（※この記事は、2024年2月14日に更新されました。）
パスワードを覚えたり入力したりすることなく、お気に入りのWebサイトにログインできたらいいのに、と思ったことはありませんか？それを実現する一つの方法がマジックリンクです。マジックリンクは、メールアドレスだけでユーザーを認証する簡単な方法です。
本記事では、そもそもマジックリンクとは何か、利用方法や安全性、長所・短所について解説します。
【目次】
<ul>
<li><a href="#one" rel="follow">マジックリンクとは？</a></li>
<li><a href="#two" rel="follow">マジックリンクはパスワードよりも優れているの？</a></li>
<li><a href="#three" rel="follow">マジックリンクの安全性</a></li>
<li><a href="#four" rel="follow">パスワードマネージャーの使用</a></li>
<li><a href="#five" rel="follow">まとめ</a></li>
</ul>
<h2 id="one">マジックリンクとは？</h2>
マジックリンクは、パスワードなしでアカウントにサインインする方法であり、そのプロセスは、以下のように「パスワードを忘れた場合」をクリックした場合と似ています。
<ol>
<li>サインインフォームにメールアドレスを入力する。</li>
<li>「メールアドレスでサインイン」（または「マジックリンクを送信」など、様々な文言あり）をクリックする。</li>
<li>受信メールを確認し、リンクをクリックするか、コードを入力してサインインする。</li>
</ol>
これでサインイン完了です！リンクは使い捨てで、通常は一定の時間が経過すると失効します。下の Slack で使われているようなマジックコードの場合、コードはリクエストを送信したブラウザセッションでのみ機能し、そのウィンドウを閉じて再度サインインしようとすると、新しいコードが送信されます。
Slack は、マジックリンク（またはコード）を採用した代表的なプラットフォームのひとつです。
<img src="https://cdn.buttercms.com/8NJhm77qT0aR0oKuvVcQ" alt="undefined" width="749" height="472">
<img src="https://cdn.buttercms.com/L3beNaQRiapg2LqALQc1" alt="undefined" width="606" height="494">
<img src="https://cdn.buttercms.com/xGFZviPQyWBPItsUl0WO" alt="undefined" width="609" height="402"> &nbsp; なぜ企業は顧客にパスワードの代わりにマジックリンクを使ってサインインさせるのでしょうか？
皆さんは、おそらくオンラインアカウントを数多く持っていると思います。そして、それぞれのアカウントにはユニークで複雑なパスワードが設定されるべきですが、パスワードマネージャーなしでは、各オンラインサービスに安全なパスワードを作成するのは不可能です。
今は無料で手軽に使えるパスワードマネージャーが多く出回っているので、それを使うのが最善策なのは言うまでもないです。しかし、デベロッパーは顧客にパスワードマネージャーをダウンロードして、適切なパスワード管理を行うよう強制することはできません。
そこで登場するのがマジックリンクです。
マジックリンクは、顧客の間違ったパスワードの管理習慣を問題にせず、途中で「パスワードを忘れた」というイライラする経験を解消することを目標としています。
では、マジックリンクは有効なのでしょうか？
<h2 id="two">マジックリンクはパスワードよりも優れているの？</h2>
マジックリンクはより広く使われるようになりましたが、普及にはまだまだ程遠いです。以下で、マジックリンクの長所と短所を見てみましょう。
<h3>長所：</h3>
<ul>
<li>顧客はパスワードの管理が不要。つまり、パスワードを連続で間違えてロックアウトされたり、パスワードを９０日ごとに変更したり、リセットする必要はなく、他のアカウントで使われているパスワードを使い回したためにハッキングされるということもない。</li>
<li>サポートはトラブルシューティングがしやすい。ユーザーがメールでマジックリンクを受け取らなかった場合、間違ったメールアドレスの入力か、マジックリンクがスパムになった（または完全にブロックされた）かのどちらかであり、いずれにせよ、サポートは 「正しいパスワードが使えない」というクレームを聞くことがなくなる。</li>
<li>適切に保護されたメールがある顧客のみに対応。多くの人が<a href="https://teampassword.com/ja/blog/how-often-should-you-change-your-password-the-importance-of-password-safety" rel="follow noopener" target="_blank">パスワードを使い回している</a>が、パスワードマネージャーやジェネレータの使用を強制することはできない。使い捨てリンクであれば、サイバー犯罪者が複数のロックを解除できることを期待して多数のアカウントで 単一のパスワードを使用する「クレデンシャルスタッフィング攻撃」の危険性がなくなる。また、サイバー犯罪者が被害者を騙して重要な情報を提供させるフィッシング攻撃の危険性もなくなる。</li>
</ul>
<h3>短所：</h3>
<ul>
<li>上記の「長所」の逆で、マジックリンクはユーザーのメールと同じくらいの安全性しかない。サイバー犯罪者が顧客のメールを巧くハッキングできたら、一巻の終わりである。そのため顧客は、２FA（二要素認証）や強力でユニークなパスワードを使って、自分のメールにアクセスできるデバイスとそのデバイスの場所を確実に把握する必要がある。</li>
<li>ネットワークのセキュリティに依存する。顧客が安全でない無線 LAN を使っている場合、サイバー犯罪者は中間者攻撃を使ってセッショントークンを傍受する可能性がある。</li>
<li>スムーズにいかないとイライラする。マジックリンクが迷惑メールに入れられたり、表示されるまでに数分かかることがある。また、メールがサインインされていないデバイスでログインする場合は、ログインが必要であり、その際、2FA に携帯端末が必要になる可能性がある。</li>
<li>パスワードと同じように、管理者はリンクやコードが誰とどのように共有されるかをコントロールすることはできない。</li>
</ul>
<h2 id="three">マジックリンクの安全性</h2>
あらゆるセキュリティ対策と同様、その有効性は使い方次第です。マジックリンクで、（フィッシングやクレデンシャルスタッフィング攻撃などの）パスワードに内在する特定のサイバーセキュリティ問題がなくなる一方で、セキュリティ上のリスクは顧客のメールに委ねられます。そして、メールのセキュリティは<a href="https://teampassword.com/ja/blog/stop-cybercriminals-in-their-tracks-with-these-5-password-hygiene-tips" rel="follow noopener" target="_blank">パスワード衛生</a>と密接に結びついているため、適切なパスワードの習慣が実践されなければ、マジックリンクを使っても何の役にも立ちません。そのため、マジックリンクを使用する場合は以下を行うべきです。
<ol>
<li>安全なメールプロバイダを使って、2FAを有効にする。</li>
<li>アクティビティログをチェックし、必ず認識されたデバイスだけがメールにアクセスできるようにして、新しいデバイスがサインインしたときに必ず通知されるようにする。</li>
<li>暗号化されたネットワークのみを使う。</li>
</ol>
いい面としては、メールをハッキングしない限り、他のアカウントから盗まれたパスワードでサイバー犯罪者がマジックリンクを突破することはなく、メールのパスワードをフィッシングしない限り、パスワードをフィッシングしようとしても意味がありません。
マジックリンクの安全性は、その設定方法にもよります。ここでは、デベロッパーがマジックリンクをプログラムしてサインインプロセスの安全性を上げる方法をいくつかご紹介します。
<ul>
<li>使い捨てのマジックリンクやコード</li>
<li>有効期限が短いリンクやコード</li>
<li>​​リクエストされたのと同じブラウザで開かれるべきリンク</li>
</ul>
このような機能の中には、顧客のマジックリンクメールが即座に届かなかった場合や、顧客がアプリケーションを使おうとしているコンピュータとは別のコンピュータでメールがサインインしている場合など、UX（ユーザーエクスペリエンス）に潜在的な摩擦をもたらすような代償を伴うものもあります。セキュリティと使いやすさは常に密接関係にあるのです。
<h2 id="four">パスワードマネージャーの使用</h2>
パスワードの代わりにマジックリンクを採用している著名な企業もありますが、ほとんどのオンラインアカウントでは依然としてパスワードが必要です。ログイン情報をパスワードマネージャーに保存しておけば、万が一メールが漏洩しても被害を最小限に抑えることができます。パスワードマネージャーを使わない人は、パスワードを使い回したり、Excel や Google のスプレッドシートに保存したりしたくなるものですが、それらの行動はリスクが大きいので避けましょう。
個人用のパスワードマネージャーが必要な場合は、無料のオプションがあります。ビジネス用のものが必要な場合は、最善策の一つとして TeamPassword があります。<a href="https://teampassword.com/ja" rel="follow noopener" target="_blank">TeamPassword</a>&nbsp;を使うことで、暗号化された環境を離れることなく、パスワードなどの認証情報の保存、更新、共有を簡単にできます。
<h2 id="five">まとめ</h2>
マジックリンクは、覚えにくそうな複雑なパスワードを作らされるイライラを解消することを目的としています。マジックリンクで特定のサイバー攻撃やパスワードの使いまわしのリスクがなくなりますが、ユーザーのメールの安全性に左右されることに変わりはありません。もし Web サイトやアプリケーションに強度なセキュリティが必要であれば、マジックリンクはあまり良い選択ではないかもしれませんが、顧客のログインまでのプロセスを効率化し、「パスワードを忘れた」というイライラを最小限に抑えたいのであれば、マジックリンクが有効な手段となるでしょう。

