1: 名無しさん＠涙目です。(愛知県) [DE] 2018/04/15(日) 02:08:28.17 ● BE:218927532-PLT(13121)
67index

インターネットで、「パスワードを覚えられない危機意識の低い社員が多いことに唖然とする」と、
セキュリティ担当者の怒りの投稿が炎上ぎみの騒ぎを起こしている。
「何様のつもり」「やり過ぎ」という批判だけでない。じつは最近、「パスワードの変更は不要」という潮流になっているというのだ。

話題のきっかけは、女性向けサイト「発言小町」（2018年3月11日付）への投稿。
会社の情報システム部門でセキュリティ対策のマネージメントをしているという人が、セキュリティ強化のため、
「3か月に1回だったパスワード変更を1か月に1回にする」と伝えたところ、社員から不満の声があがった。
そればかりか、社員の中には2つのパスワードを使い回して交互変更している者もいて、
「社員のセキュリティ感覚の低さは病気としか言えないレベルだ」と、悲憤慷慨した。

社員がパスワードを3回間違えるとログインできない設定にしているが、パスワードを忘れてパソコンの初期化を頼みにくる者が後を絶たない。
「彼らは『紙に書かないように言われた決まりを守ったからだ』などと言い訳をし、私に逆ギレの態度だ。どうしたら社員の危機意識を
正常にできるだろうか」とアドバイスを求めたのだった。

この投稿に、「社員の危機意識なんてどこでもそんなもの。そこを社員に負担をかけずに安全策を講じるのがセキュリティ担当者の
仕事ではないか」と、猛反発する声が大半。

たとえば、「あなたはシステムのお守りが仕事かもしれないが、社員はそうではない。毎月パスワードを変えさせれば、
どこかに記録しておかないと忘れるのがふつうだ。パスワードを覚えさせることに執着せずに、他のもっとユーザーに
優しい認証方法を検討すべきだ。カード認証や指紋認証、顔認証、それらを合わせた二要素認証などいろいろある」。

また、「何回もパスワードを変更する方法は古い。最近はパスワードを変更しなくてもいい風に変わっている」と、
投稿者のセキュリティ担当としての「資質」に疑問を投げかける人も多くいた。
パスワードを数字やアルファベットの大文字小文字を組み合わせた複雑なものにする。
そして定期的な変更はせず、流出時は速やかに変更するのが最近の流れだ」と、専門家のような指摘もあった。

http://news.livedoor.com/article/detail/14579258/
< 引用元: http://hayabusa9.5ch.net/test/read.cgi/news/1523725708/br />br />br />
2: 名無しさん＠涙目です。(東京都) [US] 2018/04/15(日) 02:10:12.79
> 話題のきっかけは、女性向けサイト「発言小町」（2018年3月11日付）への投稿。

終了

17: 名無しさん＠涙目です。(dion軍) [JP] 2018/04/15(日) 02:23:04.11
>>2
これ

3: 名無しさん＠涙目です。(庭) [CA] 2018/04/15(日) 02:10:26.32
パズワードはパスワードです

4: 名無しさん＠涙目です。(広島県) [ﾆﾀﾞ] 2018/04/15(日) 02:11:01.77
パスワードコロコロ変えると覚えられないから、
忘れてもすぐに手の届くところにメモ用意しちゃって逆にセキュリティ甘くなる

5: 名無しさん＠涙目です。(dion軍) [KR] 2018/04/15(日) 02:12:24.20
そもそも覚えられるパスワードは安全ではない

37: 名無しさん＠涙目です。(長屋) [ﾆﾀﾞ] 2018/04/15(日) 02:43:04.21
>>5
英数記号16桁は手が覚える
おそらく24桁も行ける
8桁の組み合わせだと思えば意外とちょろい

343: 名無しさん＠涙目です。(東京都) [US] 2018/04/15(日) 11:16:20.63
>>37
パスワードを数式にして１００ポイント以上一致にすればいい
どんなにアタックしてもほぼ解析不能

