2019年7月31日水曜日

二段階認証の代わりになるものは?

様々な報道により、二段階認証が認知されてきています。 二段階認証はその仕組み上、セキュリティ強度は高くなりますが、その分認証に手間がかかります。認証を2度行うのですから、それは当然ですね。

二段階認証の代わりになるものは?

ですが、利用者への負荷を出来る限り軽減し、かつ一定のセキュリティ強度も担保したいというご要望も多いかと思います。 このような要件を満たすものの一例に、証明書を用いた二要素認証があります。

実際には、認証の際に、例えばID/パスワードと証明書確認が必要となるように構築します。すると、サービス利用時の認証画面でID/パスワード入力後、すぐに表示される証明書選択画面から証明書を選択することで、認証を通過したことになります。
これにより、ID/パスワードによるいわゆる「知識認証」と、証明書による「所有物認証」の二要素認証が実現できます。この証明書は、予めデバイスに登録する必要はありますが、それが出来てしまえば、後は利用者側の負担は大きくありません。

ご要望に添った認証をGluegent Gateで

いかがだったでしょうか。上記の証明書を始め、弊社製品Gluegent Gateでは様々な認証方式をご用意しています。その為、ご利用シーンや運用ごとの適切なご提案が出来ると考えております。ご興味がありましたら、是非ご連絡ください。
(Fuji)


 Gluegent Gate

2019年7月24日水曜日

自分が申請したワークフローを一覧でわかりやすくするためのポイント

Gluegent Flowをご利用いただいているお客様からよくいただくご質問に、「タスク一覧の件名がわかりにくい。なにかわかりやすくする方法はないですか」というものがあります。そこで今回は、ちょっとしたテクニックでタスク一覧の視認性を向上させる方法をご紹介します。

◯件名に表示されるものとは?

そもそもタスク一覧の「件名」には何が表示されるか。初期状態では「モデル名」+「タスク番号」が表示されます。また、申請時にユーザーが件名を変更できます。

◯自動処理で件名をカスタマイズ
それでは、自動処理を使って件名のカスタマイズを行ってみましょう。
件名は申請されて、次の経路に移ったところから他者の目に触れますので、最初の経路で自動処理を設定します。

「タイトルのアップデート自動処理」を追加しましょう。
更新後のタイトルに任意の値を設定しましょう。
ここではプレースホルダーが使えます。
例えば、件名にモデル名と申請者名と申請区分という入力フォームの入力値を設定する場合は、${モデル名}-${申請者名}-${申請区分}と入力します。

実際に申請するとこのように表示されます。

いかがでしたでしょうか。ちょっとした工夫で、視認性が向上し業務効率をアップさせることにつながるのではないでしょうか。
(SUTO)

 

2019年7月17日水曜日

【5分で分かる】二段階認証とは

近年、大きな情報漏洩事件が複数発生しています。その影響で個人のパスワードがダークウェブ等で公開され、ハッカーによる攻撃の危険性も高まっています。本ブログでは以前「パスワードの定期的変更」に関する認識を改めましょうという記事でパスワードの認識を見直すべきとご紹介しましたが、パスワードのみでセキュリティを確保するのは難しいという問題がありました。 今回はクラウドサービスをよりセキュアに利用するための次のステップ、二段階認証をご紹介します。

二段階認証とは?

二段階認証(または二要素認証、略:2FA)とは、アカウントの本人確認を行うのに要求される要素(認証方式)が二つであることを意味します。また、その要素が二つ以上の場合は多要素認証とも言いますが、シンプルに説明するため、本記事では二段階認証と呼ぶこととします。二段階認証の目的は主にパスワードや個人情報の漏洩に関する危険性を減少させることにあります。以下、実例として銀行ATMでの利用シーンで説明してみましょう:
  1. 銀行ATMにキャッシュカードを入れる(一番目の認証方式)
  2. 暗証番号を入力する(二番目の認証方式)
上記のようにキャッシュカードの所持、暗証番号の入力という二つの条件が満たされなければ銀行ATMを利用することはできません。

二段階認証を実現するためのツールでアカウントをセキュリティリスクから守る


上記のATMの例のように皆さんが普段から利用しているサービスのアカウントを二段階認証で守るためのツールをいくつかご紹介します。

二段階認証においてID・パスワードに続く2番目の認証方式としてはよく利用されるのはワンタイムパスワード(略:OTP)でしょう。ワンタイムパスワードの種類(配布方法)は多数存在します。例えば、まだ使ったことがない端末からあるサービスへログインしに行くと、確認番号がメールに送られたり、携帯端末にSMSで送られたりする仕組みはワンタイムパスワードの一つと言えます。
また、セキュリティトークンと呼ばれるワンタイムパスワードを生成する機械やソフトウェアを使うこともあります。皆さんもオンラインバンキング等で以下の写真のようなものを使ったことがあるかもしれません。画面にパスコードがあり、片方にカウントダウンバーが表示されます。時間が切れるとパスコードが変わり、新しく生成されます。


