#author("2020-07-23T13:31:12+09:00","","")
[[・パスワードについて]]
*はじめに [#f86e4ee3]
基幹系システムやWebサービスの認証システムの強度は、認証情報が侵害された場合の企業や社会に及ぼす影響を考慮に入れて設定されるべきです。本項では、リスクの影響度に応じた認証方式の選択方法を解説します。また、パスワード認証に関する推奨する要求事項を解説します。
*リスクの影響度の検討 [#m06bda88]
リスクの選択、インシデント発生時の影響に応じて許容される認証方式を決定します。
**リスクの該当・非該当の選択 [#e7ce2ef1]
まず、取り扱う情報の性質やオペレーション上の特性からリスクが該当するかを検討します。必要に応じて、重要資産と考えられる情報や、それらの操作、オペレーションを追加します。
|>|BGCOLOR(blue):COLOR(WHITE):CENTER:取り扱う情報や操作|BGCOLOR(blue):COLOR(WHITE):CENTER:該当・非該当|BGCOLOR(blue):COLOR(WHITE):CENTER:例|h
|個人情報|大量、機微情報を含む||人事システム、医療システム、マスター管理|
|~|限定的||CRM、電子メール、デスクトップアプリケーション|
|>|知財||研究結果、（顧客の）仕様書、設計書|
|>|財務情報||財務システム、決算情報関連|
|>|外部から組織ネットワークへの接続||VPN、リモートアクセス|
|>|管理コンソールへの接続||クラウド管理コンソール、踏み台サーバー、RDP|
|>|個人に危害を加える可能性||交通制御システム、プラント制御システム|
&br;
**インシデント発生時の影響の判定 [#macd5ba5]
該当する情報やオペレーションごとに別々に、情報漏洩や改ざん、オペレーションに起因する不正アクセスなどのインシデントが発生した場合の最悪の影響度を検討します。レベルがばらついた場合は、最も高いレベルを選択します。例えば、影響を受ける期間はL2数週間だが、それ以外はL1といった場合はL2を選択します。
|60|120|120|140|200|c
|BGCOLOR(blue):COLOR(WHITE):CENTER:レベル|BGCOLOR(blue):COLOR(WHITE):CENTER:影響を受ける期間|BGCOLOR(blue):COLOR(WHITE):CENTER:影響を受ける範囲|BGCOLOR(blue):COLOR(WHITE):CENTER:影響が及ぼす損害|BGCOLOR(blue):COLOR(WHITE):CENTER:社会的信用の回復に係る期間|
|CENTER:L1|CENTER:数日|CENTER:組織の一部に限定|CENTER:軽微な損害|CENTER:1か月程度|
|CENTER:L2|CENTER:数週間|CENTER:組織内に限定|CENTER:相当程度の損害|CENTER:1年以内|
|CENTER:L3|CENTER:1か月以上|CENTER:組織外に影響|CENTER:事業継続に関わる損害|CENTER:1年年以上|
&br;
**許容される認証方式の決定 [#b8707b09]
レベルが決定されたら、最上位のレベルを選択し、許容される認証を決定します。例えば、知財を取り扱う場合で、組織外に影響を及ぼす場合は、L3となるので許容される認証方式は多要素認証となり、リスクベース認証が強く推奨されます。
|140|120|120|120|c
|BGCOLOR(blue):COLOR(WHITE):CENTER:許容される認証方式|BGCOLOR(blue):COLOR(WHITE):CENTER:L1|BGCOLOR(blue):COLOR(WHITE):CENTER:L2|BGCOLOR(blue):COLOR(WHITE):CENTER:L3|
|単一要素認証|CENTER:許容|CENTER:条件付き許容*|BGCOLOR(BLACK):COLOR(WHITE):CENTER:使用不可|
|多要素認証|CENTER:許容|CENTER:推奨|CENTER:必須|
|リスクベース認証|CENTER:許容|CENTER:推奨|CENTER:強く推奨|
&br;
**単一要素認証の条件付き許容 [#f7b4da65]
単一要素認証でパスワードを認証方式として選択する場合は、1.5パスワードの要求事項のすべてを満たす必要があります。
*使用例 [#k6037a63]
具体的な使用方法を紹介します。
**製造業や建築業でのCRMによる顧客管理システム [#h3174b89]
-個人情報：該当しますが、担当者がアクセスできる範囲は限定的で機微情報などは含まれませんので、L1もしくはL2を選択します。
-知財 ：一部、顧客との打ち合わせ情報を入力しますが、設計図などは登録しないためL1を選択します。~
図面や資料の添付、リンクがある場合は、組織外に影響となるためL3を選択します。
-財務情報以下はすべて非該当です。
&br;
|>|BGCOLOR(blue):COLOR(WHITE):CENTER:取り扱う情報や操作|BGCOLOR(blue):COLOR(WHITE):CENTER:該当・非該当|BGCOLOR(blue):COLOR(WHITE):CENTER:レベル|h
|個人情報|大量、機微情報を含む|非該当||
|~|限定的|該当|L1 or L2|
|>|知財|該当|L1|
|>|財務情報|非該当||
|>|外部から組織ネットワークへの接続|非該当||
|>|管理コンソールへの接続|非該当||
|>|個人に危害を加える可能性|非該当||
最も高いレベルはL2ですので、許容される認証方式は単一要素認証の場合が条件付き許容であり、多要素認証とリスクベース認証が推奨となります。
&br;
**交通業でのWebでの予約サイト [#ycf81c30]
-個人情報：該当かつ大量でクレジットカードの情報も存在することから、インシデントが発生すると重大な影響を及ぼすことからL3とします。
-知財 ：非該当です。
-財務情報：非該当です。
-外部から組織ネットワークへの接続：非該当です。
-管理コンソールへの接続：該当でインシデントが発生すると重大な影響を及ぼすことからL3とします。
|>|BGCOLOR(blue):COLOR(WHITE):CENTER:取り扱う情報や操作|BGCOLOR(blue):COLOR(WHITE):CENTER:該当・非該当|BGCOLOR(blue):COLOR(WHITE):CENTER:レベル|h
|個人情報|大量、機微情報を含む|該当|L3|
|~|限定的|非該当||
|>|知財|非該当||
|>|財務情報|非該当||
|>|外部から組織ネットワークへの接続|非該当||
|>|管理コンソールへの接続|非該当|L3|
|>|個人に危害を加える可能性|非該当||
個人情報と管理コンソールへの接続でそれぞれL3となったため、許容される認証方式は多要素認証であり、リスクベース認証が強く推奨されます。
