私たちは皆、パスワードが嫌いだ。それは別に驚くべきことではありません。私たちは皆、パスワードが多すぎて管理しきれず、情報漏洩の最大の原因であり、組織に何十億もの損害を与えている！

では、なぜ取り除くのが難しいのだろうか？

ほとんどの場合、最近までこれ以上のものがなかったからだ。パスワード（共有された秘密）は、あらゆるデバイスで共通の認証方法を提供する。しかし、パスワードは単一要素であるため容易に漏洩しやすく、平均90個のパスワードを覚えなければならないデジタル世界では、もはや実用的ではない。固有のセキュリティの弱点とユーザー体験の問題を回避するために、企業はリスクシグナル、OTP、セッションクッキー、その他のアドオン戦略に投資してきた。しかし、結局のところ、漏洩する可能性のある根本的なパスワードが存在し、ユーザーの摩擦を引き起こしている。

良いニュースは、過去5年間で、アイデンティティと認証の仕組みが、ユーザー名とパスワードから暗号キー（別名FIDO）へと全面的にアップグレードされたことだ。これが意味するのは、フィッシング攻撃に対して脆弱な（そしてどちらも摩擦を生む！）2つの弱い要素（例えばパスワードとOTP）を、より便利で同時に安全な強力な多要素アプローチに置き換えることができるということだ。これらの要素とは、1）人々がすでに持っているデバイス（電話、PC、タブレット）であり、それらは現在暗号化されている、2）デバイスによって実行されるユーザー認証（指紋センサー、顔認証、PINなど）である。

FIDOプロトコルは、パスワードに代わる強力な多要素認証を可能にするもので、指のスワイプ、携帯電話のカメラの覗き込み、Windows Hello PINの入力など、非常にユーザーフレンドリーである。ほとんどのユーザーはこのような代替手段を好んでいる。アップルはTouchIDを導入したことで、このような手段を普及させた。ほとんどの企業は、パスワードの摩擦を軽減するために、モバイルアプリに生体認証を導入している。しかし、多くの場合、パスワードは単にキャッシュされるだけで、セキュリティの向上にはつながらない。そして、ユーザーが携帯電話やPCでアプリケーションのウェブ・バージョンにアクセスする際、またパスワードが必要になる。

昨年まで、パスワードに固執する言い訳のひとつは、アップルがまだFIDOに参加していないため、パズルが不完全だというものだった。SafariがFIDOをサポートし、マイクロソフト、グーグル、そしてFirefox Mozillaに加わり、パスワードの廃止を目指すようになったからだ。エコシステム全体でFIDOが採用されたことで、「TouchID」のコンセプトをあらゆるデバイスとチャネルに拡張することが現実的になり、私たちはようやくガムをこすり落とすことができる。そうだろう？課題は、より簡単で、より安全であることは間違いないように思えるが、それは変化であるということだ。デジタルトランスフォーメーションには、機能横断的なサポートが必要だ。各ステークホルダーは、自分たちの組織にとっての価値を理解し、戦略的で新しいアプローチをとることが、戦術的なアドオンと比較してなぜ意味があるのかを理解しなければならない。組織はまた、レガシー・アプローチから新しいパラダイムに移行するための明確なロードマップを持たなければならない。

次回のブログでは、社内の利害関係者に多くのビジネス上のメリットを理解してもらうこと、戦略的アプローチの価値、そしてパスワードレスへの旅に出るためのベストプラクティスについてお話しします。

今年、悲劇的な出来事があった。その悲劇は多岐にわたるが、私たちの分野では、ある悲劇が際立っている。サイバー攻撃に直接関連した最初の死である。

今年初め、私の家から3時間もかからないドイツのデュッセルドルフで、ランサムウェア攻撃が病院のシステムを麻痺させ、すべての救急車を他の救急病院に迂回させた。しかし、1台の救急車が危篤状態の患者を乗せて標的となった病院に到着した。その患者は代替施設に迂回させられたが、助からなかった。

これは悲劇だ。デジタルの世界における脅威は、物理的な世界へと飛び火した。人々にとっての脅威は、もはや理論的なものでも、個人的な不便さでもない。もはや、不正な支払いを拒否するだけでは済まないのだ。残念ながら、脅威はますます増大しているようだ。

デュッセルドルフの病院は意図したターゲットではなかったかもしれないが、病院はかなり脆弱である。2019年には、病院の84％にサイバーセキュリティの専任職員がいないことが報告された。同じ報告書では、2016年から2018年の間に、病院幹部の3分の1が "あまりビジョンや識別力を持たずにやみくもに "サイバーセキュリティ・ツールを購入したと指摘している。一方、医療機関はデータ侵害の回復に他のすべてのセクターよりも多くの費用を費やしている。

