今も「パスワードの定期変更」ルールが生き残っている企業では、何が起きているのか【フォーカス】 - レバテックLAB

東京通信大学 情報マネジメント学部 教授 前川 徹（まえがわ・とおる） 国際大学GLOCOM主幹研究員も務める。企業や政府のDXに関する研究を専門分野とする。通商産業省（現・経済産業省）入省後、IPAセキュリティセンター所長、早稲田大学大学院国際情報通信研究センター教授などを歴任。IT人材を発掘・育成する「未踏事業」の提案者でもある。読書が趣味。最近は歴史小説とミステリーをよく読んでいる。好きな作家は葉室麟、澤田瞳子、朝井まかて、安部龍太郎、アンソニー・ホロヴィッツなど。 researchmap 「パスワードの有効期限が切れたので、変更してください」――社内PCの立ち上げ時に、このような通知を促された経験はあるでしょうか。 社用のPCやスマートフォン、社内システムのパスワードを、セキュリティ対策を名目に、90日ごとなどの節目で変更させる「パスワードの定期変更」ルール。 この慣習に対し、米国

[kkobayashi]

年に1回しか使わない健康診断の予約システムがパスワードを定期変更させてくるのほんとだるい。毎回再発行してるから最初からワンタイムにしてくれ

[tamura_maru]

(取材しました)90日ごとにゲンナリしてた記憶があります、、

[Goldenduck]

定期変更させるせいで簡素なパスワードになったり使い回しが横行するのである

[tk_musik]

いや企業に遵守させるならISMSやプライバシーマークの要件変えるしかないんじゃないの？結局そこ変わらんなら「別にやらんでいいやつだ」になるでしょ。なんかやるとなって人が動けば金かかるんだから。

[teo_imperial]

NISTが2017年に定期変更は不要と言った時から9年間社内で言い続けてますが全く変わりません。これ逆にISMSで「まさかパスワードの定期変更を強要していませんよね」みたいな事をやって貰わないと駄目。

[tsutsumi154]

Pマーク認証みたいに認証受ける際にルール化してしまって変えるのメンドクセってことなんじゃないのか 認証取得だけでもかなりめんどくさいからな あんなの繰り返したくない

[sgo2]

某銀行の法人向けネットバンキングがパスワード定期更新&日替り警告メッセージで、むしろソーシャルハッキングが付け入る隙を作ってる感。

[versatile]

日本でも有数のIT系でもこういうことやっててあきれる

[JULY]

プロパーの社員は違うみたいだが、パートナー向けに提供しているサービス・リソース毎にアカウントがバラバラな上に、定期変更を要求するものが４つある環境で仕事してます。

[zkq]

うちの会社も90日だった。会社が責任を個人に押し付けたいからなんだろう。簡単なパスワードにするのは個人の責任、変更不要にするのは会社の責任。

[ad2217]

定期変更ってのが最初に言われた時から、それは却って脆弱になるとまともなセキュリティ関係者はずっと言い続けていたのに、大権威のNISTが2017になるまで不要と言わなかったくらいだからな。

[SENRI5070]

パスワードが企業システム側から漏洩しているから定期変更が必要なんだと思う。ルールが生き残っている企業は漏れ続けているのだろう。

[georgew]

わかっちゃいるけどゼロトラスト型への変換コストを考えると別にいいやとなってるはず。情シスのアリバイ作りと社員への責任転嫁説はその通りと思う。

[pqw]

パスワードの「定期」変更が悪いという話に尾鰭がついてパスワードは変えなくて良いみたいになってるが、悪いのは「定期」だからね。侵害検知できないシステムならたまに変えた方がいいよ。

[t-murachi]

弊社はPCログイン時のパスワードは90日変更ルールがあったが数年前に廃止されて変更不要になった (ちな基本フルリモート)。転職市場における重要な判断基準の一つであるべきだと思うよ。

[dorje2009]

NISTの最新ガイドラインでは定期変更は不要ではなく禁止。使い回しや推測しやすいパスワードを助長するので、定期変更は無意味というより有害だから

[theta]

パスワードの定期変更を強要することで、他とのパスワード使い回しを阻止するという話かと思ったら違うのか。

[Rikerike]

攻撃側が定期パスワード変更を利用したパスワード攻撃すればなんとかなるのか？

[hkdn]

社員、関連会社や派遣社員すべて統一的にパスキー認証可能な端末やスマホを配ることが財政的に困難だから。中小企業だと特に。

[frontline]

定期変更のたびに3回変更して元に戻している私は実質「パスワード定期変更を行っていない」イケてる運用を実現しているのかもしれないっ！

[gui1]

パスワード定期変更がなくなったら多要素認証が義務付けられて私物の携帯を使わないと始業できなくなった。なにか釈然としない(´・ω・｀)

[tohokuaiki]

読んでるか！三菱UFJ銀行の法人向けネットバンキング！！愚にもつかないUI/UXの悪化と強制警告メッセージでお茶濁してやってるエビデンスはもうたくさんなんです！俺はパスワード末尾を123と変えてるだけです！

[HDPE]

こういう管理側のアリバイ作りのためのムダな仕事がわが国の生産性を下げている。特に行政関係は酷いもんだよ

[caffephilia]

P@ssw0rd ⇒ P@ssw1st ⇒ P@ssw2nd ⇒ P@ssw3rd ⇒ P@ssw4th とかやり出す人が出るからよくないね

[robbie21]

最も厳しくあるべき金融機関が、これを求めてくるのいつも腹が立つ、郵貯ビズとかは促すどころか強制的に変えさせられるし

[scavenger-folk99]

社内システムだと2種類のパスワードを行ったり来たりしてたな。

[number917]

人間にとって惰性は最強だからな

[UhoNiceGuy]

うちは、いつの間にか定期変更なくなってた。珍しいのかな？PPAP使う企業は減ってるよね？//定期変更なくてもクソパスワード使う先輩いたわ。仕事は有能なのに。俺の目の前で堂々とクソパスワード入れてた

[mc22_90]

ほんまこれ

[me-tro]

ID/PW共用してるシステムとかには定期変更もアリだけどね。抜けた奴には使わせないってやつ。 そりゃ個人毎にID作る/Directry連携すりゃいいのだが…

[horaix]

数年前に同席した弊社システムの開発会議でベンダーがパスワードの定期変更を提案したから、NISTの情報を送って「こんな時代錯誤の会社は外せ」と超婉曲に上申したが一切無視でシステム完成、末尾一字を変える日々笑

[lifeisadog]

年金ネットとかね

[ed_v3]

未だにPPAPも全然あるしなぁ…マジでJTCはどーしょーもない。

[houyhnhm]

三か月更新を強いられてます。グローバル系顧客に。しかし若干理解もする。ガチでインアウト多くてシステム管理がインド、実際怪しいメールも英語でバンバン飛んでくる。デカすぎてルール更新が伝達しきらない

[rub73]

日本年金機構「え？」

[bml]

最近はPINとかなんやらで。スマホは指紋認証付いてるがPCはあんまりな。言うてもマウスやキーボードに付けてないと利便性が。

[kobuttea]

"新システム"を導入した弊社、これまで8文字だったパスワードを13文字以上にして引き続き60日おきに変更要にしたから完璧👌にメモしとかないとログイン失敗した時にタイプミスなんかわからんくなった、役満

[ardarim]

取引先が未だにPPAPでファイル送ってくるんだけど…

[dollarss]

そんな会社ありますう？！