この記事をシェア
記事の内容
当社ではネクスタ・メイシという名刺管理のSaaSサービスを提供しており、お客様から「アカウント共有は可能か？」というお問い合わせをいただくことがあります。
もちろんセキュリティの観点からお断りさせていただいているのですが、「なぜダメなのか」という理由については認知が広がっていないと実感します。
今回はアカウント共有に潜むリスクや、それにより発生する問題点などについて解説していきます。
アカウント共有とは？
アカウント共有とは、複数の人物が同じアカウントを使用することを指します。
例えば、プロジェクトに参加しているメンバーで同じ情報を常に持っていなければいけない場合や、法人ごとのアカウントを付与するシステムの場合、またはアカウント課金型のシステムでコスト削減を目的としたアカウント共有をされる場合があります。
法人ごとのアカウントを付与するサービスであれば、共有前提のシステム構築がされているため、リスクは低いと思いますが、個人アカウントのサービスではアカウント共有が大きなリスクになるケースがあります。
アカウント共有によるリスクとは？
一見便利そうで効率的に見えるアカウント共有ですが、大きなリスクをはらんでいます。ここからはアカウント共有のリスクについて解説していきます。
規約違反、アカウントの停止のリスク
そもそも論になりますが、ほとんどのSaaSサービスでは、利用規約でアカウントの共有を禁止しています。場合によっては利用規約に罰則の記載があるケースもあると思います。
発覚した場合、規約違反により通知なく契約を解除されてデータが消えてしまったり、最悪の場合は訴訟問題に発展するケースがありますのでご注意ください。
ID、パスワードの漏洩や悪用されるリスク
アカウント共有する場合、全員がパスワードを知っている必要があり、簡単なパスワードが設定されがちです。
また、共有人数が多ければ多いほど、周知する手間からパスワード変更もしにくくなり、様々な場所からログインがあるため、ログインの管理もおろそかになる傾向があります。
その結果、全く関係ないところからログインがあったとしても、気に留めなくなり、知らないうちに情報が漏洩していた…ということになるケースもあります。
本来であれば退職や異動の際には使っていたツールにはログインできなくするべきですが、全員への通知がパスワード変更の足かせとなり、その後も変更されずに、退職者から不正アクセスされてしまうケースもあります。
また、適切な管理がされていない場合、複数のサービスで同じパスワードを使用しているケースもあると思います。その場合は、不正アクセスは他のツールにも及ぶ可能性があります。
個人情報や顧客情報の漏洩リスク
MAツールや名刺管理アプリなど、クライアントの個人情報が保存されているツールにおいては、これらの情報がCSVのエクスポートで簡単に取り出せてしまいます。これは、ツール連携をする上では欠かせない機能になりますが、適切なアカウント管理がされていない場合、大きな情報漏洩リスクにつながります。
なお、個人情報取扱事業者は、一定の条件の個人情報の漏洩があった場合は個人情報保護委員会への届け出が必要で、現在も内部不正により情報を持ち出したことによる漏洩事件も後を絶ちません。
アカウント共有による問題点
個人アカウントを前提としたサービスでは、アカウント共有を行うことで様々な問題が発生します。これらのサービスはセキュリティに関する設定が個人利用向けに設計されているため、最大限の機能を活用できない結果になってしまいます。
取得したログが使えない
一般的なアプリケーションやウェブサービスはログを取得できるように作られており、常にユーザーが「いつ」「どこで」「何を行ったのか」が履歴として残るようになっています。
有事の調査の際にはこのログを元に原因や経過を調べるのですが、基本的にはユーザーのログはアカウントに紐づいていますので、アカウント共有がされていた場合、「誰が」の部分がわからなくなってしまいます。そのため、原因の特定や復旧時間に影響が出る可能性があります。
また、一番大事な「誰が」やったのかがわからないため、不正を行ってもバレない環境を作ってしまうことにつながります。
SSOや二要素認証が設定できない
最近ではアプリやSMSによる二要素認証がかなりメジャーになりつつあります。特にSMSでは電話番号を登録しなければならないため、アカウント共有をしている場合は設定された電話を所持している人との連絡をとる必要が出てきます。
また、SSOによるログイン機能を持つアプリケーションではSSOが使えなくなってしまいます。
複数デバイスによる本人確認はセキュリティが強化される分、使う側からしたらかなりの手間が発生します。これらの理由から、アカウントを共有していた場合、ログイン時のセキュリティを強化することが難しくなります。
権限管理が難しい
アカウントを共有する場合、権限設定が難しくなります。SaaSのサービスでは、権限管理をアカウント単位で切り替えるシステムが多いのではないでしょうか？そのため、アカウント共有を行った場合は管理者権限での利用になってしまいます。
本来であれば権限管理で職位やユーザーごとにアクセスできる情報の幅を制限する運用が望ましいですが、共有を行うと権限管理機能が効果を発揮できなくなり、誰でもすべての情報にアクセスできる環境を作ってしまうことになります。
まとめ
いかがでしたか？今回はアカウント共有に関する解説を行いました。共有アカウントは便利な反面、組織に及ぼすセキュリティリスクとして大きなものになってしまいます。
基本的にサービスの利用規約はツールに最も適した形で作られているはずです。そのため、規約に則った適切なアカウント運用を心がけましょう。
