「うちは小さいから狙われない」が通用しない理由｜Google Workspaceの2段階認証を設定して分かったこと

セキュリティ対策とは、鍵を増やす作業ではなく、「入れなくなったときに戻れる道」を先に作る作業だった。

Googleから、期限付きの通知が届いた

先日、自分のドメインで使っているGoogle Workspaceから通知が来ました。

2段階認証が必須になります、という内容です。
しかも、いつまでに、という日付が明記されていました。

正直、最初は「またこの手の通知か」と思いました。この種の案内は普段なら流します。
ただ、日付が入っていたのが引っかかって、その日のうちに自分の管理画面を開いてみたんです。

認証の設定をしに行ったつもりでした。ところが、見つかったのは認証の話ではありませんでした。

開いてみたら、穴は「認証の手前」にあった

出てきたのは、方式の話ではなく、前提の話でした。

ひとつ目。

全部の権限を持っている管理者が、自分ひとりしかいませんでした。
何かあったときに、代わりに入れる人が誰もいない状態です。

ふたつ目。

パスワードを2年9か月変えていませんでした。
日数まで表示されて、はじめて自覚しました。

みっつ目。

パスワードを忘れたときの連絡先が、未登録のままでした。
つまり、締め出されたら戻る道がない。

これ、「セキュリティ意識が低い」という話ではないと思っています。

一人で、あるいは数人で回している事業だと、誰もここを指摘してくれないだけなんです。
健康診断を受けていない人が不健康なのではなく、測っていないから分からない。
それと同じ構造に見えます。

石川県内でお会いする経営者の方も、ほとんどが同じ状況だと思います。
悪いわけではなく、見る機会がなかっただけです。

診断ツールは「問題なし」と表示していた

面白かったのが、ここです。

その状態のまま、Googleのセキュリティ診断は「推奨される対応はありませんでした」と表示していました。

管理者が一人しかいなくて、パスワードが2年9か月そのままで、復旧用の連絡先が空でも、チェックは緑だったわけです。

これはツールが不十分だという話ではありません。

診断が見ているのは「標準的な基準を満たしているか」であって、その基準は誰にでも当てはまる最大公約数です。ひとり社長で、管理者が自分しかいない、という自社固有の事情までは見ていない。

リスクは基準の中ではなく、基準の外、自分の使い方の中にあるという構造だと思いました。
緑のチェックは、及第点であって満点ではないということです。

では、そもそも誰から守っているのか

ここが、今回いちばん考えが変わったところです。守る相手を3つに分けて整理してみます。

ひとつ目は、攻撃者。 

ただし現実には、誰も「あなた」を狙っていません。

人間が名指しで狙ってくるのではなく、機械が世界中のドアノブを片っ端から回して、たまたま開いたところに入る。それだけの話です。

だから会社の規模は関係ない。
「うちは小さいから狙われない」が通用しないのは、そもそも選ばれていないからです。

ふたつ目は、自分自身。 

そして実際にいちばん多いのは、たぶんこれです。

スマホをなくす。機種変更する。
壊れる。この3つのどれかで、自分が自分の会社のデータに入れなくなる。

ここに攻撃者は一人も登場しません。
「セキュリティ対策」という言葉が、事故対策の意味を含んでいることに、やってみて気づきました。

みっつ目は、取引先。 

ここが本丸だと思っています。自社のドメインから届いたメールを、取引先は疑いません。

長く付き合いのある地元の会社ならなおさらです。
もし乗っ取られたら、失うのは自社のデータではなく、相手からの信用のほうです。

「うちには守るような大事なデータなんてない」という声はよく聞きます。

でも、守っているのは自分の資産ではなく、相手が自分に対して持っている信用です。
そう考えると、データの量は関係なくなります。

実際に手を動かして分かった、「順番」の話

ここからが、やってみて初めて分かった部分です。

普段使っているアカウントには、最後に手を付けました。 
先に予備の管理者を用意して、そちらで一通り試してから、本命に触る。この順番です。

理由は単純で、設定を変える途中で必ずログインし直しが発生するからです。

そして、つまずくのはたいていそこ。
だったら、壊れても取り返しがつくほうで先に失敗しておいたほうがいい。

そして実際に、予備のほうで一度入れなくなりました。

用意していた手段のうち、片方がその場面で使えなかったんです。

技術的な理由はここでは省きます。
大事なのは、複数の手段を用意していたおかげで、もう一方で復旧できたということです。

「認証の手段は複数持っておけ」というのは、言葉としては何度も聞いていました。

でも意味が分かったのは、片方が使えなくなって、残りの一つで戻れた瞬間でした。
ここを本命のアカウントでやっていたら、業務が止まっていたと思います。

まず、開いて見るところから

今回やってみて、認識が変わりました。

セキュリティは「守りを固める作業」ではなく、「戻れる経路を先に作る作業」でした。
鍵を増やす前に、締め出されたときにどう戻るかを決めておく。順番はそちらが先です。

生成AIの情報漏洩が心配だという相談を、研修先でもよくいただきます。

もちろん大事な論点です。ただその手前で、足元のアカウントが今どういう状態になっているか。
管理者は一人になっていないか。復旧用の連絡先は入っているか。

まず開いて、見るところから。

それだけで、見えるものがかなり変わると思います。

生成AIの導入と同じで、セキュリティも「触ってみる」以外に身につく道がありませんでした。
中小企業向けのDX研修では、こうした足元の設定も一緒に見ています。

研修が終わった2週間後に止まってしまう——その状態を減らすために、月額での伴走メニューを用意しました。

https://solobizjourney.com/dx-kenshu/#dx-advisor