今年の全米サイバーセキュリティ意識向上月間は、デバイスや画面の向こうにいる人間がテーマです。CISA（米国サイバーセキュリティーインフラストラクチャーセキュリティー庁）は、「サイバーセキュリティの話は一見複雑そうに見えるが、突き詰めていけば人間についての話でしかない」と解説します。今年のテーマはすべての人に関係しますが、その中でも特に一般の利用者を主眼に置いています。

社会のデジタル化がますます進む中、デジタルでのやり取りがセキュアで信頼できることは必須条件です。利用者には自分のデータが安全に保護されている、自分がインターネット上でやり取りしている企業が信頼できるという確信が必要です。デジタルトラストとは、個人や企業がデジタル世界に残す自身のアイデンティティの安全性を確保しながらオンラインでやり取りできるようにするものです。一人一人がサイバーセキュリティを意識し、サイバーセキュリティに関連する普段の行いを改善する行動を取れば、個人のデジタルセキュリティを向上させることができます。

CISA では、オンラインセキュリティを向上するために誰でもできる（実行すべき） 4 つのステップを推奨しています。

1. クリックする前によく考える: フィッシングを見破り、報告しましょう。リンクに少しでも違和感があったら、クリックする前によく考えましょう。もしかすると、大事な情報を盗み取ったり、マルウェアをインストールさせようとしている可能性があります。
2. ソフトウェアをアップデートする: 後まわしは禁物です。ソフトウェアのアップデート通知が表示されたら、すぐに対応しましょう。自動アップデートを有効にしておけばさらに安心です。
3. 強力なパスワードを使用する: ランダムに生成された、文字数が多い一意のパスワードを使用します。パスワードマネージャーを使ってアカウントごとに異なる複雑なパスワードを生成して保管しましょう。パスワードマネージャーを使えば、パスワードは暗号化によって保護されます。
4. 多要素認証（MFA）を有効にする: オンラインアカウントを保護するにはパスワードだけでは足りません。MFA を有効にすると、ハッキングされる可能性が大幅に下がります。

以上の 4 つのトピックについて、デジサートのエキスパート Dean Coclin に話を聞いてみましょう。

クリックする前によく考える

「フィッシングは、90 年代半ばに AOL ユーザーの情報を盗み取る手段として誕生しました。当時、最大のリスクはクレジットカード情報を失うことでした。1995 年以降、フィッシングの脅威は進化を続け、多様化し、その影響が深刻化していることは間違いありません。とはいえ、フィッシングの戦略の進化に合わせて、対抗策のベストプラクティスも進化しています」とCoclin は言います。

デジサートでは、最近のブログでフィッシング詐欺を防ぐための 10 のヒントを紹介しました。たとえば、OS とブラウザの両方のソフトウェアをアップグレードする、ポップアップをブロックし、Web ページでは信頼できる証明書のみを受け入れる、ブラウザから安全でないという警告が出ていないか確認する、などです。こちらで 10 のヒントをすべて確認し、フィッシングから身を守りましょう。

ソフトウェアをアップデートする

「ソフトウェアのアップデートは、今ある脆弱性から身を守るのに役立ちます。多くの場合、アップデートは既知の弱点から保護するために送られてきます。そのため、弱点が攻撃者に付け入られる前にすぐにインストールすることが賢明です。ソフトウェアのアップデートをコンピューターやデバイスが自動的にインストールするように設定することもできます。これは、プログラムを常に最新の状態に保つ最も簡単な方法です。また、ポップアップ広告やメールで送られてくるアップデートをクリックしたら実はマルウェアだった、ということもあり得ます。アップデートを自動的にインストールするように設定しておけば、マルウェアが含まれている可能性のあるアップデートのお知らせをクリックする必要はありません」と Coclin は言います。

強力なパスワードを使用する

強力なパスワードとは、次のような条件を満たすものです。

• 8 文字以上である。
• 自分の個人情報（本名、ユーザー名、会社名など）を含んでいない。
• 以前使っていたパスワードとは異なる。
• 辞書に載っているような一般的な単語をそのまま使わない。
• 大文字、小文字、数字、記号など、さまざまな種類の文字を組み合わせる。

また、Coclin のお勧めはパスワードマネージャーを使用することです。「パスワードマネージャーは、ユーザーがパスワードを覚える負担を軽減してくれます。すべてのサービスに異なるパスワードを用意しなくても、パスワードマネージャーにログオンするための安全なパスワードを 1 つ用意するだけで、あとはパスワードマネージャーが他のすべてのサービスに安全なパスワードを生成してくれます。すべてのサービスで利用できるわけではありませんが、パスワードマネージャーを使えばオンラインのログインが簡単になります。複数のデバイス間で使用することもできます」

多要素認証（MFA）を有効にする

「強力なパスワードポリシーを使用するだけでは、もはや十分ではありません。ほとんどのパスワードは、ハッキングに耐えられるほど強くありません。ユーザーが自分で作成したパスワードの 90% は脆弱で、攻撃を受けたら耐えられません。多数のパスワードを管理するのは大変です。そのため、パスワードを覚えておくためだけに、同じパスワード（または同じパスワードの一部）を再利用している人が多くいます。しかし、そのことがパスワードをさらに脆弱にしているのです。1 つのパスワードがハッキングされれば、他のパスワードも簡単に推測されてしまうためです」と Coclin は言います。

MFA は、あなたが知っていること（パスワード）、あなたが持っているもの（セキュリティトークン）、あなたそのもの (バイオメトリック認証）から成る 2 つ以上の独立した認証情報を使用して何重もの防御を構築します。その仕組みについて詳しく知りたい方はデジサートによる多要素認証ガイドをお読みください。

窓口と参考資料

CISA には、インシデント、フィッシング攻撃、マルウェア、脆弱性を報告するためのプラットフォームも用意されています（https://www.cisa.gov/report）。

過去の全米サイバーセキュリティ意識向上月間のテーマについては、https://www.digicert.com/jp/blog/category/national-cyber-security-awareness-month をご覧ください。