全米サイバーセキュリティ意識向上月間（NCSAM）は、安全なオンライン利用を提唱することを目的とした、米国と欧州連合（EU）の政府および民間企業による共同計画です。

オンラインおよびコネクテッドデバイスでのインタラクションにおけるリスクを軽減するには日常的な行動が重要だという認識から、2024 年の NCSAM のテーマには「Secure Our World（私たちの世界を守ろう）」というフレーズが選ばれました。以下のヒントを参考にして、世界をいっそう安全にし、サイバー利用を保護するための 4 つの方策をご確認ください。

1. フィッシングを見破り、報告する

フィッシングとは、ソーシャルエンジニアリング攻撃の一種であり、ウェブページ、テキストメッセージ、SNS のダイレクトメッセージ、メールの見た目を悪用し、信頼できる当事者との安全な正規のやり取りをオンラインで交わしているとユーザーに信じ込ませる手口です。

フィッシングメールには通常、実際のウェブサイトを巧みに模した偽装ウェブサイトへのリンクが記載されています。フィッシングサイトは、悪意のあるソフトウェアをインストールさせたり、機密性の高い個人情報を収集したりする目的で作られています。収集対象の情報は、クレジットカード情報、PIN コード、社会保障番号、銀行口座情報、パスワードなどです。攻撃者はこの情報を利用して、個人情報盗用、金融詐欺、その他の不正行為につなげます。

フィッシング詐欺を回避する最も簡単な方法のひとつは、メールで受信したリンクをクリックしないように、自分自身や従業員、大切な人たちに周知徹底することです。さらに安全な対策として、新しいブラウザページを開いてフィッシングメールに記載された URL を手動で入力し、アドレスバーに表示されるウェブサイトの名前と、メールに書かれたサイトの名前を比較する方法もあります。不審なメールは reportphishing@apwg.org に転送することで、APWG（Anti-Phishing Working Group）に報告することもできます。

ただし、フィッシング詐欺を防ぐ対策の責任すべてを一人ひとりのユーザーに負わせる必要はありません。組織の方でも、DMARC（ Domain-based Message Authentication, Reporting and Conformance）を導入すべきです。DMARC は、メール認証とレポートを統括するために設計されたメールプロトコルであり、フィッシングやなりすましからの保護を強化します。

DMARC を有効にすると、組織は認証マーク証明書（VMC）またはコモンマーク証明書（CMC）を取得できます。この証明書があれば、メールクライアントの送信者欄にブランドロゴを表示できるので、メッセージが認証済みであることを受信者に示し、安心感を与えることができます。ソーシャルメディアのプロフィールで見られる青いチェックマークとも似ており、認証と DMARC のセキュリティ上の強みを示して、フィッシングに対する防御を強化します。

2. 強力なパスワードとパスワードマネージャーを使用する

適切なパスワードは、パソコンへの不正アクセスに対する最初の防御手段です。パスワードの強度は、悪意のあるソフトウェアやハッカーに対する保護レベルに直結します。したがってこのセキュリティ対策は、個人的なものであれ仕事上のものであれ、アクセスするどんなアカウントにも該当することをぜひ理解してください。

パスワードを作成するときには、以下のヒントを念頭に置いてください。

• 強力なパスワードには、8 文字以上の長さが必要です。
• パスワードに、本名、ユーザー名、会社名、誕生日、その他の個人情報は含めないようにします。
• パスワードは決して使い回さないこと。どのパスワードも、他のサイトで使うパスワードとはまったく違うものにしてください。
• 完全な単語は使わないようにします。使う場合は、推測されにくい単語を選んだうえで、一部の文字を数字や特殊文字に（a を @ に、B を 3 になど）置き換えてください。
• 大文字、小文字、数字、特殊文字など、色々な種類の文字を組み合わせるようにします。

セキュリティに精通した個人や組織になると、Keeper や LastPass といったパスワードマネージャーも使っています。パスワードマネージャーなら、長くて複雑で、完全にランダムなパスワードを生成できるうえに、そのパスワードが保存されるので、記憶しておく必要がありません。パスワードマネージャーをうまく利用する鍵は、2 要素認証（2FA）を使用し、パスワードマネージャー自体に特別に強固なパスワードを設定することです。こうした予防措置を講じていないと、攻撃者がパスワードマネージャーのパスワードを解読し、すべてのパスワードに一挙にアクセスしてしまう恐れがあります。

3. 多要素認証を有効にする

もし、100% 安全でハッキング不可能な単一の認証方法があったとしたら、多要素認証（MFA）は必要ありません。しかし、MFA は追加の安全対策として機能する認証のレイヤーとなり、他のレイヤーの潜在的な弱点を補います。

MFA の目的は、複数の認証情報を組み込むことによって、多層の防御戦略を確立することです。認証情報としては、知っているもの（パスワードなど）、所持しているもの（セキュリティトークンなど）、自分に固有のもの（生体認証など）が使われます。

ユーザー認証に複数の要素を組み合わせて使うと、権限のない個人がコンピュータ、モバイルデバイス、物理的な設備、ネットワーク、データベースなどにアクセスする難易度が大幅に上がります。実際、Microsoft のレポートによると、多要素認証は自動化された攻撃のうち約 99.9% を阻止すると実証されています。

4. ソフトウェアをアップデートする

ソフトウェアのアップデートは、既存の脆弱性からシステムを保護するうえで重要な役割を果たします。開発者は、既知の脆弱性に対処するアップデートを頻繁にリリースしているため、潜在的な攻撃者がその欠陥を悪用しないうちに、速やかにアップデートをインストールすることが賢明です。ソフトウェアアップデートを自動的に適用するようにコンピュータやデバイスを設定するオプションもあるので、これならプログラムを最新の状態に保つプロセスも簡単です。ただし、ポップアップ広告やメールで提供されるアップデートに、実はマルウェアが隠されている可能性がある点には注意が必要です。自動アップデートを有効にしておけば、悪意のあるアップデートリクエストに対応しなくてもいいので、セキュリティリスクを最小限に抑えることができます。

デジタルトラストに関する最新情報

サイバーセキュリティ、認証、デジタルトラストのベストプラクティスなどのトピックについて詳しくお知りになりたい場合、記事を見逃さないようにデジサートのブログを参照してください。