砂糖の甘い付箋

パスワードの定期的な変更は必要か？

パスワードを定期的に変える必要があるか？と、
政府機関統一基準を、政府機関以外に適用するときのことについて相談を受けることがときどきある。

先日は、ある同業約８０の組織が検討しているとのことで、そこからタイトルのような質問を受けた。
（この記事は、実は相当以前に書いていたが、下書き保存したまま公開していなかったので、いまさらながら公開しています。）
正確にいうと、質問というよりも、「パスワードを定期的に変えるのは本当にやらなければならないのか？それは本当に意味があるのか？」という苦言を呈されたのだった。

少し悲しかった。。。
というのも、政府機関統一基準は、パスワードの定期変更を一意には求めていないからである。
それがちゃんと読まれることもなく、「情報セキュリティの基準と言えば、パスワードの定期的な変更を求めるのが当たり前」と先入観で思っているらしく、読む前から上のような苦言をされたのである。

苦言を呈した人に、「読まずに聞かないで」とは言えなかった。
なぜなら、彼もまた、１７７９９改め２７０００シリーズの教条主義者による悪行の被害者であり、その人を責めるものでもないので、悲しかったのである。

「パスワードを定期的に変更しなければならない」ということを条件も付けずに安易にルール化しているというのは、どういうことだろうか。。。

まず、最初に言っておくと、パスワードの定期的な変更がまったく必要ないということではない。
たとえば、以下のような場合には、パスワードの定期的な変更をしなければならないこともある。

・ひとつのアカウントを複数人がひとつのパスワードを使って共用しており、
・それら複数の人が定期的に入れ替わる場合。

ただし、上記の場合でも、人が入れ替わったとき、すなわち、必要なときにパスワード変更をすればよいので、「定期的に」変更するかどうかは、人が入れ替わるのが定期的か次第でしかない。

さて、ＩＴセキュリティをしている人に以下のパスワードポリシーＡについてセキュリティ上の意見を聞くとおもしろい。

パスワードポリシーＡ
　Ａ１：パスワード長は数字のみ４桁
　Ａ２：パスワードは変更できない
　Ａ３：ただし、カードをカードリーダに通さなければならない

まったくレベルの低い人は、「Ａ１が８桁ないとダメだからダメ。」と答えるだろう。
１７７９９などにやられちゃった人は、「Ａ１はパスワード再入力までの時間間隔などで微妙だけど、Ａ２についてはダメ。」と答えるかも。
もうちょっとまともな人は、「Ａ１とＡ２は強度が高いとは言えないけど、Ａ３が本人確認要件の所有確認となっているので必ずしも不十分とは言えないかも・・・」と、もごもごするかもしれない。

上記はちょっとイジワルな例で、まともな答えは、「上記のパスワードポリシーの情報だけでは、意見のしようがない。」である。
それでは聞き返して得なければならない情報はなんだろうか・・・
重要なことから順番にしていくと以下のようなことだ。

最初の質問は、「このパスワードポリシーＡを適用しようしているシステムでは、間違ったパスワードが入力されたときにどういう処理をしますか？」だ。
それによって、以下の情報を得る必要がある。

・次のパスワード入力を許すまでの時間（１回間違ったら何秒間待たないと、次のパスワードの入力をできないかとかということ）

しかし、実はこれは、ポリシーＡ１の「数字だけで４桁」がどの程度脆弱かを念のため確認する意味しかない。

より重要な情報は、
・間違ったパスワードの入力を許す上限の回数

これには、実際には積算失敗回数か連続失敗回数の２種類ある。

積算失敗回数は、そのパスワードを使い始めてからの失敗回数の総数だ。
連続失敗回数は、連続して失敗した回数なので、正しいパスワードが入力されたらリセットして数える回数だ。

積算失敗回数が、仮に３回でカードが永久に使えなくなるならば、パスワードポリシーＡはセキュリティ上問題とは必ずしもいえない。
ただし、設定するパスワードを容易に推定されるものにしないなどの条件は必要だ。（これはどんなときにも言えるので、以降は繰り返さないことにする。）

積算ではなく、連続失敗回数が３回でカードが永久に使えなくなるのならば、万全とは言えないが、カードの管理がしっかりされているならば、これもセキュリティ上問題とは必ずしもいえない。
相対的にみれば、積算３回であれば、カードの管理が多少疎かでも実用に耐えれる場合があることを意味する。

もうおわかりのことと思うが、パスワードポリシーＡは、日常生活において、銀行のキャッシュカードやクレジットカードによる本人確認に用いられているもので「即ダメ。」とか「実用に耐えない。」というはずがないものである。
重要な条件は、
・カードと併用する
・パスワード（暗証番号）を３回入力ミスでカードは永久に利用不可になる（カードの再発行が必要）
であり、その条件であれば、
・パスワードは数字のみ４桁でも不十分ではない
ということだ。

