小さな会社のISMSをテーマに体験談を掲載しています。簡単すぎるIDとパスワード」についての話題です。今回はIDとパスワード前回までと同じ社員数10名ほどの小さな会社の話の続きです。Update、前回はセキュリティソフト導入の話でしたが、今回はIDとパスワードについてです。Updateとセキュリティソフトを自分の方でインストールして回りました。そこで気づいたことは、IPASS(アイパス:ログインユーザとパスワード)が単純すぎる点です。業務経験の浅い社員の中には、そもそもパスワードを設定していない人もいました。文字数が少なく単純すぎるパスワードでした。パスワードは全員に設定してもらいました。定期的なパスワードの変更をお願いして回りました。IPASS(アイパス:ログインユーザとパスワード)がゆるいとNGか?残念だったのが、今まで常識でしょうと思っていたこともありリスクをうまく説明できなかったことです。うざいという拒否反応があり、嫌な顔されました。今回は次からもうちょっと説明がうまくできるようにIPASSについて考えることにしました。セキュリティが甘すぎると罪になるシマンテックの調査とかセキュリティ関連の書籍や雑誌を見てみるとセキュリティ事故の原因は「従業員の不注意」が最多と記述されています。情報漏えいが発生した場合に会社は平均で2億必要になるそうです。セキュリティが甘すぎると事故を起こした人となり損害を賠償しなくてはいけなくなるというところだと思います。ファイル交換ソフトを使用して情報漏洩したら、会社は解雇になりPC1台の調査に数百万円請求されたり、従業員自身もひどいことになります。サーバーやパソコンをのっとれば、中にあるものは完全に支配できるので、ログインのIPASSは最後の砦と言えると思います。中にあるファイルもIPASSが最後の砦になります。IPASSはセキュリティ対策の基本中の基本になります。営業でPCを持ち歩いて電車で網棚に置き忘れたりして、PCのパスワード設定を怠っていて情報漏洩したりしたら落した人が悪いです。自分はホームページを公開しておりますので、簡単に攻撃者のログが見れます。以下は2015年6月のインターネットの最前線に置いてあるWebサーバに対するログインアタックの集計です。検討材料になると思い集計してみました。2.0%Windowsではないのでちょっとユーザ名は異なると思いますが、必ず存在するrootユーザを施行する回数が全体の97.5%でした。Windowsの場合はAdministratorとかguestがこれにあたると思います。これらは簡単に推測されるユーザと言えると思います。個人のサーバで1日当たり3000回以上のログイン失敗のログがありました。自分の保守していたサーバで1日数万とかあった記憶がありますので、これが企業のサーバーの場合はもっと多いと思います。ユーザ名を工夫しても対策にならないかもしれません。パスワードが要と思います。1ケタの場合は62回、2ケタの場合は3844回、3ケタの場合238,328回、4ケタで14,776,336回の最大施行回数となります。これよりは早く解読されないだろうという参考として、試しにプログラムで4ケタの14,776,336回の繰り返し処理をしてみたところ、60秒で終わりました。5ケタだと1時間、6ケタだと3日、7ケタだと半年、8ケタだと30年という計算になりました。30年なら安全だろうということで8ケタ以上のパスワードが推奨ということになります。ユーザ名やadmin123など推測されやすい文字列の場合パスワード辞書で瞬時に解読されてしまうと思います。ランダムな文字列で8文字以上を設定しないといけないです。今回の教訓について重要と思われるのは、パスワードは常識なので皆設定していると考えてはいけないというところだと思います。会社でルールが無く、セキュリティ教育が実施されていない場合、PCや重要なファイルにちゃんとパスワードが設定されないです。8文字以上のランダムな文字列をパスワードに設定すべきです。/トレンド履歴スポンサーリンク関連サイト内検索ツールzealseedsおよび関連サイト内のページが検索できます。IPアドレス確認ツールあなたのグローバルIPアドレスは以下です。ランダムに組み合わせた文字列が表示されます。Loarding...。