情報漏洩に対してユーザーができること
皆さんこんにちは。ウェブ周りの手助けをしています。 手助け代表のToshi Seitoです。
ひとりビジネスのためのWeb戦略研究室は、個人事業主やフリーランスに役立つウェブ周りの話から、
集客に関する話まで実体験をもとに、皆さんと一緒に考えを学んでいく番組です。
今回は、情報漏洩に対してユーザーが出来ることについて話していこうと思います。
ここ最近、情報漏洩について色々騒がれていますが、それに対してユーザー側で出来ることは何かということについて、
話していきたいと思います。
今回は情報漏洩について、我々側で出来ることは何かということについてお話ししていきたいんですけど、
この話はですね、またまた最近というか、私ずっと英会話サークルみたいなのを運営しているんですけど、
その中のメンバーでまたまたそういう話になってですね、会でそういう話になった時に、
一応私はITというかウェブやっているので、聞かれたんですよね。
その時に何て答えたかって話をちょっと今日お話ししようと思うんですけど、
それを共有した方がいいかなと思ってね、お話ししようと思ってます。
そんなに実はたくさんないんですよね。当然ですよね。
だって我々って使う側なので、出来ることってあんまりないんですよ。
ないんですけど、一応知ってるか知らないかで言うと、知っておいた方がいいよということをまとめてみたんですけど、
大きく2つですかね。出来ることと言ったら大きく2つぐらいだと思って。
まずはこれは直接情報漏洩に関してちょっと直結した話ではないんだけども、
これはやっとこうという一つの防御の話で言うと、まずパスワードですよね。
パスワード管理をしっかりした方がいいなと思っていて、
パスワード管理というかパスワード管理ソフトを使ってパスワードを使い回ししないようにしましょうというお話ですね。
パスワードの使い回しをやめる理由
今回のというか最近ずっとある情報漏洩というのは、
メールアドレスとパスワードがどう残るのというよりも、
データベースに入っているその個人情報ですよね。それがもうバーッと漏れちゃってる状態なわけですよね。
だから住所とか電話番号とかそういうのものぴなみね。
いろんな情報ですね。ただECサイトだったら購入履歴とかもかな。わからないんですけど、
そういうデータベースに残っている情報がガンと、要は管理者権限で入られちゃって、
データを引っこ抜かれたみたいな感じですね。
なので、私が今パスワードを使い回さないようにしましょうねというのと、
直接今回のやつは関係は直接的なものではないんだけども、
パスワードを使い回しというのは基本的にはやめましょうね。
ユーザー側の話、利用者側の話としてはパスワードを使い回すのはやめましょうという話です。
私もウェブサービスとか作るからわかるんですけど、
パスワードというのは基本的に登録しますよね。
新規でユーザー登録する時にパスワードを登録すると思うんですけど、
パスワードはデータベースにそのまま生パスワードというか、
生の状態で入るということは基本的にないんですよ。
サービスで登録する際にハッシュというのをかけて暗号化というか、
パスワードはそのまま平文では絶対入らないようにしているはずなんですよ。
ウェブサービス上で。
なので管理者が例えばデータベースを見て、
この人のパスワードってこれだなってわかることって基本的にないんですよ。
なので、さっき言ったデータベースからパスワードが漏れたとしても
基本的にハッシュしてて、ハッシュしたものっていうのは付加逆なんで、
戻すってことを生パスワードに戻すって基本的にできないんですよね。
ハッシュしたものとハッシュしたものを合わせて、これ合ってるよねっていう、
でパスワードをログイン認証するので付加逆なんですよね。
だからそのパスワード自体が漏れるってことは基本的にはないんですよ。
基本的にはですよ、基本的には例外を除いて。
なのでそのパスワード自体がいきなり情報に抜かれたからって、
抜かれてるってことではないのは一応その認識をしていて欲しいなと思います。
それはちょっと誤解を生んじゃうので先に言っておくと。
でもじゃあ何ででも使い回しをしない方がいいのかっていうと、
これはフィッシング詐欺系ですね、どっちかっていうとね。
フィッシング詐欺で間違って自分がいつもの使ってるサイトだと思ってログインしようとしたら、
パスワードを入力したらそのままフィッシングサイトにボンと入っちゃって、
それが盗まれるってことになっちゃうとまずいからパスワードを使い回してると、
結局そのパスワードを使っているログイン、
メールアドレスとパスワードの組み合わせで使っているサイトがたくさんあったら、
それ全部書き換えなきゃいけないんですよね。
そのサイトでフィッシングサイトで騙されたかといって、
それは結構登録されちゃって、いろんなウェブサービスでログインを試みられちゃうわけですよね。
だから全部そのパスワードを変えなきゃいけなくなっちゃうっていう手間がとんでもないから、
だからサイトごとにパスワードを絶対違うようにした方がいいですよということですね。
なんとなくわかりますって言っちゃったからガタッと喋っちゃった。
パスワード管理ツールの活用
それをわざわざ自分でランダムとか作るのはめんどくさいじゃないですか。
なのでパスワード管理ツールを使って、ランダムなパスワードを勝手に作ってもらうと。