インターネットに接続された機器、つまりモノのインターネット（IoT）が医療業界に恩恵をもたらしているのは、複雑な幸運である。医師や従業員はすでにスマートフォン、タブレット、ノートパソコン、デジタルアシスタントを使っている。診断機器や画像診断機器、手術用ロボット、ウェアラブル機器、インテリジェント機器、無数のワイヤレスセンサーなどの接続性が高まっている。がん患者の症状を追跡するブルートゥース対応の体重計や血圧計がある。糖尿病患者の生活の質を向上させるグルコースモニターもある。アップルのResearchKitは、パーキンソン病を患う人々の毎日の日記のプロセスを簡素化し、患者を助けると同時に、研究に役立つ貴重なデータを提供する。スマート冷蔵庫でさえ、食生活に関する関連データを医師に送り返すことができる。

これらの技術革新はすべて、私たちが受ける医療の質にとって正味の利益となっている。IoTセキュリティ・インスティテュートの創設者であるアラン・ミハリックは、「このようなデータがあれば、サービスを改善し、サービスを提供するためのコストを下げる方法を検討することができる。しかし、それ以上に、それは反応的な医療モデルから積極的な医療モデルへの移行という問題なのです」。

ITセキュリティの経験があるのかないのかわからないスマートな医療専門家によって、さまざまなメーカーから提供されたこれらの新しいデバイスがインストールされ、運用されているのだから、病院の攻撃対象がここ数年で計り知れないほど大きくなったとしても不思議ではない。2017年から2019年にかけてのデータセキュリティに関する購買決定の92%はCレベルで行われ、影響を受ける部門管理者やそのような決定によって影響を受けるユーザーを含んでいない。結局のところ、病院の緊急性は、緊急治療室の医師に関連情報をオンデマンドで提供するシステムを必要としている。 さらに、病院は予算の制約に悩まされていることで有名です。レガシー・ソフトウェアのリプレースやアップグレードには、次のようなとんでもない統計につながるような値段がつきがちだ：医療機関の56％がいまだにWindows 7を使用している！ITのための予算は、通常、セキュリティには充てられない。90％の医療機関が、2016年以降セキュリティ予算は横ばいか減少していると報告している。

しかし、それに対して何ができるのだろうか？現在のベストプラクティスを知っておくことは不可欠である。

2019年、米国国立技術標準研究所（NIST）は「モノのインターネットのサイバーセキュリティとプライバシーリスクを管理するための考慮事項」を詳述した報告書NISTIR 8828を発表した。その中で、3つのハイレベルな緩和方法が強調されている。簡単に言えば、以下の3つだ：

1. デバイスのセキュリティを守る。
2. データのセキュリティを守る。
3. 個人のプライバシーを守る。

病院のITインフラを整備・管理する責任者は、コネクテッド・デバイスを組み込む方法について熟慮する必要がある。サイバー・リスクの軽減はどの業界にとっても極めて重要だが、医療にミスは許されない。今年、リモートワークへの急速なシフトにより、ハッカーが悪用できる脆弱性が大幅に増加した。残念なことに、脆弱性を修正することは、特に病院のような常時稼動型の業務にとっては、想像以上に難しい。

しかし、最初から始めることは可能だ。認証（デバイスや記録への特権的なアクセスを得るためのプロセス）は、安全で、摩擦がなく、他のデバイスと相互運用可能で、業界で試行錯誤され、テストされた標準に基づくものであれば、これらの脆弱性のギャップを埋め始めることができる。残念ながら、それには現状に挑戦することが必要である。

しかし、人命が危険にさらされている以上、現状では不十分であり、異議を唱える必要があることは、これまで以上に明らかである。

今月はサイバーセキュリティ啓発月間であるため、私たちは皆、自分たちの根本的な仮定と、それを改善できる可能性のある場所について、少し考えてみよう。医療におけるIoTデバイスは、患者の治療方法や研究方法に大きな改善をもたらす可能性がある。しかし、それは保護される必要があり、過去の「十分な」セキュリティはもはや十分ではありません。少なくとも、デュッセルドルフの患者にとってはそうではなかった。

パスワードが壊れていることは驚くことではない。パスワードは今日のコネクテッド・エコノミーを保護するために設計されたものではない。FIDO標準の発明者として、私たちはパスワードに取って代わる鍵は、相互運用性を支持し、セキュリティの地形を分散化するプライバシー・バイ・デザイン仕様であることを知っていました。

Nok Nok™ S3 Suiteは規格の枠を超えています。地球上で最も広く導入されているFIDO認定ソリューションです。BBVAや Standard Bankのような銀行、T-Mobileや NTT DOCOMOのような通信事業者、そして物理的セキュリティ、政府、保険のような様々な業界において、何十億もの消費者認証イベントを実現してきました。私たちは、FIDO認証サーバを提供する他のどの企業よりも、Nok Nokソリューションを大規模に導入してきました。私たちの経験は、より良い製品、より良いチーム、より迅速で安定した統合、そしてNok Nok S3 Suiteの新リリースで共有できるメリットを提供します。