マジックリンクは、パスワードなしでアカウントにサインインする方法で、以前に比べてより広く使われるようになりました。なぜ企業は顧客にパスワードの代わりにマジックリンクを使ってサインインさせるのでしょうか？本記事では、マジックリンクの安全性や長所・短所について解説します。

マジックリンクとは？　〜パスワード不要のログイン方法〜

ここ数年は、パンデミックの影響もあってリモートワークを取り入れている企業が増えています。リモートワークを導入することによって、今までは出社が必要だったことも、パソコンが有ればどこからでも仕事ができるようになりました。そうなると、社員は通勤の必要がなくなり、企業は高い家賃を払ってオフィスを構える必要がなくなることから、リモートワークを希望する人は今後も増加傾向にあると思われます。
ただ、同時に色々な課題も発生し、最も大きな課題として「セキュリティ」に関するリスクが挙げられます。そこで本記事では、リモートワークにおけるセキュリティリスクについて見ていきます。
【目次】
<ul>
<li><a href="#one" rel="follow">リモートワークとは</a></li>
<li><a href="#two" rel="follow">リモートワークで懸念されるセキュリティリスク</a></li>
<li><a href="#three" rel="follow">セキュリティ問題の対策</a></li>
<li><a href="#four" rel="follow">Teampassword で強固な情報管理</a></li>
<li><a href="#five" rel="follow">Teampassword で安全なリモートワーク</a></li>
</ul>
<h2 id="one">リモートワークとは</h2>
<img src="https://cdn.buttercms.com/YhilbsWQyK0FUS9RdZ5Q" alt="undefined">
そもそも「リモートワーク」とは何でしょうか。
「リモートワーク」は「Remote（遠隔）」と「Work（労働）」を組み合わせた造語であり、従業員が出社することなく、会社以外の場所で業務を行うことを広義で「リモートワーク」と表し、使用されています。例えば、悪天候で公共の交通機関が止まった日に家で仕事したり、会社は東京にあるけど地方に住んで仕事をするといった働き方はリモートワークになります。
<h2 id="two">リモートワークで懸念されるセキュリティリスク</h2>
<img src="https://cdn.buttercms.com/sQKf6Z9WQYKfBsKWH1v9" alt="undefined">
リモートワークだと、従業員は出社の必要がなくなったり、企業はオフィスの高い家賃を払う必要がなくなったり、いいことばかりのように思えますが、セキュリティに関する懸念もあります。例えば、今までは社内の機密情報は社内で取り扱っていましたが、リモートワークになると、社外のどこからでもアクセスできるような状態にしなければならず、その分情報管理の範囲が広がってそのリスクが懸念されます。顔が見えないからこそ、より厳重な管理が必要です。
では、具体的にどのようなセキュリティリスクが懸念されるのか、以下に挙げてみましょう；
<ul>
<li>デバイスの紛失・盗難</li>
<li>ウィルス感染</li>
<li>アクセス履歴の追跡</li>
</ul>
<h3>デバイスの紛失・盗難</h3>
リモートワークをするとなると、その際に必要なデバイスを社外に持ち出すことになります。会社からの支給であれ個人用であれ、大抵はノートパソコンやスマートフォンなどを使って仕事をすることになると思いますが、そのようなデバイスは持ち運びに便利な分、紛失や盗難のリスクが生じます。例えば、カフェで仕事をしている時にほんの数分だけ席を外している間にノートパソコンが盗まれたり、移動の電車内にスマートフォンを忘れたり「ちょっとしたこと」でこのようなことが起こる可能性があります。
<h3>ウィルス感染</h3>
例えば外で仕事をする際に公共の Wifi を使う人がいると思いますが、その際に「インターネットへの接続ページ」のなりすましページが表示されて、本物だと思ってクリックしたらウィルスに感染してしまうといったようなことが起こる可能性があります。そしてそのようなウィルスに感染してしまうと、そこから機密情報の漏洩が発生し、会社に多大な損害をもたらしてしまう恐れがあります。
<h3>アクセス履歴の追跡</h3>
情報管理に関する何らかの問題が発生した場合に、きちんとした管理システムがなければ、「いつ」「どこで」「誰が」「どの情報に」アクセスしたかなどのアクセス履歴を追跡することができない可能性があります。また、例えば従業員Aのデバイスからアクセスがあった場合に、それが本当に「従業員Aが」従業員Aのデバイスからアクセスしたのか確認することができない可能性もあります。
<h2 id="three">セキュリティ問題の対策</h2>
<img src="https://cdn.buttercms.com/rEZFIe8MSUuTiOvIDOyR" alt="undefined">
このような懸念からのセキュリティ問題に関して、以下のような対策が挙げられます；
<ul>
<li>デバイスの徹底管理</li>
<li>従業員教育</li>
<li>強固な情報管理システム</li>
</ul>
<h3>デバイスの徹底管理</h3>
