情報セキュリティマネジメント 2018年 春期 午前（科目A） 問15

個人別パスワード管理【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 何を守るかを確認：クラウドサービスのアカウントへの不正ログインを防ぐこと。
2. リスク要因を抽出：共用PC、利用者IDの共有、パスワードの平文保存や自動入力はリスク増。
3. 各選択肢を照合：パスワードが共用PCに残るか、個人の管理下にあるか、容易に盗まれないかで評価。
4. 最も安全なのを選ぶ：個人の信頼できる端末で安全に暗号化保存できる仕組みがベスト → ア。

選択肢別の誤答解説

• ア：正答。スマートフォンの指紋認証（生体認証）で端末アクセスを制限し、パスワードマネージャで暗号化して保管するため、共用PCにパスワードが残らず不正利用を防げる。パスワードマネージャはマスターパスワードや生体認証で開く設計が多く、盗難時のリスクも低減できる（紛失対策は別途必要）。
• イ：間違い。同じ複雑なパスワードを複数サービスで使う「パスワード使い回し」は、あるサービスの漏洩で他サービスも一斉に危険にさらされるため不適切。利便性のためでも危険度が高い。
• ウ：間違い。共用PCのWebブラウザにパスワードを記憶させると、PCを操作する別の従業員がブラウザを使って簡単にログインできる。ブラウザのプロファイルが共有されていたり、PC自体が盗難・紛失した場合にも情報が露出する。
• エ：間違い。平文（暗号化されていないそのままの形式）のテキストファイルは最も危険。OSや他ユーザ、マルウェアによって容易に閲覧・コピーされ、不正ログインにつながる。

よくある誤解

1. 「ブラウザに保存すれば便利で安全」
   • 実際は便利だが、共用PCでは他者が使えるため安全性が大きく低下します。個人端末でもマルウェアに弱い点に注意。
2. 「指紋認証だけで十分」
   • 生体認証は便利だが万能ではありません。端末紛失や指紋の偽造リスク、OSの脆弱性などがあるため、パスワードマネージャ＋生体認証や多要素認証（MFA：Multi-Factor Authentication、複数の確認要素を使う仕組み）を併用するのが安全です。
3. 「複雑な1つのパスワードを使えば大丈夫」
   • 複雑さだけでなく、サービスごとに異なることが重要です。使い回しは情報漏洩時の被害を拡大します。

補足コラム

• 会社としては、従業員各自に「企業管理下のパスワードマネージャ」を提供すると良いです。これは管理者が紛失時の復旧方針やアクセスログ確認を行えるからです。
• 共用PCは「ゲストアカウント」や「端末の個別ログイン」を徹底し、ブラウザやデスクトップに個人情報を残さない運用ルールを作ります。
• 可能ならクラウドサービスに対してSAMLやOAuthによるSSO（Single Sign-On：1つの認証で複数サービスにログイン）とMFAを導入すれば、個々のパスワード依存を減らせます。

• パスワードはサービスごとに異なるか？
• パスワードが共用端末に保存されていないか？
• パスワードマネージャの導入と紛失対策はあるか？
• MFAを有効にしているか？

FAQ