6: 名無しさん＠涙目です。(関西地方) [US] 2018/04/15(日) 02:14:55.69
アホ「パスワード忘れたんで教えてください」
管理者の俺「いや、俺も知らない」

7: 名無しさん＠涙目です。(茸) [ﾆﾀﾞ] 2018/04/15(日) 02:14:56.90
パスワードは変えても変えなくても破られる確率は一緒です
だからアイフォンはパスワードではなく顔認証なんだろ

9: 名無しさん＠涙目です。(東京都) [US] 2018/04/15(日) 02:16:16.29
俺が使ってる法人向けネットバンキングは3カ月毎に2種類のパスワードを変更しないといけない
しかも過去に使ったパスワードは不可だから紙にメモして残してる
さらにワンタイムパスワードも必要だからめんどくさい

10: 名無しさん＠涙目です。(庭) [US] 2018/04/15(日) 02:16:28.29
trustno1

12: 名無しさん＠涙目です。(四国地方) [US] 2018/04/15(日) 02:20:14.24
パスワード変更意味がないってTwitterのIT詳しそうな連中が言ってるんだけど、
何らかのミスでパスワードが漏れてたけど定期的なパスワード変更で漏れたパスワード使えなくできるって意味では変更は有効だと思うんですけど。

19: 名無しさん＠涙目です。(関西地方) [US] 2018/04/15(日) 02:24:33.19
>>12
それは漏れたら変えたらいいだけで、定期的に変える必要はないよなって話

20: 名無しさん＠涙目です。(四国地方) [US] 2018/04/15(日) 02:29:24.17
>>19
漏れたら変えればよいって、漏れたことに気づいてない場合はどうするの？
パスワード変えなければ時間かけてゆっくり悪さされない？何かのファイルログインしてコピーしてもってかれたりとか。

40: ボックス ◆6iJaDSI5YU (神奈川県) [BO] 2018/04/15(日) 02:44:21.49
>>20
だからパスワードなんて不安定なものじゃなく
生体認証やカード認証など、第三者には利用しにくいものが採用され始めてる

パスワードを使わざるを得ないものは確かに、人為的に漏れる場合があるので、

・人間が平文パスワードを脳内以外で管理しないようにする
・システム管理者で、共通パスワードを使わざるを得ない場合は、担当者に変更があった時に変える

などということを守る方が賢明

219: 名無しさん＠涙目です。(神奈川県) [US] 2018/04/15(日) 07:39:39.36
>>20
漏れたことに気づかせるシステムが無いのが不思議。

googleなら新しい端末からのログインは通知される。
lineでも同じように通知される。

同じ端末からだと侵入は分からないが、カメラを使用してログイン時の顔を撮影する方法もある。

紙に残すやり方もそれなりに有効。紙を見つけられないとパスワードが漏れない。簡単なパスワードを覚えて、それに記号を足す定期的変更法もある。紙には二文字しか書かないし、パスワードそのものではないので見られても平気。

13: 名無しさん＠涙目です。(四国地方) [US] 2018/04/15(日) 02:21:21.83
パスワード変更は意味がないって主張どういう根拠で言ってるんだ？

18: ボックス ◆6iJaDSI5YU (神奈川県) [BO] 2018/04/15(日) 02:24:32.52
>>13
8桁パスワードで考えた場合

10年間変えず破られる確率と
毎秒変えて破られる確率の差

0.000001% だから

ソースは日経コンピュータ2014年10.16号

20: 名無しさん＠涙目です。(四国地方) [US] 2018/04/15(日) 02:29:24.17
>>18
人為的なミスで意図せず漏れる事が無かった場合の確率ということだよね。たぶん。

16: 名無しさん＠涙目です。(catv?) [ﾆﾀﾞ] 2018/04/15(日) 02:22:51.48
頻繁に入力するパスワードなら覚えられるけどな
この場合ログインパスワードなんだったら毎日使うし忘れる方がアホだろ

