リスクの影響度に応じた認証方式の選択 のバックアップ(No.4)
- バックアップ一覧
- 差分 を表示
- 現在との差分 を表示
- ソース を表示
- リスクの影響度に応じた認証方式の選択 へ行く。
- 1 (2020-07-23 (木) 12:50:29)
- 2 (2020-07-23 (木) 13:31:12)
- 3 (2020-07-24 (金) 13:45:58)
- 4 (2020-07-25 (土) 14:38:08)
- 5 (2020-07-27 (月) 14:45:11)
- 6 (2020-07-28 (火) 16:28:29)
- 7 (2020-07-29 (水) 11:37:56)
- 8 (2020-07-30 (木) 14:37:56)
- 9 (2020-08-10 (月) 15:30:43)
- 10 (2020-08-10 (月) 16:41:16)
- 11 (2020-08-11 (火) 11:25:17)
- 12 (2020-08-11 (火) 13:24:43)
・パスワードについて?
はじめに †
基幹系システムやWebサービスの認証システムの強度は、認証情報が侵害された場合の企業や社会に及ぼす影響を考慮に入れて設定されるべきです。本項では、リスクの影響度に応じた認証方式の選択方法を解説します。また、Windows 認証を利用する際の推奨する要求事項を後述します。
リスクの影響度の検討 †
リスクの選択、インシデント発生時の影響に応じて許容される認証方式を決定します。
リスクの該当・非該当の選択 †
まず、取り扱う情報の性質やオペレーション上の特性からリスクが該当するかを検討します。必要に応じて、重要資産と考えられる情報や、それらの操作、オペレーションを追加します。
| 取り扱う情報や操作 | 該当・非該当 | 例 | |
| 個人情報 | 大量、機微情報を含む | 人事システム、医療システム、マスター管理 | |
| 限定的 | CRM、電子メール、デスクトップアプリケーション | ||
| 知財 | 研究結果、（顧客の）仕様書、設計書 | ||
| 財務情報 | 財務システム、決算情報関連 | ||
| 外部から組織ネットワークへの接続 | VPN、リモートアクセス | ||
| 管理コンソールへの接続 | クラウド管理コンソール、踏み台サーバー、RDP | ||
| 個人に危害を加える可能性 | 交通制御システム、プラント制御システム | ||
インシデント発生時の影響の判定 †
該当する情報やオペレーションごとに別々に、情報漏洩や改ざん、オペレーションに起因する不正アクセスなどのインシデントが発生した場合の最悪の影響度を検討します。レベルがばらついた場合は、最も高いレベルを選択します。例えば、影響を受ける期間はL2数週間だが、それ以外はL1といった場合はL2を選択します。
| レベル | 影響を受ける期間 | 影響を受ける範囲 | 影響が及ぼす損害 | 社会的信用の回復に係る期間 |
| L1 | 数日 | 組織の一部に限定 | 軽微な損害 | 1か月程度 |
| L2 | 数週間 | 組織内に限定 | 相当程度の損害 | 1年以内 |
| L3 | 1か月以上 | 組織外に影響 | 事業継続に関わる損害 | 1年年以上 |
許容される認証方式の決定 †
レベルが決定されたら、最上位のレベルを選択し、許容される認証を決定します。例えば、知財を取り扱う場合で、組織外に影響を及ぼす場合は、L3となるので許容される認証方式は多要素認証となり、リスクベース認証が強く推奨されます。
| 許容される認証方式 | L1 | L2 | L3 |
| 単一要素認証 | 許容 | 条件付き許容* | 使用不可 |
| 多要素認証 | 許容 | 推奨 | 必須 |
| リスクベース認証 | 許容 | 推奨 | 強く推奨 |
- 単一要素認証の条件付き許容 単一要素認証でパスワードを認証方式として選択する場合は、パスワード認証に関する要求事項（推奨）の要求事項のすべてを満たす必要があります。
使用例 †
具体的な使用方法を紹介します。
製造業や建築業でのCRMによる顧客管理システム †
- 個人情報：該当しますが、担当者がアクセスできる範囲は限定的で機微情報などは含まれませんので、L1もしくはL2を選択します。
- 知財 ：一部、顧客との打ち合わせ情報を入力しますが、設計図などは登録しないためL1を選択します。
図面や資料の添付、リンクがある場合は、組織外に影響となるためL3を選択します。 - 財務情報以下はすべて非該当です。
| 取り扱う情報や操作 | 該当・非該当 | レベル | |
| 個人情報 | 大量、機微情報を含む | 非該当 | |
