セキュリティを確保せよ

システムの開発や運用をしている会社での話。

あるシステムを利用する全てのユーザーに、新しくアカウント（ユーザIDとパスワード）を発行しようということになった。

それまでは、そのシステムを開発やテストで使う場合には、共通のアカウントが使われていた。誰もが同じユーザーIDとパスワードを使って、システムを使っていたわけだ。しかし、それではセキュリティ的に問題がある。これからはユーザーごとにアクセスを制御し、利用状況もログに記録しよう、ということになったのである。

★
しかし、発行されたユーザーIDとパスワードの一覧を見て驚いた（もちろん、一覧が閲覧できるのは限られた人間である）。ユーザーID は数字の連番、パスワードは、全員が同じ "guest" なのである。

例えば、私の ID が "005" なら、隣の席のＮさんは "006" だ。Ｎさんのパスワードも "guest" だから、私はＮさんのフリをして、そのシステムを使うことができる。ID を適当な数字にすれば、誰か知らない人になりすましてログインすることもできるだろう。

全てのユーザーが、発行後すぐに自分のパスワード変更するという前提なら、このような運用でも、問題はないのかもしれない。しかし、実際にはそんなことは望めない。しかも、このシステムでは、自分のパスワードを変更することができない（管理者に申請するしかない）のだから、なおさらである。

★
言うまでもないことだが、セキュリティはシステム（仕組み）だけでは確保できない。人間がその仕組みをどう使うかが肝心なのである。

クリックお願いします →