質問

2011年05月09日 00時15分
  • メールパスワードを変更しないリスク

情シスのオープンナレッジ『Syszo』サービス終了のお知らせ

質問

メールパスワードを定期的に変更しないリスクはどのようなものが考えられるでしょうか。

常駐先では入社時にシステム側で設定し、ユーザ側ではシステム的には変更不可、定期的な変更も行わない運用でこれまでやって来ました。一方で許可制のWebメールの利用が増えており、社外からメールパスワードを打ち込む機会も増えています。
パスワードを変えないことのリスクは高まっているとは思っているのですが、いざ変更するとなると、実際のリスクとパスワード変更にかかるサポート(工数)の兼ね合いになりそうに思います。
(* 常駐先では変更後のメールソフトでのパスワードの再設定について、自力では難しいスタッフ、およそ600名程度について電話などでの設定サポートが必要になると計算しています)

メールパスワードにまつわるトラブル例など具体的な事例があれば教えて下さい。

2件の回答があります

回答

お疲れ様です。

言われていることは、確かに課題として多くの企業が持っていることのような気がします。

弊社では、PCのログインパスワードは、ActiveDirectoryの制約で1ヶ月に1回のパスワード変更が義務づけられていますが、メールはAD連携をしていないのでパスワードの変更はユーザー側の操作に委ねらられている実情があります。

メールソフトによるPOP3での受信であれば、パスワード変更に伴う設定変更が発生するため、ユーザー側の作業が発生しますし、なんせパスワード変更のタイミングだけであれば、操作方法を忘れて問い合わせが増加することが想定されますね。
弊社では、PCが新しくなったタイミングで、メールのパスワードがわからないという問い合わせが急増するのが恒例です。

その対策として、最近Exchangeを導入し、Exchangeでメールの送受信を行うようにしています。
Exchangeを利用することで、OutlookはAD連携でアカウント設定がほぼ皆無になり、PCと同じログインID・PWでメールの送受信がWEBからできたりと何かと便利になりました。

Exchangeにかかわらず、PostfixでもAD連携が可能だそうですから、自社にメールサーバーがあればAD連携によるシングルサインオンによりパスワードの変更の作業軽減とセキュリティ向上が見込めるのではないかと思います。

やはり、認証系を統一することで

2011年05月09日 00時53分

回答

メールにかぎらず パスワードを定期・不定期に変更するのは常識だと思っています。とはいっても不都合のあるのも確かです。
ウチもExchangeなのですが、だいたい6ヶ月くらいでパスワードをいっせいに変更します。Exchangeはユーザの一覧を作ってばっさりスクリプトで変更してしまいます。
以前はExchangeで「アカウント期限をつけてパスワードを変更しないとログオンできない」という運用もしたのですが「自分が入力したパスワードを自分で覚えていない」という輩が続出して、いちいちパスワードリセットするのが面倒なので今の方式に変更しました。
それ以外のサーバもその担当者がユーザにアナウンスしてパスワードを変更せねばならず手間といえば手間です。

2011年05月10日 16時06分

あなたもコメントしましょう!