21: ボックス ◆6iJaDSI5YU (神奈川県) [BO] 2018/04/15(日) 02:29:42.42
>>16
どこに毎日使うシステムって書いてあるよ？
ログインだから毎日？
じゃあおめー、今まで作ったログインするシステム、フリーメールやプロバイダメールとか、ヤフーや楽天やアマゾン、毎日全部手動でログインしてるのかよ？

26: 名無しさん＠涙目です。(四国地方) [US] 2018/04/15(日) 02:35:40.01
>>21
じゃあ毎日使うログインパスワードなんかは変える意味はあるということで良いですか？

56: ボックス ◆6iJaDSI5YU (神奈川県) [BO] 2018/04/15(日) 02:51:40.63
>>26
論理展開が意味不明なんだが？


毎日使うシステムであろうとなかろうと

8桁パスワードで考えた場合
10年間変えず破られる確率と
毎秒変えて破られる確率の差
0.000001% だから
定期的に変える意味はほとんどない
ソースは日経コンピュータ2014年10.16号

んなことより、パスワードを平文で保存することをやめたり、ログイン履歴を確認できたり、ログイン通知が飛ぶようにしたりする方が賢明

23: 名無しさん＠涙目です。(四国地方) [US] 2018/04/15(日) 02:32:06.75
パスワード変えなければ気づかないまま漏れたパスワードで悪さをされ放題だけど、定期的なパスワード変更してれば、そのパスワード変更以降は少なくとも悪さされないじゃない。

33: 名無しさん＠涙目です。(チベット自治区) [EU] 2018/04/15(日) 02:41:03.74
>>23
毎月パスワード変えれなんて言われたら普通は面倒臭いから適当なパスワード設定するだろ
tanaka001→tanaka002→tanaka003 みたいね

そんなヌルいパスワード設定される位ならきっちりした英語大文字小文字数字混じりのパスワードをずっと使ってもらう方が破られずらいってことよ
パスワード流出した場合はtanaka003とかなら正解パスワードすぐに推測されるし

38: 名無しさん＠涙目です。(四国地方) [US] 2018/04/15(日) 02:43:19.45
>>33
というか、今時のシステムだと数字一つ変えたくらいだと前のパスワードと似てますって警告出て変更できなくない？
結構古いシステム使ってます？

24: 名無しさん＠涙目です。(やわらか銀行) [IT] 2018/04/15(日) 02:33:26.17
祗園精舎の鐘の声諸行無常の響きあり・・・・・ってパスワード入れると長いって怒られるところがある。
長くて憶えやすいのがいいと思うんだけど。

27: 名無しさん＠涙目です。(dion軍) [US] 2018/04/15(日) 02:35:47.97
漏れて不正アクセスされた時点でアウトだから無意味だよｗ
ネットバンキングがやられて預金全部どこかに送金された後だったとして、
「よかった今パスワードを変えたから次は無いよ」こんな事を考えるか？ｗ

32: 名無しさん＠涙目です。(四国地方) [US] 2018/04/15(日) 02:38:53.36
>>27
何か盗まれるとかそんな分かりやすいものじゃなくて、社内の機密情報閲覧され続けるって可能性もあるじゃない。

34: 名無しさん＠涙目です。(dion軍) [US] 2018/04/15(日) 02:41:17.16
>>32
社内の機密情報(笑)の場合、全員が一斉に変える訳では無いのだから「定期的に買えても」他の誰かがいるｗ
そもそも、不正アクセスに気づかず情報抜かれ放題な時点でアウトだｗｗｗ

48: 名無しさん＠涙目です。(四国地方) [US] 2018/04/15(日) 02:47:53.71
>>34
全員が同じパスワード使ってるわけじゃないんだからみんな一斉に変わらなくても別に良くないですか？

不正アクセスに気づかず情報抜かれ放題な時点でアウトという意見はそこそこ同意なんだけど、だからこそそういうアウトな状態になったとしても、そんな状態を少なくするようにするべきかと。

