自社ドメインのメールアドレスが、外部サービスの情報漏洩に含まれていないかを調べるレポートです。1Passwordに保存されたパスワードを点検するものではありません。調べる対象はメールアドレスで、1Passwordを使っていない社内のアドレスも含まれます。通知の出し方を決めないまま実行すると、事情を知らない人や社外の関係者にメールが届きます。このページでは、ドメインの検証、レポートの読み方、通知の流れ、通知の前に決めておくことを説明します。
Watchtowerのレポートとの違い
セキュリティリポートのまとまりには2本のレポートが並びますが、調べているものが違います。
ビジネスWatchtowerレポート | 違反報告 | |
|---|---|---|
| 調べる対象 | 保管庫に保存されたアイテム | 自社ドメインのメールアドレス |
| 情報源 | 端末内でのWatchtowerの判定 | 外部の漏洩データベース |
| 範囲 | 1Passwordを使っている人 | 1Passwordを使っていない社内のアドレスも含む |
| 分かること | 弱いパスワードなどの件数 | どの漏洩に誰が含まれているか |
情報源はhaveibeenpwned.comのドメイン検索データベースです。自社のドメインを検証すると、そのドメインのアドレスが過去の漏洩に含まれているかを照会できる仕組みになっています。並んで表示されていても性質が違うので、社内に紹介するときは同じ説明でまとめないでください。
ドメインを検証する
ここからは1Passwordの管理コンソールでの操作です。最初の設定は所有者が行います。設定の後はセキュリティグループのメンバーもレポートを開けます。
サイドバーのレポートを選び、インサイトを開きます。データ漏えいチェックのまとまりに、ドメインを検証する操作があります。検証の方法は2つです。
メールアドレスで検証する
- 管理用のメールアドレスを選びます。
- 確認コードを送ります。
- 届いたコードを入力して検証を完了します。
選べるのはそのドメインの管理用アドレスに限られます。受信できる人がその場にいれば数分で終わります。
DNSレコードで検証する
- 画面に表示された検証用の文字列を控えます。
- 対象ドメインのルート（
@）にTXTレコードとして登録します。 - 画面に戻って検証を実行します。
DNSの変更が行き渡るまで最大24時間かかります。その場で完了しない場合は、後からドメインを管理する画面に戻って検証を再開できます。TXTレコードをルートに置く必要があるため、DNSの管理が別の部門や委託先にある場合は、依頼にかかる時間を見込んでください。
複数のドメインを扱う
ドメインを追加すると、レポートの対象が広がります。同じ組織で複数のドメインを使っている場合は、片方をもう片方の別名として登録できます。使わなくなったドメインは削除できます。社名の変更や統合で旧ドメインが残っている場合、古いアドレスほど過去の漏洩に含まれている可能性が高いため、削除せずに対象へ残す判断もあります。
レポートを読む
レポートから違反報告のカードを開きます。上段には、何人が何件の漏洩に含まれているかが出ます。その下が漏洩ごとの一覧です。
漏洩した情報の種類はタグで表示されます。メールアドレス、ユーザー名、氏名、電話番号、生年月日、居住地域、パスワードなどに分かれ、パスワードを含むものは強調されます。パスワードが含まれる漏洩とメールアドレスだけの漏洩では対応の緊急度が違うので、まずこのタグで仕分けてください。
並べ替えと絞り込みができます。漏洩ごとに対象者を絞る、情報の種類で絞る、チームメンバーの状態で絞る、といった操作です。スパムリストを隠す切り替えもあります。スパムリストは情報漏洩ではなく、収集された個人情報の寄せ集めです。件数を押し上げるので、報告用の数字を作るときは除外した状態で数えてください。
影響を受けた人に通知する
画面の通知の操作を選ぶと、影響を受けたチームメンバーに自動のメールが届きます。1Passwordを使っていないアドレスには、組織への招待もあわせて送られます。
メールの本文には、その人が含まれている漏洩の一覧と、パスワードの変更、Watchtowerでの点検、通知の有効化という3つの案内が入ります。サービス名と発生日、漏洩した情報の種類がそのまま並びます。
【注意】 通知の対象は1Passwordのチームメンバーだけではありません。検証したドメインのアドレスであれば、退職者のアドレス、部門の共有アドレス、委託先に発行したアドレスも対象に入ります。招待まで送られるため、社外の関係者に組織のアカウントへの参加を促すメールが届くこともあります。実行の前に、対象の一覧をCSVに書き出して宛先を確認してください。
通知の前に決めておくこと
このレポートは、押せばすぐにメールが飛ぶ作りになっています。3つを決めてから実行してください。
宛先を棚卸しする
CSVに書き出して、退職者、共有アドレス、委託先のアドレスを洗い出します。1Passwordを使っていないアドレスは、そもそも招待の対象として適切かを人事や総務と確認します。ここで外すべきアドレスが見つかった場合は、通知の前にドメインの構成か対象の範囲を見直します。
社内の案内を先に出す
自動のメールは1Passwordから届きます。インサイトから送る通知の差出人はno-reply@1password.comです。事情を知らない人が受け取ると、フィッシングだと判断して通報するか、そのまま無視します。情報システム部門からの予告を先に出し、そのうえで通知を送ってください。予告には、差出人のアドレス、届く理由、対応の期限を書きます。
パスワードを変える範囲を決める
漏洩に含まれていたのは、その外部サービスのパスワードです。ただし実務では、同じパスワードを別のサービスで使い回している場合に被害が広がります。対象者には、当該サービスに加えて、同じパスワードを使っている全てのサービスを変更してもらう前提で案内してください。Watchtowerの使い回しの分類を先に見てもらうと、本人が変更の範囲を判断できます。