不正アクセスに備え、何を確認する？

重要なサービスのログインを保護し、不要なアカウントや権限を残さず、端末やソフトウェアを更新します。偽の連絡に気づいたときや、不審なログイン通知が来たときに、確認できる担当者と連絡手順も決めます。

メールやクラウド、業務システムを管理する担当者向けです。攻撃方法の紹介ではなく、自社が管理する環境で点検する項目を扱います。

重要なアカウントを保護する

メールや管理者アカウントなど、乗っ取られたときの影響が大きいものを優先します。パスワードの使い回しを避け、利用サービスで提供される多要素認証やパスキーなどの認証方法を確認します。

多要素認証は、パスワードなど一つの要素だけに頼らず、異なる要素を組み合わせて本人を確認する方法です。パスキーは、対応するサービスで端末の認証などを使ってログインする仕組みです。利用できる方法と復旧手順を、管理者が確認します。

復旧方法と管理者が分からない状態も、業務継続の問題になります。担当者の退職や端末の故障が起きても、会社が管理を引き継げるように整理します。

退職・異動、委託契約の終了、使わなくなった外部連携を確認します。業務上必要な範囲と、今付与されている権限が一致しているかを、サービスの管理者と確かめます。

アカウントを削除するときは、保管すべき業務データや引き継ぎも確認します。担当者を外すことと、会社の必要な記録を失うことが同時に起きないように進めます。

「今すぐ認証しないと停止する」「振込先が変わった」といった連絡は、届いたリンクや連絡先だけで判断しません。普段利用する公式サイトや、あらかじめ把握している窓口から確認します。

偽の連絡には自然な文章もあるため、誤字の有無だけでは判断できません。認証情報や送金を求められた場面で、担当者が一人で確定しない手順を作ります。

OSやソフトウェアの更新担当者を決めます。また、使わなくなった外部サービスとの連携や、必要のない共有リンク・管理画面の公開設定が残っていないかを確認します。更新の影響が大きいシステムは、管理者や提供元と手順を調整します。

診断を依頼する場合は、対象システムと管理権限を明確にします。外部のシステムや契約範囲外のサービスを、独断で検査しないようにしましょう。

身に覚えのないログイン通知や、送った覚えのないメールが見つかったとき、誰に何を伝えるかを決めます。発見した時刻、サービス名、表示内容を記録し、責任者へ共有します。

初期対応は事前に決めた手順と管理者の指示に沿って進めます。原因や影響が分かる前に、アカウントやログをむやみに削除せず、確認できる情報を保ちます。