パスワード管理

このカテゴリが扱う範囲

人々がスプレッドシートに認証情報を置くのをやめられるよう、保管することです。個人の保管庫、チームで共有する保管庫、アプリケーションが使うシークレット、そのすべてを取り巻く復旧の仕組みが含まれます。

この棚からは、2種類の利用者が購入します。個人は利便性と安全性を求めます。組織は、共有、プロビジョニング、失効、証跡を求め、それは中核が同じ別の製品です。

より広いアクセス制御と監視はセキュリティにあります。コンプライアンスの証跡はコンプライアンスとGRCに属します。

スプレッドシートをやめなければならない理由

ドキュメント内で共有された認証情報には、どれだけ注意しても取り除けない4つの問題があります。

かつてアクセスできた人全員が、退職した人も含めて、今もアクセスできます。どのパスワードがほかで使い回されているか、誰にもわかりません。1つ変えるには、全員に伝える必要があります。そして、誰が何を開いたかの記録がなく、これは障害の後に最初に尋ねられることです。

パスワード管理ツールは、共有をコピーではなく、制御された操作にすることで、この4つすべてを解決します。購入しているのは、自動入力の便利さではなく、これです。

暗号化はどう機能するはずか

確認する価値のある主張は、ベンダーに保管庫を読めないということです。

適切に設計された製品では、暗号化と復号は自分の端末で行われ、ベンダーが保存するのは自分では開けない情報です。その結果、人が後になって気づくことがあります。マスターの認証情報を失えば、保管庫を永久に失う可能性があるため、復旧の設計は暗号化と同じくらい重要です。

どんな復旧手段があるかを見てください。法人向けのプランでは、通常、管理者による復旧支援や緊急連絡先があります。それがどう機能するかを尋ねてください。管理者がすべての保管庫を読める復旧経路は、そうでないものとは別のセキュリティモデルだからです。

独立した監査と、公開されたアーキテクチャは、安心させる形容詞が並んだページより価値があります。直近の監査はいつか、報告書は読めるかを尋ねてください。

チームが実際に必要とするもの

• 共有保管庫: チームやプロジェクトごとに、グループ単位でアクセスを付与します。
• プロビジョニング: 入社と退社が、記憶頼りではなく自動で行われます。
• 失効: 次回のログイン時ではなく、即座にアクセスを取り除きます。
• 監査ログ: 誰がいつ、どの項目にアクセスしたかを示します。
• アプリケーション用のシークレット: コードの外に置かれ、ダウンタイムなしにローテーションされます。

退社の手続きは、最も過小評価されがちな要件です。退職後に残されたアクセス権は、最初のセキュリティレビューで必ず見つかる指摘事項であり、このカテゴリが防ぐために存在するものです。

定着が難しい部分

誰も使わない保管庫は、手順が増えただけのスプレッドシートです。

決め手は平凡なことです。社員が使うサイトやアプリケーションで自動入力が確実に動くか、スマートフォンでの体験が許容できるか、新しい認証情報の保存が1回の操作で済むか。どれか1つでも欠ければ、人は覚えやすいパスワードの使い回しに戻ります。

ブラウザ拡張機能が主な接点で、品質はまちまちです。やっかいなケースで試してください。特殊なログインフォームを持つアプリケーション、絶えずログアウトされるサイト、4人が同時に使う共有アカウントです。

パスワードを超えて

2つの動きが、このソフトウェアの目的を変えています。

パスキーは、対応するサービスでパスワードをなくし、優れた管理ツールは、端末間でそれを保存・同期するようになっています。その一覧は増え続けており、対応状況は想定せずに確認する価値があります。

もう1つの方向がアプリケーションのシークレットです。人ではなくシステムが使うキー、トークン、証明書には、ローテーション、スコープを絞ったアクセス、監査証跡が必要で、このカテゴリの製品のいくつかは、今では両方の世界をカバーしています。料金はユーザー単位の月額で、法人向け機能が階層を決め、料金ページが隠していることで説明している通常の慣行も併せて確認してください。

チームに保管庫を展開する

移行は簡単ですが、習慣を変えるのは簡単ではないため、後者を前提に計画してください。

すでに不安を感じている共有の認証情報から始めます。管理者アカウント、仕入先のポータル、現在ドキュメントにあるものすべてです。それらを先に移せば、目に見える価値が得られ、最悪の露出が取り除かれます。

次に、メールではなく短い説明会で、一人ひとりを移行させます。抵抗の大半は、原則的な異論ではなく、自動入力の動きが違うことから生じます。

ベンダーが提供しているなら、社員にファミリー向けや個人向けの無料プランを渡してください。仕事用と家庭用の認証情報の使い回しは本当のリスクで、それを減らす最も安い方法は、安全な選択肢をどこでも使えるようにすることです。

最後に、古い経路を止めてください。置きっぱなしの共有ドキュメントは、6か月後でも誰かが使い続けます。