グローバルサインブログ > 活用例 > 教職員のアカウントが被害に。不正アクセス防止に選んだ対策

導入の背景・目的・課題

近年、学校や教育機関を狙った不正アクセスが増加しており、P大学もその被害にあったうちの一校でした。 ウェブサーバが第三者から不正アクセスされ、勤務している教職員のアカウント情報が窃取されたのです。乗っ取られたアカウントから迷惑メールが大量に配信される事態となり、サーバを外部から遮断したうえでパスワードを変更して、一旦の対応を終えました。その後、不正アクセスは確認されなかったものの、パスワードの変更および不審なメールへの注意喚起だけでは、今後また同様の事態が発生してもおかしくはないため、対策が求められました。

導入までの経緯

P大学のセキュリティ部門は、SIer数社に不正アクセス防止を図る提案をしてもらうことにしました。各社からの提案書で検討するなか、P大学で対策の候補にあがったのは、SIerのR社が提案してきたグローバルサインのクライアント証明書によるアクセス制限の提案でした。ウェブサーバにアクセスする必要がある人のPC・モバイルデバイスにクライアント証明書をインストールすることで、そのクライアント証明書の入っている端末のみにアクセスを制限し、たとえパスワードが脆弱なものであったとしても、認証された端末以外からはアクセスすることはできません。他にもUSB型の認証や専用携帯での認証などが候補にあがりましたが、紛失の恐れや運用が煩雑になることが懸念されました。

また同じクライアント証明書をメールソフトに設定することで、メールの暗号化や電子署名としても利用できるため、社内間のなりすましメールの防止対策としても有効に思われました。

導入して良かった点

ほどなくしてP大学は、R社の提案を採用し、グローバルサインのクライアント証明書『マネージドPKI Lite』の導入を決めました。不正アクセスされたウェブサーバを含め、他のシステムのセキュリティなどもすべてクライアント証明書によるアクセス制限をおこない、二要素認証でのログインに変更されました。導入後の成果についてP大学のセキュリティ担当者の方は「実際に利用する教職員の中には、ITリテラシーが高くない人もいるため、なるべく手間を増やさない方法が理想でした。今回セキュリティ強化に伴う変更があっても、利用者には使い方が変わるわけではないので、負担なく運用できています。」とのこと。導入に関わったR社も「クライアント証明書発行の手順などもマニュアルにまとまっていたので、スムーズに対応することができました。」とお話いただきました。

R社では今後も、まだ被害を受けていない他の取引がある大学に関しても、クライアント証明書を提案していかれるとのことです。

関連するサービス・情報

PDF解説資料をご用意しております

SSL・クライアント証明書・メールセキュテリィなどのキホンから応用までを詳しく解説したPDF資料をご用意しております。

ページのトップへ戻る