社用のノートパソコンやSurfaceのような持ち出し端末は、社内に据え置くデスクトップPCとID管理の前提が異なります。据え置きPCであれば、そもそも建物への入館という物理的な壁がありますが、持ち出す端末にはそれがありません。この記事では、社用ノートパソコンやSurfaceのID管理で押さえておきたい認証の考え方と、端末側で確認しておきたい点を整理します。
持ち出し端末は「攻撃者の手元に渡る前提」で考える
据え置きPCとの決定的な違いは、端末そのものが第三者の手に渡りうるという点です。移動中の置き忘れ、カフェや車内からの盗難、出張先での紛失など、原因はさまざまですが、いずれの場合も端末を物理的に自由に扱える相手がいる状態になります。
この状態では、ネットワーク側の防御は前提として働きません。通信経路の保護はVPN機器の脆弱性のような論点として別に整理する必要がありますが、端末が手元にある相手に対しては、最後に残る壁がその端末のログインそのものになります。社用のモダンPCを配備するときは、この一点を出発点に考えると判断がぶれにくくなります。
紛失・盗難のときに何が起きうるか
端末が第三者の手元にある状況では、次のような広がり方が想定されます。
- 端末内の業務データ — 保存されたファイル、ダウンロード済みの資料、ローカルに残ったメールなど
- 保存された認証情報 — ブラウザやアプリに記憶させたIDとパスワード、保存済みのログイン状態
- そこから先の社内システムやクラウド — ログイン状態が生きていれば、業務システムやクラウドサービスにそのまま到達されうる
つまり被害は「その端末に入っていたもの」で止まりません。端末のログインを突破されると、そこを足がかりに組織側の資産へ届いてしまう構造があります。認証情報が外部に渡ったあとの広がり方についてはパスワード漏洩の影響で整理しています。
IDとパスワードだけのログインが持ち出し端末で特に危うい理由
端末が手元にある相手は、時間の制約を受けずに何度でも入力を試せます。社内であれば気づかれるような試行も、持ち去られた端末の上では誰にも見られません。加えて、社外での作業中は背後からの覗き見や、入力の様子から推測される可能性もあります。
知識だけで通過できる認証は、こうした条件下では相対的に弱くなります。だからこそ、持ち出し端末ではOSログインの段階で要素を増やすことに意味があります。多要素認証の基本的な考え方は多要素認証の基礎、Windows環境での具体的な位置づけはWindows OSログインの2要素認証を参照してください。
認証面で押さえること
- OSログインの多要素化 — 端末を開く時点で、パスワード以外の要素を必要とする状態にする
- 生体認証や物理キーの併用 — 顔や指紋による認証、あるいは物理的な認証キーを組み合わせることで、パスワードの記憶だけに依存しない形にする
- 画面ロックの自動化 — 離席時に手動でロックする運用は必ず抜けが出るため、一定時間で自動的にロックがかかるようにしておく
- 共有アカウントを持ち出し端末で使わない — 共有アカウントは、誰が使っていたかを後から特定できず、紛失時に何を止めるべきかの判断もできなくなります
なお、認証方式をどの基盤で管理するかという選定の話はローカルアカウント・ドメイン・Entra IDの選び方で扱います。ここではまず「持ち出す端末のログインを厚くする」という方針だけを固めておけば十分です。
端末面で押さえること
- ディスクの暗号化 — 端末を分解して記憶装置だけを取り出されても内容が読めない状態にしておく。OSログインを厚くしても、ディスクが平文であればそこを迂回されます
- 資産としての台帳管理 — 誰にどの端末を貸与しているかが一覧で分かる状態を保つ
- 紛失時の連絡・停止フロー — 気づいた本人が誰に連絡するか、連絡を受けた側が何を止めるかを、事前に決めておく
紛失は起きたその日に対応が必要になります。手順を決めていないと、報告をためらう時間や連絡先を探す時間が、そのまま被害の広がる時間になってしまいます。
台帳と貸与管理はID管理と地続き
端末の台帳は、備品管理の話に見えて実際にはID管理の一部です。紛失の連絡を受けたときに止めるべきものを決められるのは、その端末が誰のもので、誰のアカウントでログインされているかが分かっている場合だけです。台帳が実態とずれていると、何を止めればよいかの判断そのものができません。
同じことは退職や異動のときにも当てはまります。貸与端末とアカウントの対応が分かっていなければ、返却されていない端末に生きたログイン状態が残り続ける可能性があります。この観点は退職者アカウントの棚卸し、台帳そのものの整え方はアカウント管理システムとは？の解説記事で扱っています。社外からの業務全般についてはテレワークのセキュリティも併せて確認してください。
まずは自社の状況を確認する
持ち出し端末の認証をどこまで厚くすべきかは、貸与している台数や社外での業務内容によって異なります。applippliの無料診断では、約3分の質問に回答するだけで、自社のID・アカウント管理の対応状況を確認できます。中小企業向けのセキュリティチェックリストと併せて、現状の確認から始めてみてください。