このとき、連続失敗回数３回だと、「カードの管理がしっかり」が加わっているが、これは厳重な管理かというとそうではない。
どういう状態で危険になるかを考えるとわかりやすい。
危険な状態は、「カードを使って誰かが不正パスワード入力を２回試みる。その試みが本人に気付かれないうちに、本人が正しいパスワード入力したことを知ることができて、その後にまた２回試みる。を繰り返せる状態」となる。
率直に言って、「かなりずさんな状態」と言える。そのような状態にならない程度の管理をしっかりすればよいのであって、「厳重な管理」という表現とは違うものだろう。
考えれば、あたり前だ。
だから、キャッシュカードは財布に入れて、普段持ち歩けるわけだ。
キャッシュカードについて、「厳重な管理」を求められて、手提げ金庫のようなものに保管して持ち歩かなければならないとしたら・・・
その金庫にキャッシュカードではなく現金を保管すればよいだろう。

ならば、回数上限を１回にしてしまえばよいのか？
すなわち、１回でも失敗したら、カードを使えなくするということになる。
この回数を減らせば、本人が単に入力時に入力ミスをしただけで、カードが使えなくなってしまうので、本人にとっての利便性が失われる。
利便性が低下してよいなら、回数を少なくしておくことができる。
人は間違えるものだと思えば、回数をある程度のものにしておく必要がある。

とはいえ、連続失敗回数制限では、カードの管理状況に依存するのは確かだ。
それを強化したい場合には、積算失敗回数制限にするしかないのだろうか？
そうとは限らない。これを補間する方法はある。
それは、直前の失敗を成功時に本人に知らせることだ。
そうすれば、本人からすれば、いわば、積算失敗回数を確認していることになる。

つまり、パスワードを普段入力ミスしない人であれば、あるとき、正しいパスワードを入力した際に、「直前に２回パスワードミスがありましたよ！」と表示されれば、「誰かがカードを自分の気付かない間に使おうとした」ということに気付けるので、その人が必要な対応ができるということだ。

ということで、政府機関統一基準では、パスワード変更を無条件に求めていないし、直前の結果を知ることができる機能を強化遵守事項として求めているなど、主体認証についてはいろいろと仕込んであるので、参考に読んでみてくださいね。。。

「事故前提社会」は誤用である

「次期情報セキュリティ基本計画に向けた第１次提言」等に関する意見の募集に、先日意見を提出してみた。

それは、この基本計画で初期から用いられている「事故前提社会」という言葉についてだ。
言葉の意味としては、「事故を前提とする社会」ということになる。
事故の発生は想定しなければならないが、前提とするものではないはずだ。

想定と前提では意味が異なることは、「性善説を前提にして性悪説を想定する」でも紹介したとおりだ。

正しくは、「事故想定社会」又は「事故対応前提社会」だろう。

そこで、以下のとおり意見を提出してみた。

意見内容： 「事故前提社会」とういう表現について、「事故想定社会」に改めるべき。

理由： 「前提」とは、「物事を成す土台となるもの」などが一般的な意味である。 社会を成す土台が事故であるという語法は明らかな誤用である。 本文中では、たびたび、事故が発生するのは仕方がないと言うわけではないという趣旨の説明を繰り返しているが、その場合の正しい日本語は「想定」である。 「事故前提社会」の意味として誤解しないで欲しいとして、上記の趣旨の説明をしているが、そもそも、自らが間違った用語を使っておきながら、誤解しないで欲しいというのは、馬鹿げている。 正しい用語を使えば、誤解は誤った用語を使う程には生じない。 社会を成す土台が事故であると主張するのでなければ、言葉を改めて、「事故想定社会」などの正しい日本語表現とすべきである。 この誤用は、貴センターのすべての資料等に従前からあるものであるが、新規のものについて訂正をはかるべきである。 誤用しておきながら、いったん使ったものだからという理由で、誤用をそのまま訂正せずに、日本語の意味を不当に異なるものにすりかえた解釈を強いることは、健全な社会を標榜しようとする立場として許されることではない。 情報セキュリティにおいてＰＤＣＡなどのマネジメントシステムの構築を促しておきながら、自らが「見直し」もできないということのないように、十分な確認をお願いしたい。

意見書として提出した「事故想定社会」は、あくまで一例ではある。

６文字で正すならば、「事故想定社会」と言うべきだろう。
「前提」ではなく「想定」という言葉ではインパクトが弱くなるとして「前提」を残したいのならば、意味を正して、「事故対応前提社会」などのように、「事故」を前提とするのではなく、「事故に備えた何か」を前提とすればよいだろう。

