かつての勤務先ではシステム全般の管理と構築に関わってました。
当然パスワード管理は大事です。
プライバシーマークとかやってると、余計に厳しくしなければいかん訳です。
「パスワードの定期的な変更をお願いします」と当然なりますよね。
一昔前だったら、少し面倒ですが、まあ、実行可能でした。
社内でも、いやな顔をされつつも、各部署にお願いしてました。
近年ではシステムはなくてならないものとなり、数も増え、パスワードも複数覚えてないといけない状況になりました。
私も管理者でもあったので、10や20個は記憶してました。
しかしそれを定期的に変えるというのは、苦痛でした。
はっきり言うとズルシテマシタ。
どうスルしてたかは言いませんが。
自分は兎も角、一般社員に定期的なパスワード変更を要求するのはかなり困難でした。
・6~12文字、それ以下はダメに決まってるだろ
・大文字小文字を混ぜろ、数字も入れろ、記号も使え
・ぞろ目なんてもってのほかだ
・誕生日、社員番号、電話番号、郵便番号、名前なんて連想するのもイカン
・他のシステムとの使いまわしはダメ
・1回使ったパスワードは当分使えないからな
・パスワード変更しないとシステムに入れんくなるよ
・メモなんてデスクに貼ってたらシステム使えなくするぞ
てな事を押し付けるわけです。
当然、嫌われますな。
まあ、自分も無理だと思ってたわけです。
各自に考えてもらうのは無理だと、こちらで自動生成したものを渡すようにしたりしました。
でも完全に強制しない限り(変更しないと入れないとか)、形骸化するわけです。
それで事故がないと落ち着いちゃったりするんですね。
IT企業や大企業さんだと、きっちり実行されるんでしょうが、小さくてゆるい会社じゃ無理です。
現実的な対応になるわけです。
で、セキュリティ責任者なんて正義の味方が登場しちゃったりして、そいつが「きっちりやりましょう!」
なんて、寝た子を起こすようなこと言い出すわけです。
いいかげんな社員の私たち困るわけです。
で、ある時思いました。
そもそも定期的な変更って意味あんのか??
それを部内でぶつけてみると、誰も明確に反論できないわけです。
不正を働こうとするものから見れば、パスワードの変更って特に意味を持たないんじゃないか。
今まで不正に進入してきてて、突然のパスワード変更だったら意味がある。そも、それが発覚したら別な問題。
ソーシャルエンジニアリングの手法で長期間に渡って入手途中というのもある?もうちょっと解る直前とか?ないやな。
あるいは、気長なブルートフォースアタックでいつか当たるみたいなことをされてたら。んーどうなんでしょ。
逆に定期的な変更時が一番危ないんじゃないか。
定期的変更の理由がよく解らない...。
そうしたら、ニュース記事がでてましたよ。
「パスワードは定期的に変更してはいけない」--米政府
ねー、やっぱり。
他にもその危険性については論じられているようです。
で、対応としてその頃は、安価な生体認証とかワンタイムとかを探してたりしました。
その後、退職しちゃったんで、今はどうなのか知りません。
変更しないほうがいいってことじゃなくて、定期的に変更してるから安心みたいなことは違うんじゃないのってことです。
リスクはどんなものでもあるんで、組み合わせて二重三重に対策しておくのが良いと思います。