【ITニュース解説】Your Service Desk is the New Attack Vector—Here's How to Defend It.

企業や組織にとって、ITサービスの窓口である「サービスデスク」は、従業員からのITに関する様々な問い合わせに対応する重要な役割を担っている。パスワードのリセットやアカウントのロック解除、システムへのアクセス権限の付与など、日々の業務を円滑に進める上で欠かせないサポートを提供しているが、近年このサービスデスクがサイバー攻撃の新たな標的として注目されている。

攻撃者は、システムに直接侵入するよりも、人間をだまして情報を引き出す「ソーシャルエンジニアリング」の手法を好んで用いる。サービスデスクは、多くのユーザーからの問い合わせが集中し、時には緊急性を要するリクエストも扱うため、攻撃者にとって特に狙いやすい場所となっているのだ。攻撃者は、あたかも正規のユーザーであるかのように装い、サービスデスク担当者をだまして機密情報（パスワードや多要素認証のワンタイムコードなど）を引き出したり、特定のアカウントの権限を変更させたりしようとする。特に、システム管理者などの特権を持つアカウントが標的になりやすく、これらのアカウントが乗っ取られてしまうと、組織全体に甚大な被害が及ぶ可能性がある。多要素認証（MFA）が導入されていても、サービスデスクをだますことでMFAを迂回し、アカウントを乗っ取ろうとする巧妙な手口も報告されている。

このような脅威に対して、企業はサービスデスクの防御を強化する必要がある。単に担当者の注意を促すだけでは不十分であり、組織的な認証ワークフローを導入することが不可欠だ。米国国立標準技術研究所（NIST）のガイドラインに沿ったアプローチが推奨されており、「ゼロトラスト」（何も信頼せず常に確認する）というセキュリティの考え方が重要となる。これは、ネットワーク内外からのアクセスであっても、常にユーザーやデバイスの正当性を検証することを基本とする。

具体的には、「ロールベース」と「ポイントベース」という二つの考え方に基づく認証ワークフローを導入することで、セキュリティを強化しつつ、サービス提供のスピードを維持することが可能になる。

まず「ロールベースの認証」とは、ユーザーの組織内での「役割（ロール）」に応じて、必要な認証の厳格さを変えるという考え方だ。例えば、一般社員、部門管理者、システム管理者、役員といった異なる役割を持つユーザーは、それぞれアクセスできる情報やシステムへの影響度が異なる。当然ながら、システム管理者や役員といった特権を持つユーザーのアカウントは、乗っ取られた場合の被害が大きいため、より厳格な認証が求められる。 具体的な例を挙げると、一般社員がパスワードのリセットを要求する場合、パスワードと登録済みのメールアドレスへの認証コード送信で十分と判断されるかもしれない。しかし、システム管理者がパスワードリセットを要求する場合には、これに加えて登録済みの電話番号への通話による本人確認、あるいは上長からの承認が必須となる、といった運用が考えられる。このように、ユーザーのロール（役割）の重要度に応じて認証要件を調整することで、リスクに応じた適切なセキュリティレベルを確保できる。

次に「ポイントベースの認証」とは、ユーザーからの「リクエスト内容の重要度」に応じて、必要な認証の厳格さを変えるという考え方だ。例えば、単なるシステムの使い方に関する問い合わせと、パスワードのリセットやシステムへのアクセス権限の変更といったリクエストでは、セキュリティ上のリスクが大きく異なる。 この認証ワークフローでは、個々のリクエストに対して「セキュリティポイント」のような数値を割り当て、このポイントが高いリクエストほど、より多くの、より厳格な認証手順を要求するように設計する。例えば、情報参照のようなリスクの低いリクエストには1ポイント、パスワードリセットには3ポイント、重要なアクセス権限の変更には5ポイント、といった具合だ。ユーザーがリクエストを送信すると、サービスデスクシステムがリクエスト内容からポイントを算出し、そのポイント数に応じて必要な認証方法（例：メール認証、電話認証、生体認証、管理者承認など）を自動的または半自動的に指示する。 このシステムは、単にリクエストの内容だけでなく、過去の問い合わせ履歴、アクセス元のIPアドレス、使用しているデバイス情報なども認証の判断材料に加えることで、より総合的なリスク評価を行うことができる。例えば、いつも利用しているデバイスや場所からのアクセスであればポイントが低くてもよいが、普段とは異なる環境からのアクセスであれば、より高いポイントを割り当て、追加の認証を求めることができる。

「ロールベース」と「ポイントベース」の認証ワークフローを組み合わせることで、サービスデスクのセキュリティは飛躍的に向上する。例えば、「役員（高ロール）がパスワードリセット（高ポイント）を要求する場合」は最高の厳格な認証を適用し、「一般社員（低ロール）が情報参照（低ポイント）を要求する場合」は簡単な認証で迅速に対応するといった柔軟な運用が可能になる。これにより、重要なリクエストに対するセキュリティを強化しつつ、日常的な低リスクの問い合わせには迅速に対応できるため、サポートの質を落とさずにセキュリティを高めることができるのだ。

これらの認証ワークフローを導入するにあたっては、いくつかの重要な点がある。まず、認証プロセスを明確に文書化し、サービスデスクのすべての担当者がその内容を完全に理解し、遵守することが不可欠である。あいまいなルールは、セキュリティホールにつながる可能性があるため、詳細な手順と判断基準を定める必要がある。次に、サービスデスク担当者に対する定期的なトレーニングが欠かせない。ソーシャルエンジニアリングの手口は常に進化しているため、最新の攻撃手法を学習し、不審な行動や言動を早期に察知できる能力を養うことが重要だ。また、導入後も認証ワークフローの有効性を定期的に監査し、その結果に基づいて継続的に改善していく必要がある。脅威の状況や組織のニーズは変化するため、ワークフローも柔軟に見直していく姿勢が求められる。

サービスデスクは、企業のITシステムとユーザーをつなぐ最前線であり、そのセキュリティが組織全体のセキュリティレベルを大きく左右する。攻撃者のターゲットとなりやすいサービスデスクを強固に守ることは、情報漏洩やシステム停止といった重大なリスクを回避し、企業の信頼性を維持するために不可欠な対策だ。システムエンジニアを目指す皆さんにとって、このようなセキュリティの考え方は、将来どのような分野に進むにしても必ず役立つ重要な知識となるだろう。