「事故前提社会」という言葉がどのように使われてしまっているかを書いている側は知らないのかもしれないが、ＩＴ関連の事故を起こしてしまった当事者に、「政府でも事故は前提としているような世の中だから・・・」の言い訳にされているのが実情だ。
事故の発生を前提としているのではなく、それを想定した上で、事故への備えをすることを前提としなければならない。ということが言葉だけからわかるようにしなければ、かえって逆効果なのである。

いくら、訴えたいことの趣旨（事故の発生の前提ではなく備えの前提を期待）を、基本計画の文章で丁寧に繰り返して説明している。としても、言葉というのはそれだけで独り歩きする方が、人の目につきやすい。
言葉を耳にしたすべての人が、基本計画を読んでくれると思うのは、あまり現実的ではない。
キャッチコピーになるような言葉は、それが言葉だけで独り歩きすることを「想定」しないといけない。

そのことは以前、「性善説を前提にして性悪説を想定する」でも紹介したとおりだ。

日本人なのだから、日本語は丁寧に使うようにしなければいけない。

デジタル・フォレンジックの体系化の意義

デジタル・フォレンジック研究会のメール・マガジンに寄稿しました。

デジタル・フォレンジックは、基礎技術としての意味から、調査手法全般としての意味まで基礎から応用という多階層で用いられるとともに、応用分野としても多様な観点からデジタル・フォレンジックが位置づけられており、まさに縦横無尽に用いられる言葉です。

つづきは、こちらからどうぞ：

第１４回コラム 「デジタル・フォレンジックの体系化の意義」

経済産業省 「ＩＴサービス継続ガイドライン」

経済産業省が「ＩＴサービス継続ガイドライン」を公表しました。

これまであいまいにされてきたことについて、このガイドラインで、実はさらっとふれています。。。

情報セキュリティと事業継続は包含関係なのか、上下関係なのか、横並びなのかについて、いろいろな考え方があります。
このガイドラインでは、図 2.1-2 「IT サービス継続、事業継続、IT 戦略との関係」（４ページ）で、事業継続にＩＴサービス継続を含むとした上で、以下の図 2.1-3 「IT サービス継続と情報セキュリティとの関係」（５ページ）があります。

この図では、情報セキュリティの基本要件である機密性・完全性・可用性のうち、可用性だけをＩＴサービス継続に配置した上で、以下のような注釈を加えています。

４ページ　脚注５ 広義のIT サービス継続には、機密性・完全性の要素も含まれ得るが、本ガイドラインでは主に可用性の 面に着目し、情報の機密性と完全性の確保を主に情報セキュリティ上の責務と捉えた上で、IT サービス継 続は常に情報セキュリティ対策と並行して確保すべきとの考えに立つものとする。

つまり、「情報の機密性と完全性の確保は、情報セキュリティの責務であり、ＩＴサービス継続には含んでいない。ただし、それはやらないということではなく、常に情報セキュリティ対策と並行して確保しなければならないことを意味する。」という考え方もあるとしました。
言い換えると、
「仮に、ＩＴサービス継続にて、可用性を維持したものの、機密性と完全性だけが損なわれた場合があったとしたら、その場合には、ＩＴサービス継続は機能したことになり、その際に、情報セキュリティのうち可用性以外の要件が機能しなかった。」という考え方で整理して、マネージメントシステムを構築することができます。

ガイドラインでのひとつの捉え方として、これを一般論とするつもりではないことにしていますが、これまであまり仮例も示されていなかったので、いいきっかけになるものと思います。

おまけ・・・

一方で、ＩＴサービス継続で、情報セキュリティからはみ出している部分はどういうものになるのでしょうか？

結構つらいですが、
一応、無理無理ですが、以下のような解釈を議論の出発点にするしかなさそうです。

「情報セキュリティ対策は、リスク分析時の脅威の特定に基づくため、脅威として、たとえば故障を含めていなければ、それへのリスク対応としての情報セキュリティ対策が見逃されることになる。
それに対して、ＩＴサービス継続対策は、脅威の有無を問わず、継続するという目標に必要な対策をすべて講じることがあってもよい。
検討においては、必要な対策をすべて洗い出す際に、脅威を想定するのが一般的であるため、ほとんどの場合は、可用性の侵害への脅威として特定されることで足りると考えるが、分類の考え方としては、情報セキュリティは脅威の特定に基づくもの、ＩＴサービス継続は、必ずしも脅威に基づくことに限定しないものとして、わずかながら相違部分がある。」

これについてもいつかガイドラインに明記できるような仮例が示せるときがくるといいですな。。。