C県の情報セキュリティは安定してオワコン。
いや、過激なタイトルで申し訳ない。でも、余りにも稚拙な対応にちょっとした怒りが。沸々と。
こちとら生徒に情報セキュリティの授業で言ってる訳ですよ。CIAは大事だよって。
基本中の基本じゃないっすか。何で可用性を切り捨ててんの･･･？
本質を捕えない場当たり対応で、セキュリティとは逆行している役所あるあるが”過ぎる”。
ということで、情報セキュリティに関する話です。
県教育委員会が管理しているMicrosoft 365のアカウントについて、＊＊＊＊＊＊（勝手に公開できない）だったらしい。
らしい、というのは私自身がインシデントの詳細を確認できているわけではないから。
で、それを受けて全職員にパスワードの変更が要求され、すべての端末から強制ログアウト。
ここまではわかる。
何がどこまで＊＊したのか、どの程度の被害が発生したのかがわからない状況で、まず全体を遮断する。初動対応としては理解できるし、むしろ迅速に対応していただいたことは評価したい。
問題はその後。
どうやら現在、毎日のようにMicrosoft 365から強制的にログアウトさせられる運用になっているらしい。PCだけではない。スマートフォンも。
朝、仕事を始めようとすると再認証。Teamsを開けば再認証。場合によっては、スマートフォンでTeamsの通知を受け取れなくなっている。ちょっと待ってほしい。
それ、本当にセキュリティ対策として正しいんだろうか？
気になっ（ムカつい）たので、Microsoftの公式ドキュメントを交えて、整理した。
※以下は、私が利用者として確認できる現象とMicrosoftの公開資料をもとにした考察です。実際に適用されている認証ポリシーやインシデントの詳細を把握しているわけではありません。
1. 毎日ログアウトさせれば安全なのか？
結論から言えば、勿論、一定の効果はある。
ログイン状態を維持するための認証情報が攻撃者に盗まれていた場合、それを失効させることで、不正なアクセスを遮断できる可能性がある。
Microsoft 365は、ログインするたびにIDとパスワードを送信しているわけではない。
一度認証に成功すれば、アクセストークンや更新トークンといった仕組みを使って、認証状態を維持している。だから、毎回パスワードを入力する必要がない。
これはごくごくありふれた、普通の設計で、可用性の話だ。
今回のような事故が発生した際に、これらのセッションを無効化すること自体は妥当だと思う。
でも、それを毎日、全職員に対して繰り返す必要があるのだろうか？
確かに、認証情報が悪用される時間を短くできる。
一方で、アカウントが乗っ取られた原因を取り除けるわけではない。
パスワードが漏洩する仕組みが残っているなら、翌日も漏洩するかもしれない。
不正なアプリケーションにアクセス権限を与えてしまっているなら、それを調査しなければならない。そもそも、どのアカウントが、どこから、どのように侵害されたのか。重要なのはこっちですよね？？？
毎日ログアウトさせることで、何のリスクを、どの程度低減できているのか。
少なくとも、その説明がないまま全職員に負担をかけ続けることには疑問がある。
2. Microsoft自身も、頻繁な再認証を推奨していない
決定的な（面白い）のがここ。
Microsoft Entra IDの公式ドキュメントには、サインイン頻度についての説明がある。
標準設定では、一定の条件下で最大90日間のローリング期間を使って認証状態を維持する設計になっている。もちろん、90日間何があってもログインし直さなくてよい、という意味ではない。
アカウントの無効化、パスワードの変更、端末の状態の変化など、必要な条件が発生すれば再認証やセッションの失効が行われる。
で、Microsoftは頻繁に認証情報を入力させる運用について、逆効果になり得ると説明している。
毎日のように認証を要求されると、利用者は認証画面が表示されることに慣れてしまう。
結果として、偽物のログイン画面が表示されたとしても、疑問を持たずに認証してしまう可能性が高まる。つまり、セキュリティのために認証を増やした結果、フィッシングに対して無警戒になる危険があるということ。
これ、結構重要な話だと思うんですよね。
毎朝のルーチンワークとして認証画面を処理するようになれば、もはや本人確認というより、ただの作業になってしまう。
※パスキーやWindows Helloのようなフィッシング耐性のある認証方式では、このリスクを軽減できる。ただし、過剰な認証要求が利用者の負担になることに変わりはない。
3. Teamsの通知が止まるという問題
個人的には、こちらの方が深刻だと思っている。
今回の変更によって、スマートフォンのTeamsでも再認証が必要になる。
そして、Teamsの通知が正常に届かなくなる。PCならまだいい。
