リスクの影響度に応じた認証方式の選択のバックアップ(No.2)

・パスワードについて?

はじめに †

基幹系システムやWebサービスの認証システムの強度は、認証情報が侵害された場合の企業や社会に及ぼす影響を考慮に入れて設定されるべきです。本項では、リスクの影響度に応じた認証方式の選択方法を解説します。また、パスワード認証に関する推奨する要求事項を解説します。

リスクの選択、インシデント発生時の影響に応じて許容される認証方式を決定します。

まず、取り扱う情報の性質やオペレーション上の特性からリスクが該当するかを検討します。必要に応じて、重要資産と考えられる情報や、それらの操作、オペレーションを追加します。

該当する情報やオペレーションごとに別々に、情報漏洩や改ざん、オペレーションに起因する不正アクセスなどのインシデントが発生した場合の最悪の影響度を検討します。レベルがばらついた場合は、最も高いレベルを選択します。例えば、影響を受ける期間はL2数週間だが、それ以外はL1といった場合はL2を選択します。

レベルが決定されたら、最上位のレベルを選択し、許容される認証を決定します。例えば、知財を取り扱う場合で、組織外に影響を及ぼす場合は、L3となるので許容される認証方式は多要素認証となり、リスクベース認証が強く推奨されます。

単一要素認証でパスワードを認証方式として選択する場合は、1.5パスワードの要求事項のすべてを満たす必要があります。

具体的な使用方法を紹介します。

個人情報：該当しますが、担当者がアクセスできる範囲は限定的で機微情報などは含まれませんので、L1もしくはL2を選択します。
知財　　：一部、顧客との打ち合わせ情報を入力しますが、設計図などは登録しないためL1を選択します。
　　　　　図面や資料の添付、リンクがある場合は、組織外に影響となるためL3を選択します。
財務情報以下はすべて非該当です。

最も高いレベルはL2ですので、許容される認証方式は単一要素認証の場合が条件付き許容であり、多要素認証とリスクベース認証が推奨となります。

個人情報と管理コンソールへの接続でそれぞれL3となったため、許容される認証方式は多要素認証であり、リスクベース認証が強く推奨されます。