外で仕事をする場合に、何事も気をつけるに越したことはありません。「ちょっとだけ」というほんの少しの気の緩みが情報漏洩などの大事故に繋がる可能性がありますからね。何処へ行くにもデバイスを持っていくのは面倒かもしれませんが、リモートワークであるからこそ、「社外で仕事をするときは社内で仕事する時のように保護されてはいない」ことをしっかり頭に入れて、高い危機管理の意識を持ってデバイスの管理しないといけません。
<h3>従業員教育</h3>
デバイスの管理と関連して、セキュリティリスクに関する従業員教育も重要です。例えば上に挙げた「なりすまし」のページは、従業員にきちんと知識があれば無闇にクリックはしないはずです。実際、従業員教育が徹底していれば防げたウィルス感染は多数あります。また、定期的にセキュリティに関する従業員教育を実施することによって従業員の意識も高まり、よりその会社全体のセキュリティの質が上がります。
<h3>強固な情報管理システム</h3>
リモートワークになると、今まで社内で全部賄っていたことを社外でもできるようにしないといけなくなります。その中で、特に社内で管理されている情報へのアクセスは必須です。そうなると、従業員が至るとこから仕事をするので、その分さまざまなセキュリティのリスクが考えられ、より強固な情報管理システムが必要になります。顔が見えないからこそ「誰がどの情報にアクセスできるのか」や「どの情報が誰によって変更されたのか」など、徹底した情報管理ができるシステムがないと、情報漏洩などのリスクが上がり、万が一何かしらの問題が発生した際に原因を突き止めることができずに被害が拡大してしまう可能性があります。なので、上記の従業員への対策に加えて、例えば <a href="https://teampassword.com/ja" rel="follow noopener" target="_blank">Teampassword</a> などの情報管理ツールを使った徹底した情報管理が必要です。
<h2 id="four">Teampassword で強固な情報管理</h2>
<img src="https://cdn.buttercms.com/LxuO0150SoCrS5A6U9KE" alt="undefined">
徹底した情報管理を考える際に、<a href="https://teampassword.com/ja" target="_blank" rel="noopener">Teamoassword</a> のような強固な情報管理ツールがあれば、セキュリティのレベルがぐっと上がります。また、Teampassword で管理されている情報はどこからでもアクセス可能なので、リモートワークを取り入れている企業にピッタリです。
では、Teampassword のどのような点でセキュリティのレベルが上がるのでしょうか。
<h3>２FA（2段階認証）</h3>
<a href="https://teampassword.com/ja/features" rel="follow noopener" target="_blank">Teampassword </a>では、マスターパスワードに加えて Google Authenticatorコードを要求することで、セキュリティが一層強化されます。そしてこのコードは、スマートフォンなどの個人のデバイスに送られるので、万が一パスワードがハッキングされても、ハッカーはコードを入力することができないのでアカウントへ侵入することができません。また、マスターパスワードを忘れてしまったときに備えてバックアップコードを生成して、ロックアウトされないようにすることもできます。
<h3>アクティビティとログ記録</h3>
<a href="https://teampassword.com/ja/features" rel="follow noopener" target="_blank">Teampassword</a> では、誰がログインしたかなど、メールやチャットをしなくても、個々の状況を確認できます。また、TeamPassword のアクティビティでは、どのログイン情報が使われているかや、共有されているログイン情報がいつ更新されたのかなどの履歴を確認することができます。
さらに、メンバーの追加や削除、パスワードの変更など、チーム内で重要な変更があった場合にメールで通知を受けるように設定することもできます。
<h3>安全な暗号化技術</h3>
<a href="https://teampassword.com/ja/security" rel="follow noopener" target="_blank">TeamPassword</a> で保存される機密情報は、コンピューター上でローカルにハッシュ化、ソルト化、および暗号化され、暗号化された接続を介してサーバに送信されます。なので万が一ハッカーによって侵入されたとしても、パスワードなどの機密情報がそのまま読まれて盗まれてしまうということはありません。
<h2 id="five">Teampassword で安全なリモートワーク</h2>
リモートワークは新しい働き方としてこれからもどんどん増え続けると思いますが、きちんと安全に業務を行うために、Teampassword などの情報管理ツールの力を借りて、安全にリモートワークを行いましょう。
Teampassword をお試しになりたい方は、ぜひ<a href="https://app.teampassword.com/dashboard?_gl=1*e5et0z*_gcl_au*MTI3MzU4NDg3My4xNzAzMzk3MjEw#ja/signup/testimonial" rel="follow noopener" target="_blank">無料トライアル</a>をご体験ください。

