リスクの影響度に応じた認証方式の選択 のバックアップ(No.8)

• バックアップ一覧
• 差分 を表示
• 現在との差分 を表示
• ソース を表示
• リスクの影響度に応じた認証方式の選択 へ行く。
  • 1 (2020-07-23 (木) 12:50:29)
  • 2 (2020-07-23 (木) 13:31:12)
  • 3 (2020-07-24 (金) 13:45:58)
  • 4 (2020-07-25 (土) 14:38:08)
  • 5 (2020-07-27 (月) 14:45:11)
  • 6 (2020-07-28 (火) 16:28:29)
  • 7 (2020-07-29 (水) 11:37:56)
  • 8 (2020-07-30 (木) 14:37:56)
  • 9 (2020-08-10 (月) 15:30:43)
  • 10 (2020-08-10 (月) 16:41:16)
  • 11 (2020-08-11 (火) 11:25:17)
  • 12 (2020-08-11 (火) 13:24:43)

---

・パスワードについて?

はじめに †

基幹系システムやWebサービスの認証システムの強度は、認証情報が侵害された場合の企業や社会に及ぼす影響を考慮に入れて設定されるべきです。本項では、SP800-63を参考にし、リスクの影響度に応じた認証方式の選択方法を解説します。また、Windows 認証を利用する際の推奨する要求事項を後述します。

リスクの影響度の検討 †

リスクの選択、インシデント発生時の影響に応じて許容される認証方式を決定します。

リスクの該当・非該当の選択 †

まず、取り扱う情報の性質やオペレーション上の特性からリスクが該当するかを検討します。必要に応じて、重要資産と考えられる情報や、それらの操作、オペレーションを追加します。

インシデント発生時の影響の判定 †

該当する情報やオペレーションごとに別々に、情報漏洩や改ざん、オペレーションに起因する不正アクセスなどのインシデントが発生した場合の最悪の影響度（レベル）を検討します。レベルがばらついた場合は、最も高いレベルを選択します。例えば、影響を受ける期間は数週間(L2)だがそれ以外の項目はL1（数日）に当てはまる場合、L2を選択します。

許容される認証方式の決定 †

レベルが決定されたら、最上位のレベルを選択し、許容される認証を決定します。例えば、知財を取り扱う場合で、組織外に影響を及ぼす場合は、L3となるので許容される認証方式は多要素認証となり、リスクベース認証が強く推奨されます。

• 単一要素認証の条件付き許容 単一要素認証でパスワードを認証方式として選択する場合は、パスワード認証に関する要求事項（推奨）の要求事項のすべてを満たす必要があります。

使用例 †

具体的な使用方法を紹介します。

製造業や建築業でのCRMによる顧客管理システム †

• 個人情報：該当しますが、担当者がアクセスできる範囲は限定的で機微情報などは含まれませんので、影響度のレ別はL1もしくはL2を選択します。
• 知財　　：一部、顧客との打ち合わせ情報を入力しますが、設計図などは登録しないためL1を選択します。
  　　　　　 図面や資料の添付、リンクがある場合は、組織外に影響となるためL3を選択します。
• 財務情報以下はすべて非該当です。
  

最も高いレベルはL2ですので、許容される認証方式は単一要素認証の場合が条件付き許容でありパスワード認証に関する要求事項（推奨）をすべて満たすか、多要素認証とリスクベース認証の場合が推奨となります。

交通業でのWebでの予約サイト †

• 個人情報：該当かつ大量でクレジットカードの情報も存在することから、インシデントが発生すると重大な影響を及ぼすことからL3を選択します。
• 知財　　：非該当です。
• 財務情報：非該当です。
• 外部から組織ネットワークへの接続：非該当です。
• 管理コンソールへの接続：該当でインシデントが発生すると重大な影響を及ぼすことからL3を選択します。

個人情報と管理コンソールへの接続でそれぞれL3となったため、許容される認証方式は多要素認証であり、リスクベース認証が強く推奨されます。