柳谷智宣がAdobe Acrobatを使い倒してみた 第48回

PDFを安全に保護できるパスワードの付け方と伝え方

本連載は、Adobe Acrobatを使いこなすための使い方やTIPSを紹介する。第48回は、PDFを安全に保護できるパスワードの付け方と伝え方。

PDFを安全に保護できるパスワードの運用方法

　Acrobat DCは、PDFファイルに文書を開くパスワード（ユーザーパスワード）や権限パスワード（マスターパスワード）を設定できる。（「第4回　PDFファイルに印刷禁止やコピー不可のセキュリティをかけてみる」参照）ビジネスで重要情報をやりとりする際に便利な機能だが、きちんと運用しないと効果が薄れてしまう。今回は、PDFを安全に保護するために必要な、パスワードの運用方法を紹介しよう。

　まずはPDFファイルを開き、「ファイル」メニューからプロパティを開く。続いて「セキュリティ」タブの「セキュリティ方法」をクリックし、プルダウンメニューから「パスワードによるセキュリティ」を選ぶとセキュリティ設定画面が開く。「文書を開くときにパスワードが必要」や「文書の印刷および編集を制限。これらの権限設定を変更するにはパスワードが必要」にチェックし、パスワードを入力すればいい。

　パスワードの右側には、パスワード強度メーターがあり、入力した文字列を解析して安全度を判定してくれる。弱／中／強／最強の4段階があり、最低でも強はクリアしておきたいところ。数字だけとかアルファベットの一般単語では、不正アクセスされてしまう可能性があるからだ。

PDFファイルの「ファイル」メニューからプロパティを開く

「セキュリティ」タブの「セキュリティ方法」をクリックし、プルダウンメニューから「パスワードによるセキュリティ」を選ぶ

「文書を開くときにパスワードが必要」や「文書の印刷および編集を制限。これらの権限設定を変更するにはパスワードが必要」にチェック

パスワードを入力すると強度を判定してくれる

セキュリティのためにも、十分に複雑なパスワードを設定しよう

　IPA（情報処理推進機構）によると、パスワードは最低8文字以上で、アルファベットの大文字と小文字、数字、記号を混在させることを推奨している。また、当然ながら推測されやすい文字列を利用するのはNGだ。しかし、2017年末にセキュリティ企業が発表した最悪のパスワードリストTOP100の上位には、「123456」「password」「letmein」「hello」といった文字列がランクイン。これらは、辞書アタックという方法で速攻突破され、不正アクセスされてしまうので使わないように。

　筆者は企業とデータをやりとりすることが多いのだが、せっかくPDFにパスワードをかけているのに、そのパスワードが「企業名＋2018」とかだったりする。しかも、1年くらいはパスワードを変更せず、使い回している。これではせっかくの暗号化機能も突破されてしまう可能性がある。

　パスワードは8文字、できれば10文字にすること。そして、アルファベットの大文字と小文字、数字、記号のすべてを混在させる必要がある。とはいえ、ランダムな文字列を考えるというのも意外と難しいもの。そこで活用したいのがパスワードジェネレーターだ。桁数や利用する文字の種類を設定すると、ランダムなパスワード候補を一瞬で生成してくれるというものだ。その文字列をコピーして、Acrobat DCに設定し、同時に送信する相手にも伝えればいい。

　セキュリティソフトやパスワード管理ソフトなどに搭載されていることが多く、ウェブサイトで公開されているサービスもある。定番セキュリティソフトを手がけるノートンも「パスワードジェネレータ」というウェブサービスを公開している。パスワードの長さや文字の種類を指定し、「パスワードの生成」をクリックするだけでランダムな文字列が得られ、手間がかからない。

今でも平易なパスワードを使っている人は多い

ノートンの「パスワードジェネレータ」を利用する

手軽に強固なパスワードとして使える文字列を生成できる

　次に、注意したいのがパスワードを伝える方法だ。今でも筆者のところには、2通連続でメールが届くことがある。1通目で暗号化されたファイルが送られてきて、2通目の本文にパスワードが記載されているというものだ。この方式は、誤送信防止にも電子盗聴防止にもならず、ほとんどセキュリティ的には意味をなしていない。IPAの「新5分でできる！　情報セキュリティ自社診断」でも、暗号化に利用したパスワードは「電話などの別の手段で通知すること」とされている。

　とはいえ、ランダムな10桁の文字列を電話で連絡するのも面倒。可能であれば、ビジネスチャットやグループウェアなど、メール以外の手段で伝えられると安心だ。それが無理な場合は、メールに最後の文字だけを抜いたパスワードを記載し、電話で最後の1文字だけを伝えるという手もある。簡単に伝えられるし、入力ミスも防止できる。

IPAが配布している冊子でも、パスワードは別送するように明記されている

ファイルを送ったメールとは別に、ビジネスチャットやグループウェアでパスワードを伝えよう

　セキュリティ設定の「オプション」部分では、「文書のすべてのコンテンツを暗号化」を選んでおく。どうしても暗号をかけた状態で検索できるようにしたいなら、「文書のメタデータを除くすべてのコンテンツを暗号化」を利用すればいい。また、「互換性のある形式」では、Acrobat 6.0以降、7.0以降、X以降の3種類が選べる。古いバージョンまでサポートする方が丁寧に思えるが、その分暗号化強度が低くなる。Acrobat 6.0以降だと128-bit RC4、7.0以降は128-bit AESを採用しているのだ。X以降だと最強レベルの256-bit AESで暗号化される。可能であれば、X以降を選ぶと安心だ。もちろん無料で公開されているAcrobat Reader DCも対応しているので、特に不都合はないだろう。

互換性形式に「Acrobat Xおよびそれ以降」を選ぶと、強力な暗号化方式を利用できる

■関連サイト

• Acrobat DC