ここ数年、新型コロナウイルスの影響もあってリモートワーク（テレワーク）を取り入れている企業が増えています。そんなリモートワークと切っても切り離せない最大の課題が「セキュリティ」に関するリスクです。今回は、リモートワークにおけるセキュリティリスクと対策について解説します。

リモートワークにおけるセキュリティリスクと対策とは？

（※この記事は、2024年2月8日に更新されました。）
世の中の情報がデジタルで管理されるのが一般的になってきている今、システムの不具合や人的ミスなど、ちょっとしたことが情報漏えい等の重大な事故を引き起こす可能性も大いにあるため、厳重な個人情報の取り扱いが求められています。
ただ、企業や行政などの第三者によって個人情報が管理される場合、そこで情報がきちんと管理されているのかを調べるのは、一般人の私達には無理な話です。
では、個人情報の管理が安全に行われているのかをどのように判断すればいいのでしょうか。
そこで一つの目安になるのが「Pマーク（プライバシーマーク制度）」です。
本記事では、Pマーク取得方法や利点などを詳しく解説します。
【目次】
<ul>
<li><a href="#one" rel="follow">Pマークとは</a></li>
<li><a href="#two" rel="follow">Pマーク取得の流れ</a></li>
<li><a href="#three" rel="follow">Pマークのメリット・デメリット</a></li>
<li><a href="#four" rel="follow">Pマークの代わりに使えるもの</a></li>
</ul>
<h2 id="one">Pマークとは</h2>
<img src="https://cdn.buttercms.com/Nnl4D6WIT7inIO6YqAvI" alt="undefined">
（出典：<a href="https://privacymark.jp/" rel="follow">プライバシーマーク制度｜一般財団法人日本情報経済社会推進協会</a>）
プライバシーマーク（Pマーク）の<a href="https://privacymark.jp/system/about/outline_and_purpose.html" rel="noopener noreferrer">公式サイト</a>によると、プライバシーマーク制度（PrivacyMark System）とは、「日本産業規格『JIS Q 15001個人情報保護マネジメントシステム－要求事項』に準拠した『プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針』に基づいて、個人情報について適切な保護措置を講ずる体制を整備している事業者等を評価して、その旨を示すプライバシーマークを付与し、事業活動に関してプライバシーマークの使用を認める制度」のことを言います。
つまり、企業等が「うちは特定の標準に基づいて、個人情報保護の体制がきちんと整っていますよ」というのを証明するための目印のようなものです。
なので、このマークが有る企業や団体だと、個人情報がきちんと管理されていることがわかるというわけです。
では、どのようにしてそのマークを取得できるのでしょうか。
<h2 id="two">Pマーク取得の流れ</h2>
<img src="https://cdn.buttercms.com/An4WnewBSAaYF9U3ZENm" alt="undefined">
まず、Pマークの取得を申請できるのは、国内を拠点に活動している事業となっていますが、条件がいくつかあるので、申請前に申請資格があるかの<a href="https://privacymark.jp/p-application/qualification.html" rel="noopener noreferrer">確認</a>しなければなりません。
そして、新規で申請する場合は、以下の５つのステップを経て取得します。
<h5>1. 申請書類の作成</h5>
<h5>2. 申請</h5>
<h5>3. 受取〜文書審査</h5>
<h5>4. 現地審査</h5>
<h5>5. 付与適格決定可否</h5>
<h3>１．申請書類の作成</h3>
最初のステップでは、申請に必要な書類を作成します。その際、申請先によって提出する書類が変わってくるので、都度確認が必要です。（詳しくは<a href="https://www.privacymark.jp/p-application/new/document.html" rel="noopener noreferrer">こちら</a>をご覧ください）
また、申請にあたって必ず提出すべき書類や任意で提出する書類がかなりたくさんあるので、申請日を先に決めて、会社やチーム内で担当を振り分けて書類を集めるなど、計画的に進めていくことが重要です。
また、ここでつまずくと先のステップに進んでもここに戻ってやり直さないといけなくなり、取得までの時間がどんどん延びてしまうので、書類の不備がないようにしっかり確認しましょう。
<h3>２．申請</h3>
申請書類が揃ったら、次は申請です。事業者によって提出先が変わってきますので、提出先をしっかりと確認しましょう。（詳しくは<a href="https://www.privacymark.jp/p-application/new/application.html" rel="noopener noreferrer">こちら</a>をご覧ください）
また、審査結果の可否に関わらず、<a href="https://www.privacymark.jp/p-application/cost/index.html" rel="noopener noreferrer">申請料</a>が必要です。
<h3>３．受取〜文書審</h3>
申請書類が提出され、必要書類が全部揃っているか等の確認が取れたら、申請料の通知が送られてきます。
そこで申請料の支払いが確認されたら、次は<a href="https://privacymark.jp/p-application/new/documentary_examinatio.html" rel="noopener noreferrer">審査</a>に入ります。
そこでは、書類の不備がないか等を確認する「形式審査」を行い、申請が受理されればその連絡が来ます。
そしてその後、その申請書類のうち、PMS（個人情報保護マネジメントシステム）文書（内部規程・様式）がプライバシーマークにおけるPMS構築・運用指針に適合しているかどうかについて審査する「文書審査」を行います。
<h3>４．現地審査</h3>
文書による審査が完了すると、次は現地審査に入ります。