Adaptive Policies
既存の認証システムは堅牢だが、そのほとんどはユーザー名とパスワードを基礎層として導入されてきた。私たちは、パスワードが強固な基盤にならないことを知っている。その弱点を補うために、パスワードをより複雑にしたり、個人的な質問をしたり、ワンタイムパスコードを生成して配布したり、不正の可能性を（ほんの少し！）低くするためにデバイスの詳細を採取したりする新しいシステムがボルトオンされてきた。これらのデータポイントを収集・分析するために、リスクエンジンが考案された。これらの追加的な方法の使用を義務付ける規制も作られた。私たちがパスワードレスの未来に進んでも、これらの要件のいくつかは存続し、まだ必要とされるでしょう。

Nok Nok S3 Suiteを利用することで、既存のリスクエンジンや行動バイオメトリクス、その他のシステムと組み合わせた大規模なパスワードレス・デプロイメントを実現できます。新しいリリースでは、統合を簡素化し、認証イベントのコンテキストに動的に適応するエンジンを追加しました。これにより、お客様は一行もコードを書くことなく、適切なリスク要因を選択し、実装することができます。認証コンテキストを含めることで、PSD2 SCAやその他のプライバシーおよびセキュリティ規制の要件への準拠を可能にします。新しく簡素化された統合により、導入までの時間が短縮され、最も差し迫った金融業界の要件に対応するために必要なツールが提供されます。

デバイス・サポートの拡大
FIDO標準は当初から相互運用性を重視してきました。富士通や サムスンのような携帯電話メーカー、クアルコムのようなセキュア・シリコン・プロバイダー、顔認証や指紋認証の認証プロバイダーとFIDO規格が統合されるよう、私たちは初期から精力的に取り組んできました。Nok NokはApple WatchのFIDO認証サポートを最初に実現し、今日ではWearOS（正式にはAndroid Wear）にも対応しています。しかし、私たちの仕事はこれで終わりではありません。新しいデバイスやソリューションが市場に出るにつれ、私たちはサポートを拡大し、より多くの選択肢を消費者に提供したいと考えています。当社のAPIとSDKを通じて、チャネルやデバイスに関係なく、同じユーザーエクスペリエンスとセキュリティを提供することができます。

Nok Nok™ Quick Authentication
帯域幅は混雑しており、特に現在では複数のデバイスでオンラインを利用する人が増えています。携帯電話はイヤホン、腕時計、コンピューターなどに接続されています。各無線通信にはネットワークコストがかかり、遅延や待ち時間が発生します。一部のネットワークは他のネットワークほど堅牢ではなく、このようなエクスペリエンスの不一致は、ユーザーに不満や摩擦を生じさせます。

Nok Nok™ Quick Authenticationは、1回のネットワークラウンドトリップでセキュアなFIDO認証を実行します。Nok Nok™ Quick Authenticationは、1回のネットワーク・ラウンドトリップでセキュアなFIDO認証を実行します。ネットワークトラフィックを大幅に削減することができます。エンドユーザーはこのアップデートにより、スピードとセキュリティの両方を手に入れることができます。

FIDO標準はパスワードレスの世界へ向けての飛躍的な前進ですが、Nok Nok S3 Suiteはそれをさらに前進させます。当社の最新テクノロジーは、ユーザーエクスペリエンスに摩擦を加えることなく、複雑な規制と格闘する企業の認証ニーズに対応するように構築されています。顧客はプライバシーを求め、CCPAやGDPRのような規制には厳格な規則があり、プライバシー侵害には大きな罰則が科せられます。Nok Nok S3 Suiteは、認証のためにバイオメトリックな顧客データを一元的に保存する必要性を排除し、前述のようにプライバシー・バイ・デザインのアプローチに従っています。強力な多要素認証により、FFIEC、PSD2 SCA、HIPAAおよびその他の規制への準拠が可能になります。さらに、EMVCo 3DS2が要求する高額取引のトランザクション確認もすでにサポートされている。

私たちは、認証はコネクテッド・エコノミーへのフロントドアだと考えている。そのドアは、摩擦がなく、しかも安全でなければならない。組織や規制機関が必要とするセキュリティを提供する一方で、エンドユーザーを遠ざけるものであってはなりません。私たちは、数千万人のユーザーを持つ顧客にソリューションを展開しており、スケーラブルなソリューションの構築と統合の方法を熟知しています。

シンプル。安全。スケーラブル - これが8年前に私たちがコミットしたことであり、今日私たちが提供し続けていることです。

Nok Nok S3 Suiteの詳細については、お気軽にお問い合わせください。