それを登録すると。
そうすれば一時自分で覚える必要もないし、覚える必要もないので、
マスターパスワードだけ覚えておいて、パスワードだけ覚える必要ない状態にしておくと。
そういうソフトって何かっていうと、Googleパスワードマネージャーみたいなのがあるはずなんですよ。
それで普通十分だと思うんですよ。
AppleにもApple用のパスワード管理ソフトあるんですけど、
Appleのやつってめちゃくちゃいいなと思いつつ、
Androidとかでそれが使えないんですよ今度。
Androidで使えなくなっちゃうから、
Windowsとかだったらブラウザ拡張とかで使えるはずなんですけど、
Androidだけはなぜか、それはそうですよね、Appleじゃないからね。
Appleのパスワードマネージャー使えないから、
そうなってくると一番汎用的なやつがGoogleパスワードマネージャーとかになっちゃうんで、
Googleパスワードマネージャーだと無料なんで、確か無料ですね。
それをご利用されていいんじゃないかなと思います。
一応私は仕事上使うので、
仕事として使っているから、ワンパスワードというのは一応使っています。
パスワード管理ソフトとしてワンパスワードという有料のやつを使っていますね。
ワンパスワードというのは何がいいかというと、
パスワードを教えずに、
関係者にログイン情報を伝えるような機能があるんですよ。
パスワードの中身を知らずに、
共有してこのURLリンクを踏めばログインできるみたいな、
そういう機能があったりするんですよ、一時的に。
なのでパスワード共有とかもできるから結構便利だったりとか、
あとはクレジットカードの情報は実際自分は入れてないですけど、
試験用のクレジットカードとかは入れておいて、
試験に使ったりはするかな。
そんな感じで、Googleパスワードマネージャーは確かクレジットカードが入れられないはず。
ちょっと覚えてないけど、分かんないけど。
まあでもそんな感じで、有料版無料版どっちでもいいんですけど、
Googleパスワードマネージャーなんかは多分一番無料だし、
使いやすいんじゃないかなと思うんで、
パスワードの使い回しというのは一旦やめましょうねと。
これを機会にやめましょうという感じですかね。
使わないサービスの退会と削除請求
2つ目ですね。
1つ目は今パスワードマネージャー使いましょうということと、
パスワードマネージャー使ってパスワードの使い回しはやめましょう。
2つ目が、
サービスをもう使わないっていうサイトに関しては、
大概して個人情報を消してくださいって連絡する。
っていうのが2つ目の方法かなと思います。
情報漏洩を防ぐというかね、起こさないためにやれることの2つ目が、
サービスを大概して削除依頼を出す。
が多分ベストなのかな。
できることの一つなのかなという感じですね。
私自身もウェブサービスとか作っているので、
作ったことあるし今作っているので、
その中に利用規約っていうのを書くわけですよ。
それは利用規約、昔本買って私読んだことがあって、
必ず入れなきゃいけない条文とか、
いわゆる法律に関することは必ず書かなきゃいけないから、
利用規約にまとめるんですけど、
その中に個人情報保護法に関連して削除請求みたいなのがあったら、
直ちに消さなきゃいけないみたいな。
直ちだったらわかるけど、消さなきゃいけないってことになってるんですよ。
それを利用規約の中に基本的には入れてるはず。
どのサイトでも入れてるはずなんですよ。
個人情報の削除の請求があった場合は、
速やかに削除するみたいな。
それを守りますよと。
利用規約の中に入れておけば、
何かあった場合に消すという対応をしなきゃいけないという感じで、
私の実際自分が運営しているサイトにもそういうことが書いてるはずなんですけど、
なのでもう基本的にそういうサービスには全部書いてるはずだから、
もうこのサービス使わないと。
大会する予定みたいな感じの場合は、
大会した後に必ず、
何が言いたいかというと、
論理削除と物理削除の違い
大会してもデータって残るんですよ。
ポイントは大会してもデータベースに、
逆に言うとデータベースに残ってる状態になるんですよね。
データベースの仕組みで言うと、
論理削除と物理削除という
削除の仕方があるんですけど、データベースの。
いわゆる大会しましたという時に、
大会しますみたいな自分でやると、
削除っていう日付、
削除した日みたいな日付が入って、
データベースの削除っていう、
基本的には使っている場合は、
削除した日、日時みたいなデータは空なんだけども、
大会した瞬間にそこが日時になったりするんですよ。
この大会日時が入っているユーザーは、
もうログインできなくなる、
みたいな仕様にしているはずなんですよね。
基本的には。
なのでそのログイン、
これが論理削除なんです。
日付、削除っていう絡む、
削除っていうデータの中に日付が
日付を入れる、日時を入れることによって削除っていう風にする状態を
論理削除、論理的に削除するっていう感じで
論理削除って言ったりするんですけど、
要はデータベースにデータが残っているんですよ。
サイトのログインはできないけど、
サイト上にログインとかはできないんだけども、
物理的には残っているという状態。
なので今回のさっきしゃべった、
自分はもうこのサイト使わないので、
個人情報を削除していただけますか?