現地審査では、事業者の代表者にインタビューしたり、現地で PMS（​​個人情報保護マネジメントシステム）の通りに体制が整備および運用されているかの確認や、個人情報を実際に扱っている現場での実施状況の確認を行い、審査員が総評を行います。
<h3>５．付与適格決定可否</h3>
文書審査および現地審査が終わると、その結果に基づいて、Pマーク付与適格性の有無が決定されます。
そこで合格の通知を受ければ、付与機関とプライバシーマーク付与<a href="https://www.privacymark.jp/p-application/decision/index.html" rel="noopener noreferrer">契約</a>を締結することで、プライバシーマークの付与を受けられます。
このステップを踏んで審査が通ればPマークを取得できますが、申請準備も含めると、取得までに大体１年ほどかかると言われています。
<h2 id="three">Pマークのメリット・デメリット</h2>
<img src="https://cdn.buttercms.com/Qf0Dh0EnT2iaYm5Va6xt" alt="undefined">
ところで、このような大変な申請を経て得るPマークにはどんなメリットがあるのでしょうか。
<h3>メリット</h3>
Pマークのメリットとして考えられるのは、以下が挙げられます。
<ul>
<li>
個人情報に関する「信用」のアピール
</li>
<li>
内部での情報管理の意識改善
</li>
<li>
情報管理に関する知識や技術の向上
</li>
</ul>
<h4>個人情報に関する「信用」のアピール</h4>
個人情報の管理について、どの組織がきちんとしているかを知るのは簡単なことではありません。
そこでPマークが、「個人情報に関するある一定の基準を満たしています」を表す役割を担ってくれることにより、それが一つの判断材料となります。
<h4>内部での情報管理の意識改善</h4>
Pマークの申請は、準備を含めてとても大変な作業です。
従業員が何も知らない状態では申請はできません。
個人情報の保護についての知識や社内の体制等をきちんと把握し、Pマークを取得するには何が必要かと考えながら作業を進めていくのは、従業員の個人情報に関する意識改善に繋がります。
<h4>個人情報の管理に関する知識や技術の向上</h4>
Pマーク取得のプロセスに文書と現地での両方の審査があるように、個人情報の管理に関する知識だけでなく、それを実行する技術も求められます。
なので、Pマーク取得のプロセスを通して、従業員の個人情報の管理に対する知識や技術の向上が期待されます。
<h3>デメリット</h3>
メリットもありますが、以下のようなデメリットもあります。
<ul>
<li>
申請期間の長さに対する有効期限の短さ
</li>
<li>
コストがかかる
</li>
<li>
個人情報の漏洩が絶対に起こらない保証はない
</li>
</ul>
<h4>申請期間の長さに対する有効期限の短さ</h4>
上でも述べましたが、Pマークの取得は、準備も入れると約１年かかります。
それで取得できたとして、有効期限は２年なので、２年経ったら更新が必要になり、その更新のためにまた準備をしないといけません。
そうなると、Pマークを取得したら、書類関係や申請準備など、Pマークに関することを常に何かしらしておかないといけないような環境になる可能性があります。
<h4>コストがかかる</h4>
Pマークの取得には申請料など<a href="https://privacymark.jp/p-application/cost/index.html" rel="noopener noreferrer">諸々の料金</a>が必要であり、企業の規模によって値段は変わりますが、決して安いものではありません。
また、取得して終わりではなく、更新にもお金がかかります。
新規にしても更新にしても、決して安くないお金を常に工面するのは、事業者にとって負担になる可能性があります。
<h4>個人情報の漏洩が絶対に起こらない保証はない</h4>
Pマークは「うちは適切な方法で個人情報を保護しています」というのを示すものであって、「個人情報が漏れることは絶対にありません」と言っているわけではありません。
どんなに厳重に管理していても、近年のサイバー攻撃の技術の発展は凄まじいですから、誰がいつ害者になってもおかしくありません。
そして、もしPマークを取得した上でサイバー攻撃に遭ってしまったら、Pマークを取得していない場合よりも信用はガタ落ちになる可能性もあります。
このようなデメリットがあると、果たしてPマークを取得すべきなのか疑問が浮かびます。
<h2 id="four">Pマークの代わりに使えるもの</h2>
労力やコストなど、プライバシーマーク取得に関するデメリットを考慮すると、Pマークに頼らず個人情報をきちんと保護できる方法ないか考えてしまいますよね。
そうなると、Teampassword などのパスワード管理ツールが有効かもしれません。
<img src="https://cdn.buttercms.com/l3anIorTtysldDUbmeuZ" alt="undefined">
Teampassword はPマークほど維持にお金がかからず、でも強固なセキュリティを誇るので、Pマークよりも気軽に始めることができます。
また、使い始めるのに時間をかけて準備をする必要もないので、申し込めばすぐに使い始めることができます。
さらに、個人情報保護などのセキュリティに関しては、<a href="https://teampassword.com/ja/features" rel="noopener noreferrer">２段階認証</a>や<a href="https://teampassword.com/ja/security" rel="noopener noreferrer">パスワードの暗号化</a>などの強固なシステムが備わっているので、万が一サイバー攻撃に遭ったとしても、パスワードを破ってアカウントに侵入されてしまうようなこともありません。
Teampassword で、Pマークと同等のセキュリティ性をアピールしませんか？
詳細をご希望の方は、<a href="https://app.teampassword.com/dashboard?_gl=1*6ybiwc*_gcl_au*Njc5MTA2MDY4LjE3MDY2NjgyNDc.#ja/signup/testimonial" rel="noopener noreferrer">こちら</a>から無料トライアルにサインアップして、ぜひTeampassword の強固なセキュリティ機能をご体験ください。