究極的にはリモートから会社にアクセスできないようにするしかないけど、そんなことしたらリモートワークできない。

29: 名無しさん＠涙目です。(やわらか銀行) [US] 2018/04/15(日) 02:36:56.55
入り口はカードロックあるんだから、社外ログインさえはじけばパスワード変更なんか要らんと思うがなあ
情シって暇なんだろうな自分らで仕事作り出して人の邪魔する部門

51: 名無しさん＠涙目です。(東京都) [US] 2018/04/15(日) 02:48:43.28
>>29
本当に恐ろしいのは内部犯よ
人事情報を覗きたい。役職者になりすましてメール送信
誤発注で嫌いな奴を失脚etc...etc...
ログは残るかもしれんが記録にある人間と操作した人間が同じと証明するにはどうする？
監視カメラか？それはそれで別問題に発展するが

64: 名無しさん＠涙目です。(やわらか銀行) [US] 2018/04/15(日) 02:55:51.58
>>51
そんな妄想に対応するためにセキュリティやってんのかよｗ
だからさー出入口のカードログでPCの持ち主は席に居ないの分かるだろー？ｗ

73: 名無しさん＠涙目です。(禿) [BR] 2018/04/15(日) 02:58:55.31
>>64
さすがに危機意識低すぎ

86: ボックス ◆6iJaDSI5YU (神奈川県) [BO] 2018/04/15(日) 03:07:28.42
>>73
ICカード導入してるのに
席にいないはずの人間がPC使ったとか
リアルタイムはおろか、事後にもわからないようでは
セキュリティ部門として意識低すぎだよね

237: 名無しさん＠涙目です。(神奈川県) [CA] 2018/04/15(日) 08:04:16.31
>>86
貴方の言うICカードがPCを起動する為の認証用ならごもっとも。(と言うかその為のもんやし)
入退室管理を行う為のものなら出来そうな気もするが
規模の大きい会社だと無理が生じると思う。
ただのドア解錠程度のICカードなら絶対無理

31: 名無しさん＠涙目です。(dion軍) [IT] 2018/04/15(日) 02:38:48.54
パスワードって今時いろんな場所で設定求められるから根幹語彙に数字つけ足したり位置変えるだけになるんよね(´・ω・`)

大幅に変えると覚えられへんし1を2とか3にしていくだけになる(´・ω・`)

定期変更わ無意味(´・ω・`)

42: 名無しさん＠涙目です。(東京都) [US] 2018/04/15(日) 02:45:10.15
× 定期的なパスワード変更は意味が無い
○ 定期的なパスワード変更を強制するとユーザーが破られやすい簡単なパスワードやほかのサービスと共通のパスワードを使いまわすことが多くなり総体としての安全性向上にならない

・パスワードの使い回しは絶対にやめましょう
・類推や総当たりで破られにくくするためになるべく複雑で十分な長さのパスワードを使いましょう　特に長さはちょい手間の割に有効
・当たり前だけど流出した可能性があるパスワードはできるだけ早く変更しましょう

44: 名無しさん＠涙目です。(関西地方) [US] 2018/04/15(日) 02:46:09.19
定期的に変えさせるとズボラするやつが出てくるからな
それが一番のセキュリティリスクになるんだよな

49: 名無しさん＠涙目です。(長屋) [ﾆﾀﾞ] 2018/04/15(日) 02:48:10.12
一ヶ月に一回変更されると
8桁の英数記号でも覚えるのは面倒になって
メモしたり末尾だけ変えたりするようにするわ

53: 名無しさん＠涙目です。(庭) [US] 2018/04/15(日) 02:50:27.13
パスワードの変更に効果はないよ今のセキュリティの常識
結局人が管理するから規則性が生まれるしランダムな文字列は覚えられない
いつの時代の話ししてんだか

55: 名無しさん＠涙目です。(dion軍) [KR] 2018/04/15(日) 02:51:27.29
漏洩対策なら1ヶ月毎の変更じゃ意味ないだろ
その目的なら1分毎に変えろ

58: 名無しさん＠涙目です。(四国地方) [US] 2018/04/15(日) 02:52:20.45
漏れたパスワードを変更したらそのパスワードでログイン出来なくなるのに、
全く意味がない、という理屈が全く分からない。

