個人のセキュリティ対策の基本｜パスワード・多要素認証・アップデート

むずかしい知識がなくても、いくつかの習慣で被害の大半は防げます。今日から始められる7つの守りをまとめました。

まずこの7つ

それぞれ一言で

1. 長いパスワード＋使い回さない：最重要。マネージャー活用
2. 多要素認証：漏れても突破されにくく
3. 更新（アップデート）：穴をふさぐ最短の対策
4. バックアップ：ランサムウェアや故障に備える
5. 公衆Wi-Fi：HTTPSやVPNで守る
6. 不審なリンク：メール内リンクからログインしない
7. 情報の出しすぎ注意：ソーシャルエンジニアリングのヒントを与えない

パスワード：破られにくさは「長さ」で決まる

攻撃者はコンピュータで大量に組み合わせを試します（総当たり）。文字を1つ増やすだけで、試す回数がケタ違いに増えます。記号を混ぜるより、まず長くするのが効果的。

パスワードでやってはいけない3つ

パスワードを全部覚えられない問題の答え

サイトごとに長い別パスワード——そんなの覚えられません。だからパスワードマネージャーを使います。1つのマスターパスワードだけ覚えれば、残りはアプリが生成・記憶してくれます。さらに進んだ答えがパスキーです。

多要素認証（MFA）：3つの要素を組み合わせる

← 図は横にスクロールできます →

• 知識要素：本人だけが知っている（パスワード、暗証番号）
• 所持要素：本人だけが持っている（スマホ、セキュリティキー）
• 生体要素：本人自身（指紋、顔）

このうち2つ以上を使うのが多要素認証。パスワード（知識）が盗まれても、スマホ（所持）が無ければログインできません。

多要素認証の方法ごとの強さ

アップデート：脆弱性＝ソフトの「穴」

どんなソフトにも、作った時には気づかなかった弱点（脆弱性）が見つかります。攻撃者はこの穴を探して侵入します。開発元は穴をふさぐ修正（パッチ）を配ります。それが「アップデート」です。

実例で見る「更新の有無」の差

2017年に世界中で猛威を振るったランサムウェア「WannaCry」は、Windowsの脆弱性を突く攻撃でしたが、Microsoftはその約2ヶ月前に修正パッチ（MS17-010）を配布していました¹。更新していれば防げたはずの被害が、世界中で広がったのです。

一方で、2021年に見つかったJavaのログ出力ライブラリの脆弱性「Log4Shell」は、公開からわずか数時間で悪用が広がりました²。ゼロデイ脆弱性の売買市場のように「誰も知らない穴」を狙う攻撃もありますが、Log4Shellのように公開直後の「まだ更新していない穴」を狙う攻撃もあり、更新のスピードそのものが防御力になる時代になっています。

アップデートのコツは「自動更新」

手動だと忘れます。OS・ブラウザ・アプリは自動更新をオンに。スマホもPCも、これだけで守りが一段上がります。

ファイアウォールとウイルス対策の役割のちがい

ファイアウォール＝門番、ウイルス対策＝警備員。門で怪しい通信を止め、中に入ってきた悪者を警備員が捕まえる。両方あって守りが成り立ちます。

近年の主役「EDR」

昔のウイルス対策は「既知のウイルスのパターン」を照合する方式でした。でも新種や未知の攻撃には弱い。そこでEDR（挙動監視型）が主流に。「怪しい動き」を見つけて対応します。

📚 もう少し詳しく（背景）気になる人向け・タップで開く▼

セキュリティで守りたいものは、専門的には3つにまとめられます——機密性（許された人だけが見られる）、完全性（勝手に書き換えられない）、可用性（使いたいときに使える）。この3つの頭文字をとって「CIA」と呼ばれ、あらゆる対策はこのどれかを守るためにあります³。もう一つ大切な考え方が、「一つの対策に頼らず重ねる」多層防御です。

鍵を一重より二重三重にするように、パスワード・多要素認証・更新・バックアップを組み合わせれば、どれか一つが破られても致命傷になりません⁴。完璧な安全は存在しないので、「リスクをゼロにする」のではなく「被害の確率と大きさを下げる」という発想が、現実的なセキュリティの基本です。

つぎに読むなら

• 安全なパスワード
• ファイアウォールとウイルス対策
• アップデートの重要性

Footnotes

1. Microsoftは2017年3月14日にMS17-010（SMBの脆弱性修正パッチ）を公開。その約2ヶ月後の同年5月12日、この脆弱性を突く「WannaCry」が世界中で感染を広げた。パッチは攻撃より先に存在していた。 ↩

2. Log4Shell（CVE-2021-44228）は2021年12月9日に公開され、その日のうちに実証コードが出回り、数時間〜翌日には大規模なスキャン・悪用が確認された。公開から防御までの猶予がほとんどない例。 ↩

3. 機密性（Confidentiality）・完全性（Integrity）・可用性（Availability）はセキュリティの3要素（CIAトライアド）。何を守るべきかを整理する基本の枠組み。 ↩

4. 多層防御（Defense in Depth）は、複数の対策を重ねて一つが破られても全体は守る考え方。単一の"銀の弾丸"に頼らないのが要点。 ↩