セキュリティ診断について

30 分前

読了時間: 6分

セキュリティについて、不安に思っている方も多いぁと思いますので、Googleとその他について解説します。基本的なところがメインとなりますがまずはここからです。

Googleについて

Googleアカウントは、Gmailだけでなく、ほかのサービスのパスワード再設定や保存済みパスワードにも関わることがあります。もし第三者に不正利用されると、連携するサービスにまで影響が広がるおそれがあります。日頃から設定を確認し、早めに対策しておきましょう。

Googleのセキュリティ診断

①まず、Googleアカウントのマークをクリックしてください。そこに「Googleアカウントの管理」という欄があります。

「セキュリティとログイン」から「セキュリティ診断」を開いてください。開いた時点で既にセキュリティ診断結果が表示されていることも。画面に確認事項が表示されたら、内容を確かめて対応します。「お使いのデバイス」に見覚えのない端末があれば、アカウントからログアウトさせましょう。

次に、2段階認証プロセスが有効になっているか確認してください。

無効の場合は有効にし、再設定用の電話番号とメールアドレスが現在使えるものかも確認しておくと、ログインできなくなった際の復旧に役立ちます。

Gmailの設定では、「メール転送とPOP/IMAP」も確認しましょう。知らない転送先が登録されていないかをチェックしてください。身に覚えのない設定があれば、削除したうえでアカウントのセキュリティ設定を見直してください。

あと、パスワードを忘れたときのヒントは他の人に知られていない内容で登録を。

卒業した小学校、あだな、昔のペットの名前、子どもの名前、好物などは些細な会話や過去のデータから突破されます。私は仮に出生地や小学校の名前をヒントに選んだとして、本当のことではなく「琵琶湖の真ん中」とか「ふんばり小学校」とか、他人に予想されないような内容を書くようにしています。

その他、このセキュリティ診断結果に出てきたことをすべてクリアしておきましょう。

他の対策

Googleアカウントの確認に加えて、次の対策も効果的です。

使い回しのない強いパスワードにする：サービスごとに別のパスワードを設定し、パスワードマネージャーで管理します。
多要素認証を設定する：対応サービスでは2段階認証を有効にします。SMSだけに頼らず、認証アプリやパスキーが使える場合はそちらも検討しましょう。
パスキーを利用する：対応サービスでは、パスワードの代わりに端末の生体認証やPINでログインできます。登録した端末や復旧方法も管理してください。
OSやアプリを更新する：スマートフォン、パソコン、ブラウザー、アプリは最新版に保ち、自動更新を有効にします。
不審なリンクや添付ファイルを開かない：メールやSMSで急かされても、リンク先からログインせず、公式アプリやブックマークから確認します。
アプリの権限と連携を見直す：使っていないアプリを削除し、位置情報、連絡先、カメラなどの権限や、Googleアカウントへのアクセスを定期的に確認します。
画面ロックと端末の保護を設定する：Face IDなどの生体認証に加えて、推測されにくいパスコードを設定します。紛失時に端末を探す・ロックする機能も有効にしておきます。
復旧手段を安全に保管する：再設定用の連絡先やバックアップコードを最新の状態にし、バックアップコードは端末と別の安全な場所に保管します。
重要なデータをバックアップする：写真や書類は、クラウドや外部ストレージなど複数の場所に保存しておくと、端末の故障や紛失に備えられます。

まずは、メール、銀行、SNS、携帯電話会社など、他のアカウントの復旧に使われるサービスから見直すのがおすすめです。

個人情報管理をしている方

上記は当たり前として、スプレッドシートなどのアクセス権なども確認します。昔、どこぞの企業のスプレッドシートが大公開されていたことがありました。

うちも改めて、今、確認しました。有権者登録された方の情報および署名者のデータは、私のみがアクセス可能でした。

ホームページなどの管理している方

ホームページ管理者は、ログイン情報だけでなく、サイトを動かす環境全体を守ることが大切です。特に次の点を定期的に確認しましょう。

管理画面を保護する：管理者ごとに別々のアカウントを発行し、使い回しのない強いパスワードと多要素認証を設定します。退職者や制作会社など、不要になったアカウントや権限は速やかに削除します。
ソフトウェアを更新する：CMS本体、テーマ、プラグイン、サーバーのソフトウェアを更新し、使っていないものは削除します。更新前にはバックアップを取り、更新後に表示や機能を確認します。
バックアップを別の場所に保管する：ファイルとデータベースを定期的に保存します。サイトと同じサーバーだけに置かず、復元できるかも確認しておきましょう。
サーバーとドメインのアカウントも守る：レンタルサーバー、ドメイン管理、DNS、メール配信などのアカウントにも多要素認証を設定し、登録連絡先と請求情報を最新にします。
HTTPSと権限を確認する：サイト全体でHTTPSを使い、管理者権限は必要な人にだけ付与します。共有アカウントは避け、作業者ごとに記録が残る形にします。
異常に気づけるようにする：管理者のログイン通知やアクセス記録を確認できる状態にし、知らないユーザー、ページ、転送設定、ファイル変更がないか定期的に点検します。
問い合わせやフォームを点検する：フォーム経由の迷惑投稿や不正なファイル送信を防ぐ設定を行い、個人情報を集める場合は保存先や閲覧できる人を必要最小限にします。
緊急時の連絡・復旧手順を決めておく：不審な変更を見つけた場合の連絡先、管理会社への連絡方法、バックアップからの復元手順を整理しておきます。
複数のデータベースを管理している方は、データベースの使用者をデータベースごとに設定してください。一つ漏れても他のデータベースへの影響を防げます。
ホームページなどの管理をしている方は、ＦＴＰパスワードやサーバパスワードも、安易なものを使用しないようにしましょう。また、FTPやサーバーコントロールパネルへのアクセスに対して制限を必ずかけましょう。
AIの高度モデルにHPのセキュリティ点検をさせます。Claudeならスキルにあります（ハイモデル推奨）。
PHPのバージョン確認。現時点で８以上が使えないサーバの場合は移転しましょう。
Wordpressを使っている場合、信用できるプラグインだけを最低限使用します。使っていないプラグインは削除しましょう。

特に、CMSやプラグインの更新停止、使い回しパスワード、放置された管理者アカウント、復元確認をしていないバックアップは見落としやすい点です。まずは現在使っているサービスと管理者アカウントを一覧にし、誰が何を管理しているか確認するところから始めてください。

滋賀県減税会のアカウントでは

セキュリティ診断を定期的に実施し、また、有権者登録をしてくださった会員情報を確認できるのは、会長である私だけとなるよう管理しています。また、GmailやLINE、ＳＮＳ系などスマートフォンの多くのアプリにおいてFace IDによる認証を必須にし、2段階認証やパスキーを設定しています。

皆様にも安心してご利用いただけるよう、引き続き安全管理に努めてまいります。

身近なアカウントの設定を見直すことが、被害を防ぐ第一歩です。