パソコンにはスクリーンセーバーという機能があることをご存じでしょうか。これは離席時にディスプレイの内容を盗み見されることを防ぐ機能ですが、効果的に使っている方は少ないかもしれません。この記事では、スクリーンセーバーの目的と、適切な設定方法についてご紹介します。
また、LRMでは、そうしたセキュリティ対策を従業員が適切に行えるための教育を効果的・効率的に行っていただける情報セキュリティ教育クラウド「セキュリオ」をご提供しております。
また、企業がやるべきセキュリティ対策をまとめた14分野30項目のチェックシートを無料で配布しています。
貴社ではどれくらいセキュリティ対策ができているのか、あとは何が必要なのか、ご確認ください。
そもそもスクリーンセーバーの時間を何故設定するのか
そもそもスクリーンセーバーは、なぜ必要なのでしょうか？
この答えの一つが、他人にスクリーンを盗み見られることを防ぐためです。
業務にパソコンが使われ始めたばかりの十数年前では、多くの企業では情報セキュリティに対する意識が低く、パソコンにスクリーンセーバーを設定している社員は、ごく少数でした。そのため、ほかの社員がトイレなどのために離席するたびに、外部からスクリーンの内容が丸見えになっていることも多かったのです。
しかしスクリーンセーバーを起動していれば、作業中のパソコンのディスプレイの内容を見られることはなくなります。スクリーンセーバーを起動するのは、この理由のためです。
では、そのスクリーンセーバーの時間は？
それでは、スクリーンセーバーが起動する時間として、具体的にどの程度の時間を設定するべきでしょうか。
その答えは、IPAのWebサイトでは、CCEの情報として公開されています。
CCEとは共通セキュリティ設定一覧CCE（Common Configuration Enumeration）のことで、プログラムの設定上のセキュリティ問題を解決するための仕様のことです。コンピュータのセキュリティ設定項目に一意の番号（設定項目識別子）を付与して管理されています。
このCCEでは、コンピュータのベースラインのセキュリティを確保するために必要となる設定項目を一覧として提供されており、セキュリティ設定項目に問題のない設定が施されているかどうかをチェックするためのチェックリストとして使用できます。
その中では、スクリーンセーバーの設定値は15分以内が推奨されています。ちなみに、LRMでは、5～10分以内での設定を推奨しています。
Windowsのデフォルト設定は20分くらいだったと思います。そのため、20分でもいいではないか、と思われるかもしれません。
実は20分でも問題はありません。ただ、弊社では、この時間は好ましくないと考えています。
なぜなら20分間もパソコンを放置している、ということはその分スクリーンを盗み見られるリスクが高まるからです。
例えば重要な情報を画面に表示したまま、隣の席の人と会話していた場合、20分の間に席の後ろを通るのはいったい何人でしょうか。10分であれば、当然20分より少なくなるでしょう。
では5分以下はどうか。もちろんセキュリティ上はとても好ましくなります。
ただ、5分以下にした場合、例えば画面上で書き上げた書類の内容をチェックしている間にスクリーンセーバーが起動してしまって、今度は業務に支障がでるでしょう。
余談ですが、私が今まで経験したスクリーンセーバーの最短設定時間は、1分でした。
隣の人との簡単な打ち合わせや、文書の確認、その度にさっと画面がブラックアウトしてしまうため、常にマウスを動かしながら文書を読むなんてことをやっていました。
つまりスクリーンセーバーの起動時間を5分から10分に設定するのは、セキュリティ上の問題と業務上の利便性のバランスが取れた時間と言えます。
スクリーンセーバー解除のパスワード推奨は10桁以上の英大文字小文字+数字+記号
スクリーンセーバーには、解除するためのパスワードを設定することができます。パスワードが設定されたスクリーンセーバーが起動していると、解除するためのパスワードの入力が求められます。
このスクリーンセーバーを解除する際のパスワードはどのように設定したらよいのでしょうか。
内閣サイバーセキュリティセンターの「インターネットの安心・安全ハンドブック」では、英大文字小文字+数字+記号で10桁以上のパスワードが推奨されています。このように設定されたパスワードは、合計で88種類の文字が使われることになり、10桁のパスワードを作ったとすると、約2785京個の組み合わせのパスワードが考えられます。これは1秒あたり5回の総当たり攻撃を想定しても、解読までに約1760億年かかる計算です。