世の中の情報はデジタルで管理されるのが一般的になりました。しかし、それはすなわちシステムの不具合や人的ミスなどで情報漏えい等の重大な事故を引き起こす可能性もあるということです。本記事では、個人情報の管理が安全に行われているかの判断材料となる、Pマークの取得方法を詳しく解説します。

Pマークとは？取得方法や流れ、メリット・デメリットについて解説

アメリカでは、毎日約4億通のスパムSMSが送信されています。そのほとんどに、銀行口座の詳細や職場のメールアドレス、パスワードなどの機密情報を盗むために作られた、なりすましホームページへの悪質なリンクが含まれています。これがスミッシングの正体で、たった一度でもSMS詐欺にかかると、億単位の損失を被る可能性があります。
そこで本記事では、スミッシングの脅威から自分の身を守るために知っておくべきことを解説します。
TeamPasswordを使えば、お使いのアカウントをサイバー犯罪者から簡単に守ることができます。今すぐ<a href="https://app.teampassword.com/dashboard#/ja/signup/testimonial" rel="follow">14日間の無料トライアル</a>に登録し、ぜひお試しください。
【目次】
<ul>
<li><a href="#one" rel="follow">スミッシングとは？</a></li>
<li><a href="#two" rel="follow">スミッシングの統計</a></li>
<li><a href="#three" rel="follow">スミッシングの手口</a></li>
<li><a href="#four" rel="follow">スミッシングの事例</a></li>
<li><a href="#five" rel="follow">スミッシング攻撃を防ぐ方法</a></li>
<li><a href="#six" rel="follow">TeamPassword 使ってスミッシング攻撃を防ごう！</a></li>
</ul>
<h2 id="one">スミッシングとは？</h2>
スミッシングの定義を簡単に説明します。
スミッシングの定義：SMS＋フィッシングの略で、ショートメールを使って悪質なリンクを送り、個人から機密情報を得ようとするサイバーセキュリティ攻撃のこと。
簡単に言えば、スミッシングはフィッシングの進化版です。以下で、メールから電話、そして現在の SMS に至るサイバー攻撃の手口の変遷をおさらいしてみましょう。
<ul>
<li><a href="https://teampassword.com/ja/blog/spear-phishing-ja" rel="follow noopener" target="_blank">フィッシング</a>は、データを盗むためにメールを使って偽物のホームページに誘導する。</li>
<li><a href="https://teampassword.com/ja/blog/vishing" rel="follow noopener" target="_blank">ヴィッシング</a>は、音声（Voice）＋フィッシングのこと。同様の目的で電話を使い、さらなるサイバー攻撃に使える可能性のある個人情報または企業情報をその人物から引き出す。</li>
<li>スミッシングは、SMS メッセージのスパム対策が不十分であることを利用した、この手の攻撃の最新版である。</li>
</ul>
<h2 id="two">スミッシングの統計</h2>
<a href="https://www.robokiller.com/spam-text-insights" rel="follow noopener" target="_blank">Robokiller</a> によると、2023年12月だけで190億通以上のスパムSMSメッセージがアメリカで送信され、これは一人あたりに換算すると約19通に相当します。このうちのほとんどがスミッシング詐欺で占められています。&nbsp;
それを考慮すると、2023年には1週間あたり約30億通、1日あたり4億通以上、1分あたり約30万通のSMS詐欺メッセージが送信されたことになります。
最も被害の多い州は、カリフォルニア州、テキサス州、ジョージア州、フロリダ州、ニューヨーク州です。
<img src="https://cdn.buttercms.com/woRxuFEAQOCk8NNZKEcV" alt="undefined" width="500" height="333">
<h2 id="three">スミッシングの手口</h2>
フィッシングやビッシングと同様、スミッシング攻撃は通常、報酬をちらつかせてリンクをクリックさせるか、あるいは多額の金銭的損失が発生するおそれがあると脅してクリックさせようとします。
また、ここ数年で一気に利用者が増え、今では当たり前の存在となったスマホ決済アプリでも被害が増えています。知らず知らずの間に不正送金が行われていたとしても、救済されないことがほとんどなのが現状です。
多くのスミッシング攻撃において受け取るメッセージは、「重要なアカウント（通常は銀行、ストリーミングサービスなど）が侵害されました。今すぐ確認しないと大きな被害を受けることになります。」と恐怖心を煽るような内容です。もちろん皮肉なことに、もしその悪質なリンクをまんまとクリックして、なりすましホームページで自分の口座の詳細を記入すると、口座はすぐに危険にさらされることになります。
<h2 id="four">スミッシングの事例</h2>
上記のスミッシングの統計が決して盛った数字でないことを証明するために、ここ数週間で筆者の iPhone で実際に起こったスミッシングの例をいくつかご紹介します。
以下の実例では、SMS 詐欺の「報酬型」と「警告型」両方のタイプを紹介しています。
<h3>報酬型スミッシング</h3>
以下の３つの例のうち上の２つでは、「荷物の配送ができない状況になっており、この配送物を受け取るには、この（悪意のある）リンクをクリックして、さらなる情報（例：住所）を提供しないといけない」という内容のメッセージが書かれています。
<img height="223" width="277" src="https://lh7-us.googleusercontent.com/kz46pOhfIJpwAS4jTjdFb55_bi-biALW8dhc8QEvVGb78Tses0hKMwQebRIKMQGmcZBqYAbdka6M_5HJBbCGA8W4LhJseY0HloWhL51K_bbPH74Utn2H9HWjb05kSx41bNUyS8IVxhB2tvwUzW1fJk-1u569JVLOrDa4B1QD5-XX6lcaO0CN7pLpF6Xy7w" alt="Smishing text claiming to be Canada Post with a link to a spoofed Canada Post page.">
<img height="315" width="247" src="https://lh7-us.googleusercontent.com/ieQ0D5N_4zmY0SrTViN7l2TfObS8cTFRo7CugUaqmdeauisL8-JpvUbHIQOMjvcnL0LCKMHpgT3jAjgogFEMBlOtKDQv2a1991DdZQ7a5PfIViQ_gImrSM192BZLDbZZnblbf3yjPu7CDC5MRyr6P5H7UYEyXrb0-jZ6U4OPWCpsw7yUc1AActH3vOjc4A" alt="Third-party delivery service SMS scam message saying you will not get your delivery without clicking the dangerous link.">
