Googleが、「Advanced Protection Program」（高度な保護機能プログラム）を「G Suite」に導入したと発表した。企業の管理者は、標的型攻撃の対象となる危険性の高いユーザーをこのプログラムに追加できるようになった。IT管理者や企業の幹部、金融機関や政府などセキュリティの影響が大きい業界の従業員などが想定されている。この機能は今後数日のうちにベータ提供される。
このプログラムでは、ユーザーがGoogle独自の「Titanセキュリティキー」やYubicoの「YubiKey」といった、FIDO準拠のセキュリティキーを利用する必要がある。
こういったキーによって、Googleは従業員に対するすべてのフィッシング攻撃をブロックできるようになったという。また、従業員は数年間にわたってパスワードを変更しなくても済んでいるというメリットももたらされた。
Googleで製品管理担当ディレクターを務めるKarthik Lakshminarayanan氏は米ZDNetの取材に対し、次のように語った。「われわれGoogleの従業員は、セキュリティキーを使うようになってから、アカウント乗っ取りという事態が一度もない」
Lakshminarayanan氏によると、MicrosoftからGoogleに移籍してからの3年間、セキュリティキーのおかげで一度もパスワードを変更していないという。Microsoftでは、90日ごとにパスワードを変更しなければならなかった。Microsoftは最近、定期的なパスワードの変更について、「昔からある時代遅れの」ポリシーであり、控えるべきだと述べている。
多くの企業にとって、全従業員にセキュリティキーの使用を義務づけるのは困難だと思われるが、新しいAdvanced Protection Programは、リスクと価値が高いアカウントを主な対象としている。
Googleは2017年、フィッシングやアカウント乗っ取りの標的になるリスクが高い「Gmail」の一般ユーザーに向けてAdvanced Protection Programを開始した。このプログラムはこれまで、政治家、ジャーナリスト、活動家、ビジネスリーダーなどを対象としてきた。
いささか紛らわしいことに、企業の上級幹部らには、いま言ったように現在ある（Gmail版の）Advanced Protection Programがすでに提供されている。G Suite版は、G Suiteの管理者が管理を強化できるようになったという点が異なる。
幹部が各自でプログラムに参加して、Gmailのデータにアクセス可能なアプリとアクセス不可能なアプリをGoogleに判断させるのではなく、企業のG Suite管理者が、プログラムに参加すべき高リスクのユーザーグループや承認すべきアプリを指定できる。
G Suite版は、どのユーザーが管理を有効または無効にしているか確認できるように、G Suite管理者への報告機能も提供する。
また、ホワイトリストに登録されていないサードパーティーアプリへのアクセスを自動でブロックする機能があるほか、電子メールで脅威をスキャンする機能が強化されている。
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
