ツイキャス生放送「情報セキュリティCAS」で使用したスライドです。 放送の録画はこちら→ http://twitcasting.tv/it_mikawaya/movie/405397039

1. 情報セキュリティCAS
情報セキュリティについて
中年オヤジがグダグダ語るCAS

2. このCASでは…
その日のテーマに沿った質問を受け付けています！
取り上げて欲しいテーマの募集もしております！

3. 本日のテーマは…
パスワードの定期変更に物申す

4. 結論から申し上げると…
パスワードの定期変更は無意味の極み

5. 何でこのテーマを選んだか？
• 従来から無意味だとは言われていた
• 最近になって定期変更推進者が誤りを認めた
• なのに定期変更を勧めるサービスがなくならない

6. 定期変更派の理屈
パスワードが知らぬ間に漏洩しても長期化しないから安全

7. 定期変更派の理屈
パスワードが知らぬ間に漏洩しても長期化しないから安全
いやいや、漏れた段階でアウトでしょ

8. そもそも…
期間の問題ではない！

9. 定期変更は何故ダメなのか？
定期的に変更すると言うことは
覚えておかなければならないパスワードが増える
簡単になりがち

10. 定期変更は何故ダメなのか？
定期的に変更すると言うことは
覚えておかなければならないパスワードが増える
簡単になりがちパスワードが破られやすくなる

11. 実際に何が起こるか？
簡単なパスワードに番号を付けて連番で繰り返す
結局、定期変更によるメリットと言われるものが
スポイルされてしまう

12. 実際に何が起こるか？
簡単なパスワードに番号を付けて連番で繰り返す
結局、定期変更によるメリットと言われるものが
スポイルされてしまう
意味ないじゃんwww

13. でも…
ISMS取得企業ではありがちな事実
結局、人手で出来ることには限界がある

14. でも…
ISMS取得企業ではありがちな事実
結局、人手で出来ることには限界がある
無意味なことを強制することによる弊害

15. ね？
意味ないでしょ？

16. ではどうする？
パスワードの変更はイベント発生時に行うのが原則
そうすることで複雑なパスワードが設定しやすくなる

17. ではどうする？
パスワードの変更はイベント発生時に行うのが原則
そうすることで複雑なパスワードが設定しやすくなる
基本中の基本です

18. イベントとは？
• 担当者が異動した・退職した
• パスワードの漏洩を知った
• そもそも元のパスワードを忘れてしまった
• …など

19. で…
イベント発生時には即座にパスワード変更するのが原則
できれば、全てのサービスで行うと良い

20. で…
イベント発生時には即座にパスワード変更するのが原則
できれば、全てのサービスで行うと良い
対象以外のサービスも行うのがキモ

21. だから…
安全が担保されるのです

22. 最近のニュース
顧客情報に不正アクセス 遠隔ソフト使い開業で勧誘目的
千葉県警、容疑の美容師逮捕（千葉日報）
https://www.chibanippo.co.jp/news/national/434385

23. 事件詳細
サロン管理システムに従前使っていたIDとパスワードで
アクセスして不正操作を行った

24. 何故ログイン出来たのか？
犯人は年末に退職したが
パスワード変更を翌営業日まで持ち越した
結果として、不正アクセスを許してしまった

25. 何故ログイン出来たのか？
犯人は年末に退職したが
パスワード変更を翌営業日まで持ち越した
結果として、不正アクセスを許してしまった
考え方は正しいが即時実施の原則に反する

26. ほら！
イベント発生時
即時変更を行えば防げたよね？

27. 再び結論
パスワードの定期変更は無意味の極み

28. と言うことで…
• 定期変更は全くの無意味
• イベント発生時に即時変更が大原則
• 変更する際は全てのサービスについて行うと尚良い

29. 今後の予定
• 第八一回＝（タイトル未定）
• 第八二回＝（タイトル未定）
• 第八三回＝（タイトル未定）
• 第八四回＝（タイトル未定）

30. 次回は…
2017年10月12日 の放送になります
ネタ無し・多忙の二重苦（笑）なので
当面の間、原則的に2週間おきの放送になります
都合により延期することもあります

31. 制作著作
「街のIT三河屋さん」合同会社くまさん
https://kumasanda.jp/
@it_mikawaya