<img height="223" width="260" src="https://lh7-us.googleusercontent.com/CszyGoEEbHshbavo56q2-sH-ylYsRVagphKg1-WZwYZh8Me_TfG7BqOd3F6zulXHgOZZ815VEJ2Kh9P3MG7DP-LUo7hsGMdBdrJkwt8_wr03UzqxdF4aqOFeh9yXFWcpz7z33VmlAoWuA_e51NNozeVVh63H7G78BgmAcGUzHCWawOdMUUrKvgiBbybkag" alt="Smishing text claiming to be for an INTERAC e-Transfer, hoping you&rsquo;ll compromise your banking details in exchange for $450 from Canada Revenue Agency (CRA).">
３つ目の例では、送信者（詐欺師）は CRA （カナダの税務局）を名乗っており、受取人に４５０ドルの借金があり、INTERAC e-Transfer で送金するよう要求しています。そして、そのお金を受け取るのに、銀行口座の詳細を明かすよう求められています。
<h3>警告型スミッシング</h3>
<img height="214" width="249" src="https://lh7-us.googleusercontent.com/othoH8Hmkk-4ayxBPqm8P2_hyRHLh__RdqN1P_w21P80_odu8517hwO7P8qcAd0oH0o4sKaxA7gyNa761pMj2sfL0DiuYdw2FGNeAfUu69s-Ebe-6_BHKGnyOGaduFVeo6LHsbwUjw2efztY_bIWj1ALRFynRMbASC_MCpHNVAb_PA2j9tMv6XCIiPJnOw" alt="A smishing SMS message claiming to be Rogers with a warning that a payment could not be processed, which could lead to service interruptions within 24 hours.]">
<img height="220" width="262" src="https://lh7-us.googleusercontent.com/6-XxrP3JGeSasj4H0fi5SJPXmYH0adk97jvukXMg8Ca3S7TjoiW-LyWRuqch5P0805ZGLRVOrh8txFF5WqrYyr46dGbnQXwDSWjmJAqcgT9Sr7_tuaT_kNY6Bb95KCxGcgO63ya3KPUd7IrWuyjrl9x1FYm9NHTAVGGHRia2S_3EiJRGIq56IX-POEfulA" alt="An SMS scam text claiming that your CIBC debit card has been locked due to unusual activity.">
これらは、スミッシングキャンペーンでよく使われる手口の一例です。最初の例では、サイバー犯罪者はカナダの大手インターネット、ケーブルテレビ、携帯電話プロバイダーである Rogers の従業員であると主張しています。論理的に考えれば、支払いが滞って24時間以内にサービスが受けられなくなるなんてありえないことだと誰しもが分かりますが、このようなメッセージはスミッシングのよくある手口です。
不思議なことに、「２４時間」などの時間的な要素が加わると、銀行アプリで支払い履歴を再確認して前回の支払いが完了したかどうかを見るために、その悪意のあるリンクを焦ってクリックする可能性が上がるのです。
２つ目のケースでは、ハッカーはカナダの大手銀行である CIBC になりすましています。ご存知ないかもしれませんが、同銀行が発行するデビットカードは最初の4桁が共通しています。このディテールが加わることで、それを知らない人にはSMSメッセージがより合法的に見えるようになります。&nbsp;
<h2 id="five">スミッシング攻撃を防ぐ方法</h2>
残念なことに、政府はスパムメール、電話、ショートメールに対する強力な法律を作るまでは至っておらず、電気通信会社も同様に、フィッシング、ビッシング、スミッシングから顧客を守るための責務を果たそうとしていないのが現状です。これには莫大なお金がかかり、責任を負うと責任を問われる可能性もあるため、どの機関も消極的になっているのです。
つまり、毎月何十件も遭遇する SMS 詐欺から身を守るのは、個人次第ということです。最も重要なのはとにかく「警戒心を持つこと」です。
SMSやメールを受け取って、それが「報酬型」のメッセージであれば、「できすぎた話」だと考えましょう。逆に、恐怖心を煽って行動を起こさせようとしているのであれば、一旦落ち着いて、指示に従わないようにしましょう。
中には、スミッシング攻撃と分かりやすいのもあります。例えば、国税庁はビットコインやアップルストアのギフトカードで借金を払わせるようなことはしません。そして上記の CIBC の例のように、一見合法的に見えるものにも詐欺の兆候はあります。URL を見てください。本物の CIBC のアドレスではありません。
不安な場合は、SMS を閉じて、銀行アプリにアクセスし、何かおかしいと感じたら、電話で銀行に知らせてください。(その際、SMS ではなくアプリに記載されている電話番号を使いましょう。）
疑わしいものに関する一般的なトレーニングとともに、企業はサイバーセキュリティの強化に必要なツールを従業員に与えることができます。そしてその中で最も重要なのは、<a href="https://teampassword.com/blog/strong-password-generator" rel="follow noopener" target="_blank">アカウントごとに一意で強力なランダムなパスワードを生成して保存する</a>パスワードマネージャーです。
<h2 id="six">TeamPassword 使ってスミッシング攻撃を防ごう！</h2>
TeamPassword はユーザー名とパスワードを全て安全に保存します。偽の Web アドレスは、注意散漫な従業員や見分ける訓練を受けていない従業員だと騙される可能性がありますが、パスワードマネージャーだと、保護された詳細情報を入力するよう促されるようなことはありません。
さらに、アカウントごとにユニークでランダム、かつ強力なパスワードを作成し、それを安全に保管することで、一度のミスですべての認証情報をハッカーに知られてしまうようなことはありません。そして、同僚とアカウントを安全かつ簡単に共有する方法があるということは、フィッシングのショートメールへの返信など、安全でない手段でパスワードを共有する必要がなくなるということになります。
TeamPassword は皆さんの大切なアカウントをスミッシングから守ります。<a href="https://app.teampassword.com/dashboard#/ja/signup/testimonial" rel="follow noopener" target="_blank">こちら</a>から１４日間の無料トライアルに登録して、ぜひ一度ご体験ください。

