カテゴリー: 一般

終わりなきパスワードとの闘い、「定期的な変更は不要」という新常識 | 日経クロステック（xTECH） (nikkei.com)

良記事。

一部、引用しておく。

　1つのサービス内であっても定期的なパスワードの変更を求められることも多い。だが、これについては現時点で既に、複雑なパスワードを利用していれば定期的に変更しなくてもよいとする指針が整備されている。米国の国立標準技術研究所（NIST）が2020年3月に発行した認証に関するガイドラインでは、パスワードの定期変更について「定期的に変更するよう要求すべきではない」としている。

　さらにこのガイドラインの改訂版のドラフトが、2022年12月に公開された。改訂版では「ユーザーの要求や認証システムへのマルウエアなどが侵入した証拠がない限り、パスワードの定期的な変更を要求しないこと」としている。以前のガイドラインで「要求すべきではない」としていたパスワードの定期変更が、改訂版ドラフトでは「要求しない」に強まった。

https://xtech.nikkei.com/atcl/nxt/column/18/00138/091101366/

いわれてみれば、そりゃそうだ。って話。定期的な変更を強要することで、使い回しのリスクは高まる、その通り。

セキュリティ周りの常識は常に変化することを頭にいれておくこと。

ICT(だけではないのだけれど)「セキュリティ」を考える上で、もっとも重要なこと、それは

脅威が何なのか明確にして対策する

ICTの世界では、闇雲にセキュリティが語られる。しかし、何に対してのセキュリティなのか？を意識している人に、残念ながら会ったことがない。

何かの脅威に対策することがセキュリティ対策なのであれば、その脅威を明確にしないと対策しようがない。

たとえば、都会と自然豊かな地域では脅威が違う。都会なら空き巣や泥棒が脅威かもしれないが、自然豊かな地域では、イノシシや熊などが脅威かもしれない。その脅威に対する対策は同じわけがない。都会では解錠しにくいカギを使ったり警備会社に加入したりするのがセキュリティ対策かもしれないが、その対策では、イノシシや熊の脅威には意味が無い。
また、家を守る手段の1つが保険をかけるだとすると、火事や地震という脅威に対する保険が火災保険や地震保険(ひとつの保険で両方カバーする場合もあるが)、空き巣に対する保険が盗難保険と対策が変わってくる。

ICTも同じ、脅威を理解した上で、その脅威に対する効果的な対策をおこなう。それがまっとうなセキュリティ対策。