出勤して、PCを開いて、再認証すれば済む。
でもスマートフォンは？
学校現場では、出張中や移動中、あるいはPCを開いていない場面でも業務連絡を受け取ることがある。
そのためにTeamsを導入しているはず。
ところが、認証が切れていることに気付かず、重要な連絡を受信できていなかったら？
これでは、連絡手段としての信頼性が損なわれてしまう。
冒頭でも延べたが、情報セキュリティにはよく知られた3つの要素がある。
- 機密性（Confidentiality）
- 完全性（Integrity）
- 可用性（Availability）
いわゆるCIA。
不正アクセスを防止するために機密性を強化する。それは正しい。
でも、その結果として、正当な利用者が必要なタイミングで情報を利用できなくなるのであれば、可用性の面では問題が生じている。
しかも今回は、利用者がログインできないだけではない。
利用者が連絡を受け取れなくなる可能性がある。
もちろん、Teamsの通知不達がすべて認証設定によるものだと断定するつもりはない。アプリや端末側の問題も考えられる。
ただ、再認証が必要になるタイミングと通知が止まるタイミングが一致しているのであれば、少なくとも調査すべき事象ではないだろうか。
情報セキュリティを守るために、情報システムの可用性を損なっている。
それは本当に望ましい運用なんだろうか。
4. じゃあ、どうすれば？（生徒向け）
何で生徒向けなのか。 大人にする話じゃないからだよ！
さて、私は別にログインしっぱなしにしろと言いたいわけではない。
むしろ、教育委員会のように大量のアカウントを管理し、個人情報も扱う組織だからこそ、適切なセキュリティ対策をしてほしい。
Microsoft 365には、そのための機能が用意されている。
多要素認証（MFA）・パスキー
まずはこれ。
IDとパスワードだけで認証できる環境なら、漏洩した認証情報を使った不正アクセスを許してしまう可能性がある。
だから、パスワード以外の要素を組み合わせる。
さらに、Windows Hello for BusinessやFIDO2パスキーなど、フィッシングに強い認証方式を活用する。
すでに導入されているのであれば、それを適切に運用する。
私自身、Windows Helloなどを利用しているのだけれども、それでも繰り返し再認証を要求される。
強固な認証方式を導入することと、毎日認証させることは別の話なんですよね。
条件付きアクセス（Conditional Access）
次に、Microsoft Entra IDの条件付きアクセス。
これは、アクセスしてきた利用者や端末の状態などに応じて、認証条件を変更する機能。
例えば、
- 管理された校務用端末からの通常のアクセス
- 管理されていない端末からのアクセス
- 管理者権限を持つアカウントからのアクセス
- 通常とは異なる接続環境からのアクセス
これらをすべて同じ条件で扱う必要はない。
信頼できる端末では適切にSSO（シングルサインオン）を維持し、追加の認証が必要な場面では厳格に本人確認を行う。
そういった使い分けができる。
もちろん、組織のライセンスや端末管理の状況によって使える機能は異なる。
でも、全職員に同じ負担をかけ続ける以外の選択肢はあるわけです。
リスクベースの認証
Microsoft Entra ID Protectionでは、サインインのリスクやアカウント侵害のリスクを評価し、それに応じてアクセスを制御する仕組みもある。
不審なサインインが検知された場合に、追加認証を要求する。
危険なアカウントを一時的にブロックする。
必要に応じて認証情報を変更させる。
つまり、全員を常に疑って毎日ログアウトさせるのではなく、危険性に応じて対応するということ。
こういった制御には上位ライセンスが必要な場合もあるけれども、検討する価値は十分にあると思う。
継続的アクセス評価（CAE）
もう一つ。
MicrosoftにはContinuous Access Evaluation、略してCAEという仕組みがある。
通常、アクセストークンは有効期限まで利用できるが、CAEに対応したサービスでは、重要なセキュリティイベントが発生すると、期限を待たずにアクセスを遮断できる。
例えば、アカウントの無効化や、管理者によるセッションの取り消しなど。
TeamsやExchange Online、SharePoint Onlineなどが対象となる。
もちろん、クライアントやサービス側の対応状況によって制約はある。
でも、こうした仕組みが用意されているのに、なぜ毎日全員をログアウトさせなければならないのか。説明が欲しい。
5. そもそも、インシデントの原因調査は？
今回の発端は、＊＊＊＊＊＊＊＊＊で悪用されたという話。
だとしたら、認証頻度を変更すること以上に重要なことがある。