ID・パスワードの入力後、別の項目としてパスコードを入力し、両方の値が正しければログインが成功します。
ただ、すべてのサービスへのアクセスのために、このようなアイテムをいつも持ち運ぶのは面倒だったりします。最近ではお手持ちのスマホにアプリをインストールすることで簡単にワンタイムパスワード仮想デバイスを用意することができます。代表的なアプリとしてはGoogle認証システム(英:Google Authenticator)が有名で、Google Play StoreiOS App Store から無料でダウンロード可能です。
このアプリを利用した二段階認証に対応したクラウドサービスは増えていますので、ご利用をぜひともおすすめします。メールプロバイダーのパスワード漏洩が多く報告されているため、パソコンと全く違う端末でワンタイムパスワード生成のトークンを使うとより安全でしょう。設定方法は各クラウドサービスによって違いますが、一般的にはセキュリティ設定から変更・設定できます。

なお、ワンタイムパスワード以外にもパスワードと共に使用できる認証方式はたくさんあります。他によく見かけるのはクライアント証明書認証端末認証です。こちらはワンタイムパスワードのようにパスコードを入力しなくても良いため、非常に便利ではありますが、証明書発行や更新、端末認証のための運用コスト、ソフトウェアコストがかかるため、情報システム部がある企業ならともかく、個人での利用はハードルが高いと思われます。

二段階認証の次は?

ワンタイムパスワードの二段階認証を利用することでアカウントや個人情報をよりしっかりと守れることを説明してきましたが、本当にこれだけでセキュリティが確実に担保できるのでしょうか?例えばフィッシング等といった、システムより人間を狙った攻撃(中間者攻撃)による不正アクセス被害はどうでしょうか。この場合、中間者がユーザーに偽のログインページを表示し、入力された情報(ユーザー名、パスワード、ワンタイムパスワード等)を本当のサービスに送り、不正アクセスできてしまう場合が少なくありません。二段階認証はIDパスワード認証のみより安全とはいえ、機密情報に対する強度としてはまだまだ十分とは言い切れません。

セキュリティをより強化するため、二段階認証の使用に加えて、シングルサインオン(SSO)やIDaaSサービスの使用をおすすめします。これにより、ご利用しているサービスが増えることによる仮想デバイス管理の複雑さを抑えることが期待できます。更には、認証方式に加え、IP制限等の認可制限や先述のクライアント証明書認証を追加することにより、フィッシングや他の攻撃のリスクを下げることも可能になります。


いかがだったでしょうか。情報漏洩事件が毎年複数回起きる現在、今後も二段階認証の有用性は増していくと思われます。みなさんの個人情報と、ビジネスの機密情報をどう守るのか、ご検討されてみてはいかがでしょうか。

 Gluegent Gate

2019年7月10日水曜日

<実録> テレワークやってます(2) テレワークで「対面の打ち合わせ」に挑む

前回の記事では、常時テレワークの社員の一日をご紹介しました。今回から、そのような働き方を実践してみて、「テレワークとオフィスワークはどう違うか」について、掘り下げてみようと思います。様々な違いがありますが、今回は特に「コミュニケーション」について、「オンラインコミュニケーション」と「オフラインコミュニケーション」の違いについて考えてみます。


オンラインのコミュニケーションはあまり変わらない

弊社は自社で開発・運用するクラウドサービスを提供しています。提供するもの自体がオンラインのものですので、それに関わる仕事の多くをオンラインのコミュニケーションを通して行います。メールや、チャットに始まり、打ち合わせ等のスケジュール管理、ドキュメントや、プログラムのソースコード等は、オンラインでやり取りされ、クラウドに保存されています。この点では、オフィスにいても、自宅にいても変わりません。
弊社に限らず、拠点が多い組織など、そもそもコミュニケーションを必要とする関係者が物理的に離れた場所にいる場合は、在宅勤務かどうかに関わらず、オンラインでのコミュニケーションが主流となっていると思います。この点については、テレワークに移行した後も特に苦労することはありませんでした。

オフラインのコミュニケーションは、努力次第で補完できる場合もある

一方で、オフラインでのコミュニケーションが必要な場合があります。最もわかりやすいのは、会議室での対面の打ち合わせです。また、話したい相手のフロアに行って、自席にいることを確認し、話に行くというような単純な1対1の対話もオフラインのコミュニケーションです。
オフラインのコミュニケーションは、手元にある手書きのメモを見ながら話したり、ホワイトボードで一緒に要点を整理するというような、多様な手段を使って、コミュニケーションをとることができます。オンラインとオフラインのどちらの方法も取ることが出来るのであれば、対面で話した方が、より深く情報の共有が出来、より良い議論が出来ることが多いのは、事実だと思います。
ただ、テレワークの場合、オフラインのコミュニケーションは実現できません。ですが、適切な「ツールの利用」と「少しの努力」でオフラインコミュニケーションに近い効果を出すことが出来ます。
例えば、Google社のHangouts meetや、Microsoft社のSkypeや、Zoom社のZoomなど、ビデオチャットサービスを使えば、リモートでも会議が出来ます。画面を通してになりますが、「擬似的なオフライン」の状態を作ることができると言えるでしょう。ただ、やはりオフラインそのままの感覚が得られるかというと、まだそこまでではないと感じます。以下に、オンラインミーティングで考慮すべきポイント列挙してみます。

