(ISMS研修資料)パスワード定期更新のお話

Transcript

1. パスワード定期更新のお話
2. 質問です
3. パスワード定期更新が推奨されていることを ご存知な方
4. もう一つ質問です
5. パスワード定期更新が推奨されなくなったことを ご存知な方
6. パスワード定期更新
7. パスワード定期更新 推奨されなくなりました！
8. 2017年に米国国立標準技術研究所が サービス提供者はパスワードの定期更新を強制す べきではないと発表。 2018年には日本政府機関もパスワードの定期更新 は不要な旨を示した。 ※内閣サーバーセキュリティセンターなど
9. なぜ定期更新が推奨されていた？
10. メリット
11. メリット 1. パスワード解読防止 2. パスワード漏洩後の被害縮小
12. メリット 1. パスワード解読防止 2. パスワード漏洩後の被害縮小
13. パスワード解読防止 パスワードを解析している時にパ スワードを変更されると破られな い
14. パスワード解読防止 aaa zzz xyz abc
15. メリット 1. パスワード解読防止 2. パスワード漏洩後の被害縮小
16. パスワード漏洩後の被害縮小 パスワードを更新すると ”なりすまし”をできなくさられる
17. パスワード漏洩後の被害縮小 aaa xyz abc aaa
18. デメリット
19. デメリット 1. パスワード管理が困難
20. パスワード管理が困難 毎回適切なパスワードの作成と記憶 が困難。
21. なぜ推奨されなくなった？
22. メリット < デメリット
23. パスワード解読防止 パスワードを解析している時にパ スワードを変更されると破られな い 攻撃者が解析済みな文字列だった 場合に有効 → タイミング(運)による要素が強い
24. パスワード漏洩後の被害縮小 パスワードを更新すると ”なりすまし”をできなくさられる 更新するまでは攻撃され続ける → 根本解決ではない
25. パスワード管理が困難 毎回適切なパスワードの作成と記憶 が困難。 →管理方法が杜撰となり漏洩の原因 となる →覚えやすい簡単な文字列や使い回 しを誘発する
26. まとめ
27. パスワードの定期更新は一定の効果 があるものの強制することによる弊 害(パスワード管理困難)の影響が大 きいため、定期更新は推奨されなく なった
28. 適切なパスワードの運用をすることの 方が健全であると考える様になった
29. 以上