- どのアカウントが侵害されたのか
- 不正アクセスはどこから行われたのか
- パスワードが盗まれたのか、認証トークンが盗まれたのか
- 不審なアプリケーションへのアクセス許可はないか
- メールの自動転送設定や受信トレイルールに不正な変更はないか
- 同じ手口で再び侵入される可能性はないか
Microsoft自身、侵害されたメールアカウントへの対応として、アカウントの遮断やセッションの取り消しだけでなく、侵害状況の調査と不正な設定の除去を案内している。
こうした調査や対策が実施されていないと言いたいわけではない。
実施されているのかもしれないし、まだ調査中なのかもしれない。
ただ、利用者から見えているのは、毎日ログアウトさせられるという結果だけ。
今回の対策は、何のリスクを想定して、いつまで継続するのか…どこまでマジでやってんのか。
6. セキュリティ対策とは、何を守るためのものなのか
繰り返しになるけれども、今回の初動対応を批判したいわけではない。
インシデントが発生した際に、迅速に全体の認証を見直したことは妥当だと思う。
ただし、緊急対応と恒久対策は分けて考えるべきではないだろうか。
緊急時には、業務を一時的に止めてでも被害の拡大を防ぐ必要がある。
でも、それを日常の運用にしてしまってよいのか。毎朝の再認証には、全職員の時間が使われる。
たった1分でも、対象人数が数千人、数万人になれば、その負担は相当なものになる。
これは、40人を集めて授業するに関しての心構えとして、全教職員が意識していて当たり前のことですよね…？「1分の無駄が40分の無駄」って、昭和から言い続けてきた組織ですよね？？？
情報科的には、何よりTeamsのような業務連絡手段が正常に機能しなくなる可能性を見過ごせない。「安全のためだから仕方がない」で終わらせてよい問題ではないと思う。
セキュリティ対策の目的は、利用者に不便を強いることではない。
情報を守りながら、必要な人が必要なときに、安全に情報を利用できる状態を維持すること。
- インシデント発生時の一斉セッション失効は、緊急対応として維持する
- 平常時の一律・高頻度な再認証については、リスクと効果を検証する
- MFAやパスキー、条件付きアクセスを適切に組み合わせる
- 管理された端末ではSSOを活用し、不必要な再認証を減らす
- Teamsなどのモバイルアプリについて、通知の継続性を含めて検証する
- 今回の対策が暫定措置なのか、恒久措置なのかを利用者に説明する
セキュリティを緩めてほしいのではない。
もっと適切な方法で、セキュリティを高めてほしい。
という話。
繰り返しになるけれど。
情報科の教員としては、生徒たちに「情報の機密性・完全性・可用性は大切ですよ」と教えているわけで。
その教員たちが利用する情報システムで、可用性が軽視されているように見えるのは、大変悲しい。（授業のネタにはするけれど。）
管理する側にも事情があるのだろうし、現場では把握できないリスクもあるのだと思う。
だからこそ、そのリスクに対して、今回の運用がどれほど有効なのかを知りたい。
安全で、かつ使いやすい環境を構築する。
この両立を目指していただきたいなあ、と思う次第である。（落ち着いてきた）
参考資料（Microsoft公式）
今回の記事は、主に以下のドキュメントを参考にしています。
- Conditional Access: Authentication session management
サインイン頻度、セッションの有効期間、頻繁な再認証の問題点について。
- Reauthentication prompts and session lifetime for Microsoft Entra multifactor authentication
Microsoftが推奨する認証頻度、SSO、モバイル環境の設計について。
- フィッシングに強いMFAの認証強度
Windows Hello for Business、FIDO2などの認証方式について。
- Microsoft Entra ID Protection：リスクベースのアクセスポリシー
サインインリスク・ユーザーリスクに応じたアクセス制御について。
- Microsoft Entra：継続的アクセス評価（CAE）
重要なセキュリティイベントに応じたアクセスの失効について。
- Respond to a compromised cloud email account
侵害されたMicrosoft 365メールアカウントの調査・復旧について。
※本記事は2026年11月時点のMicrosoft公式ドキュメントを参考にしています。実際の利用可否や動作は、契約ライセンス、端末構成、組織の認証ポリシー等によって異なります。
コメント
コメントを読み込んでいます…