google apps の安全性を証明する方法

質問

お世話になります。

私は携帯電話をandroidにかえてから、 スケジュールやタスクの管理に google calendarやToDoリストを使っていたのですが、会社の上司に外部のサーバーに会社にかかわる情報を保存するのはとても危険だと指摘を受けました。

私の勤めている会社には、クラウド上（会社の外部）に会社に関わるデータを保存してはならないという規定は特にないので、私としては、安全性さえ証明できれば問題なく使用できると考えています。

どうすれば安全に利用できるのかと少し調べたところ、ワンタイムパスワードによる2段階認証なども利用できるようですが、現在のところ通常のgoogleappsでは利用できないようでした。

実際に、google apps は危険なのでしょうか・・・？
危険だとわかれば、今後は個人利用に限って利用しようと思います。

よろしくお願いします。

回答No.3

noname#137719 · ベストアンサー

ANo.2です。

> パスワード盗難対策としての2段階認証やサーバー攻撃への対応についてはどのように思われますか？参考にさせていただきますので、よろしければご回答ください。よろしくお願いします。

パスワードを破られる危険性は激減するので有効だと思います。

ただ私が危惧しているのは、サーバーからの情報流出であり、パスワードは無関係です。
ソニーの情報流出も誰かのパスワードがばれてその人が被害を受けた訳では無いですよね。
サーバー丸ごと侵入されたみたいですから。
サーバーへの攻撃に対しては、利用者は対策しようがありません。サーバー業者を信じるしか有りませんが、絶対安全ですといっている所は安心できませんね。
侵入などがあるのは当然と考えて、可能な限り対策はした上で、緊急時の対応をきちんとしてくれるところが良いですね。

パスワード自体についてはいくつかのネットバンキングが参考になります。お金がかかってますからね。
最低限でもID+パスワードでログイン、お金を動かすときは、乱数表+パスワード。
ジャパンネットバンクは全員パスワードとトークンを使うようになっています。
http://www.japannetbank.co.jp/security/security/otp.html
2重パスワードは安全ですが、設定するパスワード自体が脆弱なら、あまり意味は無いでしょう。
ある程度の長さの、強度のある(単語などを含まない、できれば乱数で生成した英数字+記号)のパスワードを使えば、たとえハッシュが流出しても、そうそう特定はされないでしょう。

ただ、サーバーから流出したら意味ないですが。
そういう意味では、会社のサーバーの方が脆弱な場合もありますから、これと比較してクラウドが危険かというと、そうは言えないと思います。

お礼

素早い回答ありがとうございます。

パスワードも大切ですが、サーバーへの攻撃も大きな問題なんですね…。

> ただ、サーバーから流出したら意味ないですが。
> そういう意味では、会社のサーバーの方が脆弱な場合もありますから、これと比較してクラウドが危険かというと、そうは言えないと思います。

今日のお昼休み頃に、「会社のサーバー」と「google apps」でどっちが安全なのかと会社で少し話してたんですが、「クラウドは通信する分危険が増すんじゃないか」とか、「会社の方がセキュリティ甘いんじゃないか」とか、色々と話した結果…、どちらも変わらないんじゃないの？ってことになりました…。

結局は現状維持で google apps は使用禁止のままです。
残念ですが、一般的な考えからするとやはりクラウドは危険となるんですかねー…。

でも、おかげさまで考えが深まりました。
ありがとうございます！

回答No.2

noname#137719

クラウドに限らずサーバー上にあるデータはかなり危険です。
実際一番厳重に管理されているはずのIDやパスワードがしょっちゅう盗まれていますし。
サーバー上のデータは盗まれる前提で暗号化しておくといった対応が最低限必要でしょう。

2011/06/02 に、Gmailの情報が盗まれるというニュースも来ています。

パスワードをどれだけ厳重にしても完璧に安全なシステムが無い以上、絶対に安全であるとは言えません。
もちろんそういう観点からはローカルに保存していても、ネットワークがつながってれば危険ですけどね。

私の場合、利便性も考え、Dropboxなどのツールに色々な場所で使う重要なデータを、TrueCryptで暗号化して保存しています。
これなら流出してもそうそうは復元できません。パスワードやパスキーには気を遣いますが。

お礼

ご回答ありがとうございます。

> サーバー上のデータは盗まれる前提で暗号化しておくといった対応が最低限必要でしょう。
なるほど、暗号化してから保存すればリスクを軽減できるんですね。TrueCryptも使ってみようかと思います。

それから、No.1 Mode-A5620 さんへのお礼にも書きましたが、パスワード盗難対策としての2段階認証やサーバー攻撃への対応についてはどのように思われますか？参考にさせていただきますので、よろしければご回答ください。よろしくお願いします。

回答No.1

Mode-A5620

おはよう御座います。

まずクラウドとは何ら新しい事ではありません。
以前のホスティングレンタルサーバーと技術的な違いはありません。

Web上に会社の根幹に関わる情報を置き、
IDとパスワード入れれば誰でもアクセス出来る状態というのは
情報漏えいの危険度が非常に高い状態です。
Google Apps for Businessの2段階パスワードも
手間とコストが結構かかります。
小さな会社でこれからサーバー導入しようかと考えているのならば
こちらの方が良いのかもしれませんがやはりおススメは出来ません。

こちらをご覧になってください。
http://plaza.rakuten.co.jp/foret/diary/201106180000
http://www.itmedia.co.jp/enterprise/articles/0812/30/news006.html
http://dekiru.impress.co.jp/contents/026/02626.htm

クラウドコンピューティング 危険性とか問題点とかで検索すると
沢山の問題点が書かれています。

Google Appsを活用されているお客様の声
http://www.google.com/apps/intl/ja/customers/index.html
この様にたくさんの企業が利用しているから安全じゃないのかとか
考え方が古くて固いと言われるかもしれません。

Google AppsがというよりWeb上にリソースを置く事は
情報漏えいの危険を伴う行為だと思います。
重要度が低いモノでご利用ください。

お礼

リンクたくさん貼っていただいてありがとうございます。拝見しましたが、とても参考になりました。

特に、パスワードの盗難リスク以外にもサーバー設置場所の国の事情によるリスクが考えられることにはびっくりしました。

（今のところコストは多少かかりますが、）パスワードの盗難は2段階認証（ワンタイムパスワード）で何とか防げるかと考えてましたが、この認識についてはいかがですか？
また、サイバー攻撃に対する耐性についてはどのように思われますか？

Webを自分で探すだけでは少し自信が持てないので、ご意見をいただけるととてもうれしいです。よろしくお願いします。