ただ、生体認証やカード認証はなるほどと思いました。

61: 名無しさん＠涙目です。(チベット自治区) [EU] 2018/04/15(日) 02:53:33.90
>>58
じゃあパスワード漏れたら危ないから毎日パスワード変更するようにしよう(極論)

62: 名無しさん＠涙目です。(庭) [US] 2018/04/15(日) 02:54:28.94
>>61
いやそれは危険すぎる一時間毎に変えよう

81: ボックス ◆6iJaDSI5YU (神奈川県) [BO] 2018/04/15(日) 03:03:00.53
>>62
一定の法則がないと
またわからなくなって情シスにバカにされるから
末尾は時間の数字2桁にしようw

あと会議とかで1時間以上変更できなかった場合は、終了次第即刻変更w
結果、帰宅も睡眠も認められないwww

60: 名無しさん＠涙目です。(禿) [BR] 2018/04/15(日) 02:53:16.19
ワンタイムパスワードはわかるけど月一変更は無駄だろ
むしろパスワードの傾向を分析されて他サービスのパスワードを推測されるだけ

69: 名無しさん＠涙目です。(catv?) [ﾆﾀﾞ] 2018/04/15(日) 02:58:11.63
いや、もうパスワード変えるのは古いからw

75: 名無しさん＠涙目です。(大阪府) [US] 2018/04/15(日) 02:59:45.68
いつも見てるぞ

76: 名無しさん＠涙目です。(やわらか銀行) [US] 2018/04/15(日) 03:00:10.75
USBの指紋認証のやつ付けてやれよ

82: 名無しさん＠涙目です。(茸) [BR] 2018/04/15(日) 03:03:49.30
一分でも侵入許したらバックドア仕掛けられて
それ以降、パスワード何回変えてもやりたい放題される

87: 名無しさん＠涙目です。(大阪府) [US] 2018/04/15(日) 03:07:28.70
指紋なんて指切り取られたら終わりじゃん

90: 名無しさん＠涙目です。(カナダ) [IR] 2018/04/15(日) 03:09:24.30
パスワード認証の生みの親が
この方法はもうダメぽ
って言ってたからな

複数の長いパスワードは凡人の脳では管理できん

92: 名無しさん＠涙目です。(関西地方) [US] 2018/04/15(日) 03:10:05.07
侵入された場合端末にも何かしら異変が起こるはずなんだけどそれに気づかないユーザーもどうかと思うね

97: 名無しさん＠涙目です。(テレビ神奈川) [ﾆﾀﾞ] 2018/04/15(日) 03:12:30.15
英数字の組み合わせ強要はまだ許せる
それにくわえて大文字小文字混在許容は許せん

107: 名無しさん＠涙目です。(長屋) [ﾆﾀﾞ] 2018/04/15(日) 03:19:01.30
>>97
むしろ、こちらは強固なパスワードを用意してるのに
英数だけで記号をつかわせないとか9桁までとか変に弱い方に制限を掛けてるのが許せない

114: 名無しさん＠涙目です。(埼玉県) [CA] 2018/04/15(日) 03:22:02.71
>>107
昔、社内のシステムで、「特定の記号は使えません」と表示されて、？？？？ってなったｗ
あの頃はSIにもバカが多かった
今も多いけどｗ

120: 名無しさん＠涙目です。(大阪府) [CN] 2018/04/15(日) 03:29:06.40
>>97
sshのマニュアルでは15年以上前からパスフレーズを使えって書いてるのに
いまだにパスワードの長さは20文字以下とかのシステムがはびこってて
そのくせ文字種だけ多くしろとかバカにしたような作り

104: 名無しさん＠涙目です。(四国地方) [US] 2018/04/15(日) 03:17:00.53
どんなに堅牢なシステムができてもインシデントの半分以上が人為的なミスから起こるって社内研修で新卒が習うことなのに、
システム面の話ばっかりで人為的な事を考慮せず話する人ってどうなんだろうと思うんです。

スポンサード リンク