| 限定的 | 該当 | L1 or L2 | |
| 知財 | 該当 | L1 | |
| 財務情報 | 非該当 | ||
| 外部から組織ネットワークへの接続 | 非該当 | ||
| 管理コンソールへの接続 | 非該当 | ||
| 個人に危害を加える可能性 | 非該当 | ||
最も高いレベルはL2ですので、許容される認証方式は単一要素認証の場合が条件付き許容でありパスワード認証に関する要求事項（推奨）をすべて満たすか、多要素認証とリスクベース認証が推奨となります。
| 許容される認証方式 | L1 | L2 | L3 |
| 単一要素認証 | 許容 | 条件付き許容* | 使用不可 |
| 多要素認証 | 許容 | 推奨 | 必須 |
| リスクベース認証 | 許容 | 推奨 | 強く推奨 |
交通業でのWebでの予約サイト †
- 個人情報：該当かつ大量でクレジットカードの情報も存在することから、インシデントが発生すると重大な影響を及ぼすことからL3とします。
- 知財 ：非該当です。
- 財務情報：非該当です。
- 外部から組織ネットワークへの接続：非該当です。
- 管理コンソールへの接続：該当でインシデントが発生すると重大な影響を及ぼすことからL3とします。
| 取り扱う情報や操作 | 該当・非該当 | レベル | |
| 個人情報 | 大量、機微情報を含む | 該当 | L3 |
| 限定的 | 非該当 | ||
| 知財 | 非該当 | ||
| 財務情報 | 非該当 | ||
| 外部から組織ネットワークへの接続 | 非該当 | ||
| 管理コンソールへの接続 | 非該当 | L3 | |
| 個人に危害を加える可能性 | 非該当 | ||
個人情報と管理コンソールへの接続でそれぞれL3となったため、許容される認証方式は多要素認証であり、リスクベース認証が強く推奨されます。
| 許容される認証方式 | L1 | L2 | L3 |
| 単一要素認証 | 許容 | 条件付き許容* | 使用不可 |
| 多要素認証 | 許容 | 推奨 | 必須 |
| リスクベース認証 | 許容 | 推奨 | 強く推奨 |
Windows認証を利用する場合 †
Windows の実装はNIST SP800-63-３よりも古いため、パスワード認証に関する要求事項（推奨） をそのまま適合させることができません。将来に向けての変更までの経過措置として、以下の設定を推奨します。
Windows グループポリシーでの設定 †
Windows のグループポリシー [コンピューターの構成]>[ポリシー]>[Windows の設定]>[セキュリティの設定]>[アカウントポリシー]>[パスワードのポリシー]及び[アカウントロックアウトのポリシー]については、以下を推奨するとともに、多要素認証の導入を強く推奨します。
多要素認証を導入しない場合の [パスワードのポリシー] †
- [パスワードの長さ] は14桁以上を推奨する
- [複雑さの要件を満たす必要があるパスワード] を有効にすることで SamAccountName、DisplayName を ID に含ませることができない事から、有効にする。複雑さの要件は、パスワードの変更時または作成時に強制的に適用される。
- ユーザーのアカウント名またはフル ネームに含まれる 3 文字以上連続する文字列を使用しない。
- 長さは 6 文字以上で適用される。
- 次の 4 つのカテゴリのうち 3 つから文字を使う。
- 英大文字 (A から Z)
- 英小文字 (a から z)
- 10 進数の数字 (0 から 9)
- アルファベット以外の文字 (!、$、#、% など)
- 定期的なセキュリティログ監査もしくはパスワードの漏洩・侵害検査の導入を前提に、[パスワードの有効期間]は[0日]（定期変更を求めない）、[パスワードの履歴を記録する]は[0回]（パスワードの履歴は求めない）とする
- ログ監査の対象Event ID
セキュリティログ Event ID:4625（アカウントがログオンに失敗しました）、Event ID:4776（資格情報の確認）
- ログ監査の対象Event ID
多要素を導入しない場合の [アカウント ロックアウトのポリシー] †
- [アカウントのロックアウトのしきい値] を[5回ログオンに失敗] とする
- [ロックアウト カウンターのリセット] を [15分後] とする
- [ロックアウト 期間] を [15分] とする
Windows Hello などの多要素認証を導入した場合 †
- PIN を使用する場合、6桁以上とする
- PIN の定期変更、履歴、複雑性は求めない、但し、個人から推測可能な誕生日、電話番号等の使用は認めず、これらを規程化する