背景
Graphisoftは、BIM設計ツール「Archicad」や「BIMx」などのクラウドサービスを運営する際に、ユーザーの認証基盤となるGraphisoft IDを中核として位置づけています。同社は累積して数十万単位のユーザーベースを抱えており、これらのアカウントには氏名やメールアドレスといった個人情報に加えて、ライセンスキーなどの重要な資産が紐付けられています。近年、クラウドサービスへの不正アクセスやデータ漏洩のリスクが急速に高まっており、大手SaaS企業ではセキュリティ強化が経営課題になっています。Graphisoftもこうした業界動向に対応する形で、ID管理戦略の全面的な見直しを実施することにしました。
内容
今回のセキュリティアップデートには、大きく2つの対応が含まれます。第一は「非アクティブアカウントに対する強制パスワード変更」です。Graphisoft IDは、Archicad、BIMx、BIMcloud SaaS、Graphisoftのサービスサイト、Community、Learn、Webstore など複数のプラットフォームに連携しており、これらのいずれにも2023年以降サインインしていないアカウントが最初の対象となります。その後のフェーズでは、1年以上利用されていないアカウントに対象を拡大する予定です。パスワードリセットは、サインインページの「Forgot password?」機能から実施できます。第二は「CAPTCHAの導入」で、登録およびサインインプロセスに段階的に導入されます。新規登録時には必須化され、サインイン時には複数回のログイン失敗や不審なアクセスパターンが検出された場合に表示されます。加えて、多要素認証（MFA）の有効化も推奨されています。
技術的ポイント
Graphisoft IDのセキュリティモデルは、業界標準のアイデンティティ管理手法に沿っています。非アクティブアカウントへの強制パスワード変更は、パスワード再利用検査やクレデンシャルスタッフィング攻撃への対抗手段として機能します。CAPTCHAは、自動化されたボット攻撃やブルートフォース攻撃を防止する古典的かつ有効なメカニズムです。従来のCAPTCHAに比べて、最新のreCAPTCHA v3のような実装では、ユーザー操作を最小化しながら背後で自動的にスコアリングするアプローチが主流となっています。MFAの導入は、パスワード漏洩後の不正アクセスを実質的に阻止でき、金融機関やSaaS企業で採用が急速に進んでいます。Graphisoftの多段階展開戦略は、既存ユーザーへの急激な負担を避けつつ、段階的にセキュリティレベルを引き上げるための現実的なアプローチです。
業界への影響
BIM・AEC業界では、設計データやプロジェクト情報の機密性が極めて重要です。Archicad のような設計ツールがクラウド化していく過程で、認証セキュリティの強化は必須条件となっています。特に国際競争力を持つArchicadやAutodesKのRevit、Bentleyのいずれもが、クラウドプラットフォームの拡充とセキュリティ投資を並行して進めています。Graphisoftが今回実施する強制パスワード変更やCAPTCHA導入は、グローバルなBIMツール市場全体が採用している標準的なセキュリティプラクティスと合致しています。設計事務所やゼネコン、サブコン側からは、こうしたセキュリティ強化が契約者属性の確認や法令遵守（例：GDPR対応など）の観点から歓迎される傾向が強まっています。一方、非アクティブアカウント対策により、実務者が一度サービスから離脱すると再利用の障壁が上がる点は、ユーザーリテンション戦略とのバランスを要求します。