【コラム】人生に必要な知識～ID・パスワードの漏洩対策～

経営者に必要なスキル9つ・5つの知識という記事を読んだ。

必要な知識は以下になる。

・経営戦略に必要な知識

・会計に関する知識

・組織・人材マネジメントに関する知識

・マーケティングに関する知識

あと1つは法律に関する知識で、上の4つより強調されていたｗ

記事には、法律に関する知識について、以下の納得できる説明があった。

"各法律について、細部まで理解する必要はありません。しかし、それぞれの法律が何に関するものなのか、何が規制・禁止されているのかなど、基本的な知識は押さえておきましょう。

法律を理解しておけば、トラブルの発生を防いだり、判断や対応に困った際に、関係する法律をすぐに調べられたりします。企業を守ることにもつながるため、積極的に知識を身につけましょう。"

（「マネーフォワード クラウド」株式会社マネーフォワードサイト）

自身が人生に必要だと思う知識は以下になる。

・社会や経済に関する知識

・税金に関する知識

・法律に関する知識

・ネットに関する知識ｗ

社会や経済に関する知識は多いが、概要や用語だけでも知っておく必要があると思う。

税金に関する知識は、所得税、住民税、固定資産税などは理解しておく必要がある。

法律に関する知識は、上記にあるように、基本的な知識を理解すればよいと思う。

ネットに関する知識も、基本的な知識を理解しておけばよいと思うｗ

ただ、これらの知識は、頻繁にアップデートされている。

したがって、自らの知識もアップデートし続ける必要がある。

先日、ID・パスワードの漏洩対策について、参考になる記事があった。

誰かのアップデートに役立つかもしれないので、書いてみるｗ

"二要素認証、二段階認証において重要なのは、二種類の要素をそれぞれ異なる要素にすることである。本人を確認するしくみは大きく分けて3つの要素がある。

1つ目は「知識」でパスワードや暗証番号などが該当する。

2つ目は「所有」である。キャッシュカード、スマートフォン、ワンタイムパスワードなどのトークンなど、その人だけが持っている所有物で認証する方法である。

3つ目は「生体」で、指紋・静脈・虹彩などの生体認証のほか、クレジットカードのサイン等も該当する。その人の身体であると証明できる要素となる。

二要素認証、二段階認証ともに、これら3つの要素のうち異なる要素を2つ組み合わせたもの利用することが推奨される。二要素認証の具体例としては最近の大手SNSで導入されている「IDとパスワード」に加えて、登録した電話番号に届くSMSメッセージを入力させる方式がある。これはパスワードという「知識」と、SNSの番号、つまりスマホ端末の「所有」という2つの要素による「二要素認証」の例である。"

（「二要素認証、二段階認証」NECソリューションイノベータサイト）

証券業界では多要素認証の設定を導入し、多要素認証を必須とする対応を進めている。

上記から、本人確認の要素は大きく分けて3つしかないことがわかるｗ

"FIDO（ファイド）はFast Identity Online の略であり、従来のパスワードに代わる認証手段として期待される認証技術の一つである。FIDOが期待される背景として、被害が一向に減らないID・パスワードの漏えい、なりすまし被害などへの対策として、本人確認の強化が求められている点がある。従来の認証方式は認証情報の窃取が可能な場合がある点、認証情報をサーバなどに保存する必要がありそこを狙われるなどの課題がある。FIDOでは経路上に流れる情報は秘密鍵で保護されたトークンのみであり、サーバ側には公開鍵の情報のみを保持することによりこの課題を解決している。FIDOの大きな特徴として生体認証の方式は制限しない、生体情報はサーバーに保存せずクライアント側の生体認証装置内に保存する、などがある。生体認証装置の認定はFIDO Allianceで行い、認定済みの生体認証装置の型番などの情報はFIDO Allianceのサーバーに登録される。サービス提供者は、提供するサービスの利用を許可する生体認証方式やデバイスの型番などを制限できるといったことが可能となる。"

（「FIDO（Fast Identity Online）」同サイト）

上記から、FIDOは従来のパスワードに代わる認証手段であることがわかる。

したがって、併用すると、ID・パスワードの漏洩対策にならないことがわかるｗ

"リスクベース認証（Adaptive Authentication）とは、システムのアクセスログなどからユーザの行動パターンを分析し、より確実に本人認証を行うための方式である。

通常のユーザ行動と異なる認証行為が発生した場合に、その行為を検知し、本人確認をより正確に行うために追加の要素による認証をユーザに求め、なりすましや不正ログインを防ぐことを目的としている。ユーザの行動パターンとして地理情報、利用デバイス、時間帯、IPアドレス等が使われることが多く、普段のユーザの行動パターンと違う認証行動、たとえばログインする時間帯がいつもと違う、ログイン場所の地理情報が違う（いつも東京なのに今日は海外など）場合にリスクありと判定し、追加の認証手段をユーザに求める方式が一般的である。以前からある認証方式ではあるが、クラウドサービスの活用が企業で浸透するに伴い再び注目を集めている方式である。"

（「リスクベース認証」同サイト）

一部の証券会社（三菱UFJeスマート証券など）は、リスクベース認証を行っている。

ID・パスワードの漏洩対策には、リスクベース認証が効果的なように思うｗ