アメリカでは、毎日約4億通のスパムSMSが送信されており、そのほとんどに、銀行口座や認証情報などの機密情報を盗むために作られた、なりすましホームページへの悪質なリンクが含まれています。本記事では、スミッシングの脅威から自分の身を守るために知っておくべきことを解説します。

TeamPasswordブログ一覧

情報セキュリティ、パスワード管理、製品情報、現代ビジネスなどのトピックでチームの安全と成功を追求し、厳選された記事をご覧いただけます。

おすすめブログ一覧

サイバーセキュリティ

March 1, 2024 ∙ 1 min read

マジックリンクとは？　〜パスワード不要のログイン方法〜

リモートワークにおけるセキュリティリスクと対策とは？

Pマークとは？取得方法や流れ、メリット・デメリットについて解説

【最新版】スミッシングの手口と対策｜TeamPassword

お探しの記事は見つかりませんでした。

チームのためのパスワードマネージャー

プロダクト

サポート

メディア

リーガル

TeamPasswordブログ一覧

情報セキュリティ、パスワード管理、製品情報、現代ビジネスなどのトピックでチームの安全と成功を追求し、厳選された記事をご覧いただけます。

おすすめブログ一覧

サイバーセキュリティ

March 1, 2024 ∙ 1 min read

マジックリンクとは？ 〜パスワード不要のログイン方法〜

リモートワークにおけるセキュリティリスクと対策とは？

Pマークとは？取得方法や流れ、メリット・デメリットについて解説

【最新版】スミッシングの手口と対策｜TeamPassword

お探しの記事は見つかりませんでした。

チームのためのパスワードマネージャー

プロダクト

サポート

メディア

リーガル

マジックリンクとは？　〜パスワード不要のログイン方法〜