防御は買うものではなく続けるものです
一つの道具や設定で記者が安全になることはありません。効くのは習慣です。
守るものを見積もり、それに見合う対策をとり、担当や相手が変わったら見直す。この繰り返しです。
この文書は既存の手引きを置き換えるものではなく、防御が破られたあとに何が分かるかを扱います。
まず見積もりから
道具を選ぶ前に四つの問いに答えてください。何を守るのか、誰から守るのか、相手に何ができるのか、破られたら何が起きるのか。
地域の不正を追う記者と、安全保障を追う記者とでは、相手も必要な備えも異なります。
効果の大きい対策
- 認証は物理鍵やパスキーを使い、SMSの確認番号に頼らない
- 端末とパソコンの記録媒体をすべて暗号化する
- 重要なやり取りは端末間で暗号化される連絡手段を使う
- アカウントごとに異なるパスワードを保管する仕組みを使う
- 更新をためない。狙われる不具合の多くは修正済みのものです
- 取材用の環境と日常の環境を分ける
防御では足りないとき
備えは攻撃の入口を大きく減らしますが、免疫にはなりません。
操作を必要としない攻撃の例が報告されており、利用者に落ち度がなくても侵入されることがあります。
すでに何かが起きたと考える理由があるとき、必要なのは長い手引きではなく確認です。
検査で分かること
不審な接続の記録、勝手に作られた転送設定、見覚えのない設定情報、既知の不正なソフトウェアと一致する痕跡を探します。
取材源の秘匿を守るため、検査の対象はご自身または報道機関が権限を持つ端末とアカウントに限ります。
