質問

2008年12月21日 23時46分
  • パスワード管理、一般職ユーザにどこまで厳しくすべきか

情シスのオープンナレッジ『Syszo』サービス終了のお知らせ

質問

当社は全国に数十店の店舗がある会社なのですが、
つい1年前まで、社内LANへのログインは全社員共通のアカウント
(ちなみにログインIDとパスワードは同じ)でした。
また、ファイルサーバにもセキュリティの概念が無く、
重要なファイルをファイルサーバに置く場合には
個別にパスワードをかけて保存しているような状況でした。

当然、ファイルが消失したとか、改ざんされたとかいう
低レベルなインシデントが多発し、
原因究明(というか犯人探し?)も復旧もできないというありさまでした。

そこで、IT全般統制への対応のこともあり、ここ1年くらいで
全社員に個別のアカウントを割り当て、
パスワードも定期的な強制変更するような設定にし、
複雑性のあるパスワード設定をITセキュリティポリシーにて義務付ける
などの対策をとりました。

この方針、本社の総合職の方は、大体受け入れてくれているのですが、
ほとんどの店舗では、店舗内スタッフが全て同じパスワードを使っていたり、
パスワードを付箋に書いて堂々とモニタ脇に貼っていたりという状況になっています。

確かに、店舗では接客等で忙しくなれば誰のパソコンでも使うわけで、
個別のログインアカウントなんかはわずらわしい以外の何者でもないですし、
パスワードの複雑性もさほど気にする必要はないような気がします。

というわけで、店舗のほうはこの状況を黙認しているような状況です。
まあ、監査が入るとなれば一時的にでもそれなりに対応してもらうことに
なると思うのですが。

同じようなシチュエーションの方は少ないかと思うのですが、
このような場合、皆さんだったらどうしますか?

A.私と同じように黙認する。
B.ITセキュリティポリシー上、総合職系と一般職系とで
 パスワードに関する規程を明確に分ける。
C.総合職系も一般職系も分け隔てなくパスワードに関する規程を適用する。

Bは管理が面倒そうで腰が引けます。
Cの場合、逆にパスワード忘れなどのインシデントが増え、
我々情シスの好感度も下がるかなーと。
(好感度なんて気にするなって思うかもしれませんが、
個人的には結構大事だと思います)

ご意見お待ちしてます!

3件の回答があります

回答

Cを推奨したいですね。

「IDとパスワード」というのは単一のシステムや単一の会社として見るのではなく、社会的な文化として見るべきだと思います。
現在あらゆるサービスがIT化され、多数の「IDとパスワード」を使う仕組みが動いています。甘い管理をしているユーザーは、他のシステムに触れた時にも適切に設定しないので、社会全体のセキュリティリスクとなります。

これはユーザーだけではなく、システムを開発する側にも言えることですが。
パスワードを平文管理していたり、メールで直接送りつけてきたり、勘弁してくれっていうサービスもまだ多いですよね。

パスワード忘れに対しては、私は小さなメモに書いて財布に入れておくのを推奨しています。
ただしパスワードそのままではなく、少しだけ変更して(例えば本物のパスワードはメモの文字+特定の数字にするとか)書くのが前提ですけど。

20年後にはまた別の認証方法が標準になっているかもしれませんが、少なくとも10年はこの状況が続きますよね。
なので、手間はかかっても教育することを推奨です。

2008年12月22日 07時33分

回答

当方も同じような状況です。
業務は店舗では有りませんが、運用上一人1台のパソコン設置
は困難であり、固定的な場所での利用もできず、空いているパ
ソコンを、利用可能な場所から使用する形態となります。
したがって、パソコン起動時のユーザIdやパスワードは共有
パソコンの場合は同じ扱いとなります。 固定定期に個別に利
用できる立場の人は、ユーザId/パスワードはその人固有の
値で管理しております。
そのような運用形態のため、やむを得ずグループウエアのユー
ザId/パスワードで管理を代行している状況です。
グループウェアにログインしてから各種フォルダやファイルを
参照する形態にしてセキュリティ化とログ情報の収集を実施し
ています。 グループウェアのユーザIdはシステム部からの
お仕着せになりますが、パスワードは利用者が忘れない値を適
宜入力してもらうことにしております。 グループウェアを開
いた状態で放置されてしまえば意味がありませんが、処理が完
了すれば閉じてもらう事にしています。 自分で入れたパスワ
ードなので、忘れることも少ないと言う期待で運用しています。
これでフォルダやファイルの管理が行えます。 業態が異なる
ようですので、余り参考にはならないと思いますが・・・・。

当社の場合も、結局はA.とB.の併用的な運用形態ですね。
現場の利便性を損なわないのが一番と言う考え方が最優先のた
めです。

2008年12月22日 08時59分

回答

ユーザID・パスワードは厳格に運用すべきです。
ユーザIDとパスワードは違うものにすべきでしょう
しかし、店舗や倉庫のように共有のユーザID・パスワードを使用するのは仕方のないことだと思います。 なので
・スクリーンセーバで 3分放置したらロックされパスワードを入力しないと復帰できないようにする。
・パスワードは毎週変更する。 
・覚えるのが困難ならパソコンの置場とは違うところに表示するが例えば 
 売上金額=2589700    
 という具合に書いてあれば知らない人はパスワードとは判らない。
といった柔軟な対応をすればよいと思います。

(頑固な監査員で「共用IDは一切ダメ」と言う人も居たので 共用IDについては揉めることもあるかもしれませんが上記のようなこと(ただし「売上金額=...」の事は言わない)であれば事実上問題ないと思います。

2008年12月22日 19時24分

あなたもコメントしましょう!