さらに最近では、ログインの際には多要素認証の利用が推奨されています。これは昨今のゼロトラストなどの概念の広まりによるものです。
ゼロトラストとは、その名前の通り「何も信用しない」ことを表している概念です。従来のセキュリティの考え方では、ファイアウォールの内側のネットワークは安全、外側のネットワークは危険と判断していました。
しかしクラウドなどの普及につれて、重要なデータがファイアウォールの外側のネットワークに保存されるケースが増えてきました。さらにサイバー攻撃の進化に伴い、ファイアウォールの内側であっても、安全とは言いきれなくなってきています。つまり従来のセキュリティ対策では、情報資産を守りきれなくなってきているのです。
このような事情もあり、ゼロトラストはセキュリティ対策のスタンダードになりつつあります。具体的には、サイバー攻撃への素早い検知と対策を可能とするEDR（Endpoint Detection and Response）やIAM（Identity and Access Management）などの方法を採用してセキュリティ対策がなされています。
離席する際にはスクリーンセーバーではなく画面ロックをすること
Windowsでは、トイレや打ち合わせなど、明確に離席することが分かっている時は、スクリーンセーバーの起動を待つのではなく、自ら操作して画面ロックを活用するのが効果的です。具体的には、キーボードのWindowsキーとLを同時に押すと、即座に画面ロックがかかります。一度画面ロックがかけられたら、解除するためには、ログインIDとパスワードが必要になります。
この画面ロックをすることで、安易に他者からの操作をされなくなります。スクリーンセーバーはあくまで画面ロックを忘れた際の救済措置として考えるべきでしょう。
スクリーンセーバーを動作させる際にPC自体のワイヤーロックも忘れない
たとえスクリーンセーバーや画面ロックでログインを容易にできなくしたとしても、PCそのものが持ち去られる可能性も無視できません。特にノート型パソコンは簡単に持ち運び可能なため、適切な管理が欠かせません。
そのためには、ワイヤーロックで机などに確実にPC本体をロックしておくことも重要です。特にノートPCの場合は必須と言えるでしょう。
ワイヤーロックには鍵式のものとダイヤル式のものがあるが、自社のセキュリティポリシーによって選択しましょう。鍵式のものは、鍵さえなければワイヤーロックは破れないが、鍵紛失のリスクがあります。一方、ダイヤル式のものは、鍵の紛失などの心配はありませんが、盗難者が時間をかければロックは解除されてしまうものと考えた方が良さそうです。
スクリーンセーバーよりもスリープなら節電になる
パソコンのディスプレイがブラウン管だったころは、スクリーンセーバーは画面の焼き付けを防止するために設定されているものでした。ブラウン管の場合、静止している映像を長時間表示させたままにしておくと、その映像がブラウン管に焼き付いてしまうという現象があったのです。
しかし液晶型のディスプレイの普及にともない、ブラウン管のディスプレイは少しずつ姿を消していき、焼き付きを気にすることはなくなりました。
ちなみにパソコンにはスクリーンセーバーのほかに、スリープと言う機能があります。
スリープとは、一時的にパソコンの動作を停止させる機能であり、スクリーンセーバーと比べて高い節電効果があります。さらにスリープ状態からの復帰もすぐに可能です。
ただし、スリープ動作から復帰することで動作が不安定になるソフトも稀にあります。パソコンで使用しているソフトとの相性をみながら、スクリーンセーバーとスリープのどちらを使って、パソコンの盗み見を防止するのか、予め決めておくと良いでしょう。
まとめ
パソコンのスクリーンセーバーという機能が何のためにあるのか分からなかった方も、この記事で、その機能や目的を理解していただけたかと思います。記事で紹介したように、今のパソコンの多くは、画面ロック機能があるため、スクリーンセーバーの起動を待たずに、手動で画面ロック機能を使った方が、セキュリティ対策としては望ましいでしょう。いずれにせよ、離席時にディスプレイの内容を第三者に盗み見されなくする機能です。しっかりと活用してセキュリティ対策を万全にしましょう。
企業がやるべきセキュリティ対策 チェックシートはこちら。
