セキュリティ入門 10｜共用アカウントの代償：事故のとき誰がやったか分からない

管理者のアカウントとパスワードはグループのメモ帳に貼ってあるので、商品の掲載、注文の修正、レポートの書き出しは全員これでログインすればいい——中小企業では長く続いてきた暗黙の了解です。新しい人が来るたびにエンジニアにアカウントを作ってもらう必要もなく、各自が自分のパスワードを覚える必要もなく、クラウドのソフトが人数で課金する月額を節約できることもあります。

ところがある朝、サイトの主力商品の価格からゼロが一つ抜けていた、管理画面から顧客の名簿が深夜に大量に書き出されていた、あるいは重要な設定が切られていたと気づきます。腹を立ててエンジニアに誰がやったのか調べてもらうと、システムの記録を開いた彼はひと言だけ返してきます。操作記録に書いてあるのは管理者アカウントですが、社内と外部の事業者を合わせて何人もがこのパスワードを知っているので、誰が押したのかは分かりません。セキュリティ入門の第 10 回です。セキュリティ入門 01｜公告が出た日：自分のシステムが該当するかどう見分けるかと、前回の退職時にアカウントを止める話に続き、本稿は勘定をはっきりさせます。共用アカウントが本当に払わせている三つの代償です。

代償その一：事故のとき責任を切り分けられず、誤操作か侵入かも区別できない

システムの中では、アカウントはその人の電子的な指紋です。各自が自分のアカウントでログインしていれば、誰が何時にどの注文を直し、どのファイルを消したのか、記録にはっきり残ります。これは毎日あら探しをするためではなく、システムに異常が出たときに当事者をすぐ見つけて事情を聞けるようにするためです。

英国のナショナル・サイバー・セキュリティ・センター（NCSC）は『サイバーセキュリティの 10 のステップ：アイデンティティとアクセス管理』（10 Steps to Cyber Security: Identity and access management）の指針で明確に述べています。アクセス制御の仕組みを設計するときは、組織がアカウントの利用状況を容易に監視できるようにし、システム内のすべての操作を、それを実行した人またはアカウントに具体的に結びつけられるようにしなければならない、と。

全員が同じアカウントを共用すると、この追跡の線はそこで切れます。さらに悪いのは、管理画面に不審な動きが出たとき、新しく来た同僚が操作に不慣れで押し間違えたのか、それともパスワードがすでに漏れて外部の攻撃者が入ってきたのかを、すぐに見分けられないことです——全員が同時に同じ身分でログインしているので、正常な操作と悪意ある操作が一本の記録に混ざってしまいます。

代償その二：誰か一人が退職した瞬間、パスワードを変えても変えなくても痛い

前回、誰かが退職した当日にまずやることは、その人のアカウントを止めることだと書きました。しかし共用アカウントを使っている会社では、同僚の一人が退職したとき、あるいは短期で組んだ広告の事業者が終了したとき、すぐに二つの選択肢のあいだで行き詰まります。

• パスワードを変えない方を選ぶ：すでに会社を離れたその人は、いつでも管理画面にログインできる鍵を手に持ったままです。人柄を信用していても、パスワードを保存したその私物のパソコンが後でウイルスに感染するか、誰かに貸されるかは、こちらで制御できません。
• パスワードを変える方を選ぶ：変えた瞬間、在職中の同僚、動いている自動連携のプログラム、さらには経営者自身の携帯まで、同じタイミングでシステムから追い出されます。そのあと数日、全員がグループで新しいパスワードを聞き合い、最後には手軽さのために、誰かが新しいパスワードをそのまま文字でチャットに貼ります。

共用パスワードの変更があまりに面倒だからこそ、多くの会社はとりあえず変えないことを選び、結果として一つの管理者パスワードが何年も使われ、知っている人の半分はもう会社にいないのに、誰も手をつけられなくなります。

代償その三：全員が使いやすいように、二段階認証を切り、権限を最大まで開ける

共用アカウントにはもう一つ連鎖があります。本来システムを守っていた仕組みを、一つずつ外させることです。

たとえば、今は少しでもセキュリティを重視するシステムなら、携帯で認証コードを受け取る設定（二段階認証）を求めます。しかし何人かが一つのアカウントを共用していると、コードはそのうち一人の携帯にしか届かず、同僚がログインするたびにオフィスで大声でコードを読んでもらうことになります。やがて全員が面倒がって、二段階認証を切ってしまいます。同じ理屈で、別の部門の人が同じアカウントで仕事をするため、この共用アカウントの権限は最上位まで開けざるを得ません——レポートを見るだけでよかったインターンが、サイトのデータベースをまるごと消せる最上位管理者の鍵を受け取ることになります。

一枚の表：共用アカウントと一人一アカウントの実際の差

日常の手軽さと事故のときの代償を同じ表に並べると、はっきり見えます。

今日から始められる三つの小さな動作

共用アカウントをやめるのに、すべてのシステムを一度に作り替える必要はありません。リスクの高いところから三段階で進められます。

• 第一段階：最上位の管理者アカウントを誰が持っているか洗い出す：サイトの管理画面、クラウドサーバー、決済のプラットフォームを開いて、全員が同じ管理者アカウントでログインしていないか見ます。
• 第二段階：実際に操作する人それぞれに子アカウントを作る：自社開発のサイトの管理画面なら、アカウントを作るのに追加の費用はかかりません。人数で課金する外部のソフトなら、少なくとも本当に設定を変える担当者は各自を独立させ、レポートを読むだけの人は定期的な書き出しか通知機能に切り替えます。数席分の月額を節約するために、全員で最上位の権限を共用させないでください。
• 第三段階：全員が自分のアカウントでログインできたら、すぐ元の共用パスワードを変える：古い共用パスワードは会社のパスワード管理ツールに入れて、緊急時の備えとしてだけ残し、普段は誰もそれでログインできないようにします。

恩梯科技（Nerd Technic）はカスタム開発出身のシステムソフトウェア会社で、今やっているのは AI システムの長期保守です。システム健診では何を見ているのか：コード、データベース、デプロイ、セキュリティの 4 領域で書いたとおり、セキュリティの面で最初に見る扉は「権限が分かれているか：画面に出ないだけでは足りず、サーバー側で検査していて初めて足りる」であり、コードの面では「変更履歴があるか、誰が何時に何を変えたか見えるか」を確認します。長期保守で見るべきは、事故が起きてどれだけで誰かが応答するかを契約に書いておくことです。今あるシステムがまだ一つのアカウントの持ち回りで、管理画面で子アカウントが作れるのかも分からない場合は、システム健康診断から始められます：システム健康診断を予約する