セキュリティを気にしていたり、ISMSやISOのセキュリティ規格を
とっている会社とかなら、多少なりとも意識しているであろう、
パスワードの管理について。
CIAの偏りすぎはダメで、可用性が低いと結局だれも使わなくなったり、
付箋にパスワード書いて貼っちゃったり。
機密性が無いのは話にならないし。
ちなみにCIAっていうのは、以下の略。
Ｃ：機密性 (Confidentiality)
Ｉ：完全性 (Integrity)
Ａ：可用性 (Availability)
このまえ、セキュリティを専門に研究しているひとと話す機会が
あっていろいろ聞いたので、メモっときます。
-----------------------------------------------
■有効期限
30日で強制でパスワード変更させるというのは、現実的には、
むしろセキュリティに弱い！！らしい
30日で変更するような運用にすると結局、自分が覚えやすいパスワードを３つくらい
用意して順に変更するだけで、自分が覚えやすいパスワードになってしまうから、
パスワードとしては、比較的わかりやすいものになってしまうとのこと。
■パスワード文字数
パスワード文字数を8文字にするのは、生年月日にしてしまうから駄目。
■それで？
いろいろ考えると、
有効期限は設定しないで、20文字とかで英数記号混在のパスワードを使うのが、いいらしい。
-----------------------------------------------
まあ、だれが使うかとか、対象が何かとかによっても、いろいろあるんだろうけど、
ためになる話でした。