組織の保管庫に保存されたアイテムをWatchtowerが点検した結果を、1枚にまとめたレポートです。弱いパスワードや侵害されたサイトが、どの保管庫にいくつあるかを分類ごとに数えられます。注意が要るのは母集団です。集計に入るのは直近のサイクルで情報が更新された保管庫だけで、アカウント内の全保管庫ではありません。ここを知らずに件数を報告に使うと、実態よりも問題が少なく見えます。このページでは最初のレポートの作成から、読み方、Watchtowerでの是正、データが欠ける仕組み、外部に出る情報までを説明します。個人が自分の保管庫を点検する手順はWatchtowerで自分のパスワードを点検するで扱います。
何を集計しているか
対象は共有保管庫と従業員保管庫の両方です。分類は8つあります。
| 分類 | 何が該当するか |
|---|---|
| 侵害されたサイト | 情報漏洩が報告されたサイトのログインで、報告の後にパスワードを変えていないもの |
| 脆弱なパスワード | 漏洩データに現れたことのあるパスワード |
| 使い回しのパスワード | 同じパスワードを使っている複数のアイテム |
| 強度の低いパスワード | 推測されやすいパスワード |
| 安全でないサイト | HTTPSに対応しているのにURLがhttpで登録されているログイン |
| 2要素認証 | 2要素認証に対応しているのにワンタイムパスワードが登録されていないログイン |
| 期限切れのアイテム | 有効期限が過ぎた、または近づいているアイテム |
| 別のアカウントのアイテム | ほかの1Passwordアカウントに属するとみられるアイテム |
最後の分類はポリシーの共有と許可にある仕事用アイテムを探すの設定に基づいて判定されます。ポリシーの内容によって件数が変わるので、他社の数字と比べても意味がありません。
最初のレポートを作成する
ここからは1Passwordの管理コンソールでの操作です。初回だけ所有者が有効化する必要があります。
- サイドバーの
レポートを選びます。 - ビジネスWatchtowerのまとまりで、最初のレポートを作成する操作を選びます。
- 開始の操作を選びます。
有効化の後は、ビジネスWatchtowerレポートのカードで表示を選ぶと最新のレポートが開きます。開けるのは所有者とセキュリティグループのメンバーだけです。管理者グループに入れても出てこないため、レポートの担当者を決めるときは所属するグループを先に確認してください。
レポートを読む
画面は上から順に、全体の集計、分類ごとの件数、保管庫ごとの一覧という3段です。
上段で母集団を確かめる
アカウント内の保管庫の総数、そのうち集計できた保管庫の数、アイテムが1件もない保管庫の数、問題が見つかった保管庫の数、問題の総数が並びます。最初に見るのは、総数と集計できた数の差です。ここが開いていれば、その下に出ている件数は一部の保管庫だけを数えた値になります。最も多い分類の名前も上段に出るので、是正の優先順位を決める入口になります。
分類ごとの件数を見る
8つの分類それぞれの合計です。件数の多さと危険度は一致しません。2要素認証の未設定は数が膨らみやすい一方、侵害されたサイトは1件でも先に手を付ける対象になります。件数の合計を目標値にすると、直しやすい分類から消していくだけの作業になります。
保管庫ごとの一覧を絞り込む
下段は、保管庫の名前、種類、問題の合計と分類ごとの内訳です。種類は共有保管庫と従業員保管庫に分かれます。表の上のメニューで、表示する保管庫の種類と分類を絞り込めます。CSVに書き出す操作も同じ画面にあります。棚卸しの記録として残すなら、絞り込む前の状態で書き出してください。
Watchtowerで是正する
一覧の保管庫名を選ぶと、その保管庫のWatchtowerへ移動できます。分類ごとの数字を選んだ場合は、その分類のアイテムだけに絞った状態で開きます。
自分がアクセス権を持たない保管庫は、件数までしか見えません。従業員保管庫と、参加していない共有保管庫が該当します。この場合は保管庫の管理者に依頼する導線が出ます。レポートを見る人と直す人が分かれる構造なので、担当者1人では完結しません。四半期の棚卸しにこのレポートを使うなら、保管庫ごとの依頼先を先に一覧にしておくと止まりません。
データが欠ける仕組み
保管庫の集計値が更新されるのは、その保管庫にアクセスできる誰かが1Password.comかブラウザー拡張機能にサインインしたときです。更新の間隔は最短でも24時間です。
【注意】 更新の契機になるのは、1Password.comとブラウザー拡張機能へのサインインの2つです。デスクトップアプリとモバイルアプリを使っていても、保管庫の集計値は更新されません。拡張機能の導入率が低い組織や、特定の担当者しか開かない保管庫では、母集団が大きく欠けたままになります。件数を社内やセキュリティー審査の場で示す前に、上段の総数と集計できた数を必ず突き合わせてください。
情報が取れていない保管庫と、情報が古い保管庫には、一覧の中で印が付きます。アクセス権を持つ誰かがサインインすれば、そこから24時間以内に更新されます。母集団を増やしたい場合は、レポートを作る前にブラウザー拡張機能の導入を進めるのが近道です。導入状況は利用状況と定着のレポートのアダプションレポートで確認できます。
何が外部に出るのか
セキュリティー審査で必ず聞かれる点です。Watchtowerの判定は利用者の端末の中で完結します。使い回し、強度の低さ、安全でないサイト、期限切れは、端末内の照合だけで判定されます。侵害されたサイトと2要素認証の対応状況は、1Passwordが配信する一覧を端末にダウンロードして、端末内で突き合わせます。保存しているサイトの一覧が外部に送られることはありません。
漏洩済みパスワードの照合だけは外部のサービスを使います。ただし送るのはパスワードのハッシュの先頭5文字だけです。同じ5文字で始まるハッシュの一覧が返り、比較は端末内で行われます。パスワードそのものは外部に出ません。
【運用のポイント】 従業員保管庫が集計の対象に入る点は、ロールアウトの前に説明してください。管理者に見えるのは保管庫ごとの件数だけで、アイテムの中身は見えません。この説明がないまま従業員保管庫の件数を含む資料が回ると、私物の情報を見られていると受け取られます。説明の材料はセキュリティー審査への回答の作り方にまとめます。