業の間で標準となり、堅牢なセキュリティオプションがあると他の競合他社との差別化につながります。 ペリメータ（境界）に重点を置いたアプローチから、すべての要素 (ネットワーク、エンドポイント、クラウドサービス、モバイルデバイス) を保護する包括的な多層アプローチに移行するオペレーター、システム管理者、および開発者は成功するでしょう。 シームレスなユーザーエクスペリエンスは顧客忠誠心を育てる 適切に行われた場合、優れたセキュリティは、お客様の製品エクスペリエンスを向上させる重要な役割を果たします。 実際、これによりすべてのエクスペリエンスが左右されることもあるのです。 パスワードを例に挙げてみましょう。 誰もそれを好まないし、覚えているのも難しく、アカウント乗っ取りから適切に保護するという点では、ほとんど役に立ちません。 しかし、これらは今でもインターネット上で広く使用されており、多くの場合、アカウントの作成やログインは、Webサイトやモバイルアプリとの最初のやり取りになります。 「製品開発の初期段階でセキュリティを優先すると、結果として得られる製品は、最初からより優れたユーザーエクスペリエンスを提供します。」とLet’s Encryptのエグゼクティブディレクター、ジョシュ・アース氏は説明しています。 「後付けで追加されたセキュリティメカニズムほど、ユーザーエクスペリエンスに混乱を生じさせるものはありません。」 セキュリティが後回しではなく事前に考えられていれば、最初から最後までシームレスで楽しいユーザーエクスペリエンスを設計する機会に恵まれます。 結局のところ、セキュリティ優先の考え方は、組織が情報漏洩による悪影響を回避し、最終的な収益、顧客、ブランドに利益をもたらすことができます。 Yubicoでは強力な認証をこのパズルの重要なピースとして重視していますが、最終的にすべての人にとってインターネットを安全な場所にするために考慮すべき (そして協力する必要がある) 他の多くのセキュリティ側面があることも認識しています。 オープンスタンダードで強力なYubiKey認証を実装することに関心のある開発者は、Yubico開発者プログラムに参加して、オープンソースライブラリとサーバー、実装ガイド、トレーニングリソースなどにアクセスできます。

Read More