削除してほしいですってメールだったりフォームから送るんですけど、
それをやると今言った物理削除って言って、
完全にその日付に何か削除データを入れるんじゃなくて、
もうレコードのユーザーデータをガンと全部消すみたいな、
履歴から何からその紐づいているデータを全部消すっていうことを
物理削除って言ったりしますね。
なので、いわゆるできること、
個人情報を守るっていう意味でできることで言えば、
削除請求を出すってことですね。
これがもう多分できること、
我々ができることの2つかなっていう気がしてます。
ECサイトの情報を削除する難しさ
でもその2つ目に関しては結構すごく難しいなと思うのが、
やっぱりまた使うかもしれないなっていうのはありますよね。
特にECサイトとかね。
ECサイトってもう究極に情報って一番入ってるじゃないですか。
なんだったらクレジットカードのも入ってるし、
届き先の住所とかも入ってるだろうし、
電話番号。電話番号最近は入れないかな。
わかんないけど、とにかく一番情報が濃いのって
EC関係だと思うんですよ。
それを削除してっていうのも結構難しいですよね。
また使うかもしれないし、
なんだったらクーポンとか届いて、
また久しぶりに訪れて買う可能性もあるしみたいなことを考えると、
すごい頻繁に使わないECサイトが一番怖いっていうか、
微妙だなって思いますよね。
本当に削除するべきか。
だってまた住所入れたりとか、
ログイン変わったりとかしちゃうわけですよね。
そこら辺の見極めは難しいから、
対策できることとはいえって感じですよね。
ここら辺がすごく難しいなって感じですね。
だから究極、ユーザー側でできることってそんなにないなっていう。
どうでしょうね。
皆さんはどういう対策してるんだろうって思ってるんですけど、
いずれにしても今回を機に、
今言ったECサイトとか、
ずっと使ってないなっていうところは、
情報漏洩してしまうぐらいだったら、
削除請求出した方がいいっていう考え方もあるし、
あと削除しなくても、
データをマスクするじゃないけど、
全然違うダミーデータに入れ替えるみたいな、
一応Googleにも聞いてみたんだけども、
そういうやり方もあるよってね。
でも嘘の情報をそこに入れるのも微妙じゃないですか。
なんだこのデータ、みたいになっちゃうかもしれないし、
だったらもう最初から削除とかかな、みたいに思うしね。
そこら辺がちょっと難しいなと思いつつ、
まあでもユーザー側、もう一応繰り返しになっちゃうんだけども、
ユーザー側でできることってこの程度かなって思うので、
サービスを見決めるというかね、
ちょっと難しいですね。
もし皆さんこういう対策してるよとかで何か出てくるのがあれば教えてください。
ユーザー側の対策をまとめる
今回は情報漏洩に対してユーザーができることについて話していきましたが、
いかがでしたでしょうか。
大きくできることはパスワードの使い増しを基本的にはしない。
2つ目が使わないサイトは大会して、
大会後には必ず削除請求を出すと。
それができることの2つなのかなと思ってます。
あとはよく必須じゃないところとか、
ちょっと本編では話せなかったんですけど、
必須じゃないところなんかも、
極力入れないっていうのも大事かもしれないですよね。
本当最低限の最低限だけ入れて登録する、
そういうところも結構ね、
登録人にすごく大事なのかもしれないなって思ったりしてます。
この番組ではご意見ご感想を取り上げてほしいテーマ、
ご質問やご相談を募集しています。
番組詳細欄のリンクからお気軽にお送りください。
いただいた内容は個人情報に配慮した上で、
番組内で取り上げさせていただくことがあります。
またこの番組を一人でも多くの方に知ってもらうたびに、
番組が参考になった方はフォローや高評価をお願いします。
それではまたお会いしましょう。
お相手はティザスク大使館のとしていとうでした。