  • 良い機器をつかう。
利用するマイクやカメラは可能な限り高品質なものを用意しましょう。特に会議室が広い場合や、参加者が多い場合は、機器の品質を上げることで、サービスの品質が大きく向上します。
一定以上の音質が確保できない場合は、聞き取ることに集中するために、良い議論をすることができません。また、ネットワーク帯域も一定以上の確保が必要です。速度が遅い場合は、カメラを無効にするなどで対応可能な場合もありますが、それだけ情報が失われます。議論をするためには、相手の表情も大事な情報です。話している表情を見せることで、一体感や共感を得やすくなります。

  • 接続状態を確認する。
お互いに、正しく接続できているか、聞こえているか、音質は議論するのに十分かどうかを確認します。ここで、変に遠慮してしまうと、片方、あるいは双方にストレスになり、十分な議論が出来ません。よくあるパターンではマイクが切り替わっておらず、PCの内蔵マイクのまま会議をスタートしてしまうと、PCの前にいる人の声は聞こえても他の人の声は聞こえにくく、聞き取りに苦慮してしまいます。

  • 意識的にリモート参加者の意見を聞く。
1対多の打ち合わせをリモートでやる場合、どうしても議論の中心は多人数の方に偏ります。リモートにいる少人数の参加者の意見を意識的に聞くようにすると、より良い議論になります。

  • リモート参加者は、タイミングをはかって、積極的な意思の表明を心がける。
前述の通り、多人数の方に偏り勝ちな議論には、いつもよりも積極的な参加をする必要があります。また、隣に座っていれば誰が賛成しているのか、分かりやすいですが、リモートでは伝わりにくいものです。相槌や賛意、反論は分かりやすく伝えると良いと思います。ただ、相手の呼吸の間などが分かりにくいため、言いたいことをその都度話していると、議論がちぐはぐになってしまうことがあります。適切なタイミングを意識的にはかって、伝えることを心がける必要があります。

以上のように、少しの努力と心構えは必要ですが、ビデオチャットサービスを使うことで、リモートにいながら、オフラインに近いコミュニケーションをとることは可能だと思います。

次回は、積極的な発信・共有に至らないコミュニケーション

今回は、オンラインとオフラインのコミュニケーションについて考えてみました。テレワークでも、ツールを使うことで、対面の打ち合わせに近いコミュニケーションを取ることができることを示しました。
次回は、もう少し高度なコミュニケーションについて、取り上げてみようと思います。わざわざメールで伝えない雑談のような、「積極的な発信に至らない情報」についてです。コミュニケーション編として、今回でまとめて書く予定でしたが、内容がわかりにくくなりそうなので、次回にまとめます。
その後は、以下の内容について見てみます。

  • オフィスワークとの違い〜時間の使い方編〜
  • オフィスワークとの違い〜メンタル編〜
  • テレワークに必須なサービス

ご期待ください。

   Gluegent Gate

2019年7月3日水曜日

<担当者必見>クラウドサービス利用時の落とし穴(1)

業務をスムーズにまわすための改善施策の一環として、クラウドサービスを積極的に使うことが当たり前となっています。この便利なクラウドサービスですが、運用していく上での注意点のようなものがあります。では、実際に運用されているお客様の中で、よく目にするトラブルの一つを、その回避方法と併せて述べてみたいと思います。


特権管理者=特定ユーザのアカウント?

特に少人数で運用をご担当されている場合に多いようですが、ご担当者のアカウントをサービスの特権管理者に設定されているケースがあります。

さて、これが、どのように問題を引き起こすでしょうか。

サービスを継続的に利用していくうちに、退職や異動等でご担当者が変わった際、元のご担当者アカウントを削除したり、サービスの特権管理権限を外すことが想定されます。

ここで、そのアカウントが他のサービス/システムと連携していたりすると、特権管理者がいなくなったと判断され、予期しない不具合が発生したり、場合によってはシステム自体が使用不能状態に陥ることが考えられます。

回避策

こうしたトラブルを回避するにはユーザとして日常的に利用するアカウントではなく、システム連携用に別途特権管理者アカウントをご用意いただき、クラウドサービスの管理や連携設定に関しては最初からこのアカウントで運用されることをオススメします。
これは、すべてのサービスに言えることになります。
現在、ご担当者アカウントが特権管理者アカウントになっている場合は、まず上記のリスクを把握していただいた上で、特権管理者アカウントの移行をご検討されてみてはいかがでしょうか。




いかがだったでしょうか。
クラウドサービスは、普段はその利便性を享受出来るものですので、一旦不具合が起きるとビジネスでの損害が大きくなることも想定されます。
そこで、運用開始前の段階で、出来る限り不具合の発生リスクを抑える対策をご一考いただければと思います。

   Gluegent Gate