Readingのブログ記事で、ユーザーに対するセキュリティー啓発は時間とお金の無駄であるとする意見を述べている。Reading記事より)。氏はセキュリティー対策を健康対策になぞらえて説明している。健康的な生活を送るためには、栄養バランスの良い食事と取り、運動することが必要であると散々言われてきたにも関わらず、一向に生活スタイルを変えない人達がいる。健康でいられるという長い目で見た時の恩恵に対して、一日中テレビの前に座ってマクドナルドのスーパーモンスターミールを食べるという目先の満足感を優先させてしまうのである。コンピューターセキュリティーは長い目で見て将来起こり得る攻撃から守ってくれるかもしれないが、人は目先の楽しい事を優先させてしまう。このやり方はFacebookでも使われているとのこと。誰も新プライバシー方針を最後まで一々読まないし、「OK」ボタンを押してさっさと友人とのチャットを開始するほうがずっと楽なのである。78コメント最新の日記ダイアル式南京錠を数秒であけてしまうロボット学校の勉強に必要な記憶力をあげるにはどうしたらいい?セキュリティー啓発は時間とお金の無駄デスクトップPCは絶対に無くならない歴史に名を残すのはゲイツ、ジョブズは忘却の彼方に葬られるこの議論は賞味期限が切れたので、アーカイブ化されています。新たにコメントを付けることはできません。『だからダメだって言ったじゃないですか!』(オレじゃなくておまえの責任だ)と言うために。(#2349427)いざというときのためのアリバイ作りは重要ですよね。それでも責任おっかぶせてくる連中ばかりではありますが。Cowardわざわざネタ作らなくて良いよ。FJとかのフォーミュラなら、間違える?ことが出来るかもしれんがw一般のMT車で右足でクラッチまでは余程変な体制でない限り、踏むことが出来ない。そんでもって、クラッチペダルを踏み込むときに気を付けないとブレーキペダルも一緒に踏み込んじゃう。運転中に左足攣ってシフトダウン時に踏むのに苦労したので。(長い下り坂+退避場所無で、ブレーキ踏みっパができない状況)左足畳んで運転していればやってやれない事は無いかもしれんがね。Coward何かあったときにユーザに責任を押し付けることに一生懸命になってるシステムってのはユーザ側から見たら魅力ないよね簡単に言うと質が低い。(#2349481)どんな優秀な錠前でも、鍵無くされたら終わり。Coward鍵が無くても良いようにしろっていってるんだよ。サイン認証とか、生体認証とか、あるいは新しい技術とかで。(#2349521)IT業界では、それを「鍵」と呼ぶわけでして。技術がどうだとか関係ないんだよ。どんな技術だろうと、本人が「使わない」を選択したら意味がない。Windowsのログオンとか、パスワード入力して使ってる人はどれだけいるのやら。日記この穴に棒を突っ込んだら気持ちい......じゃなくて。この穴に棒を突っ込んだらハチミツが付いてくるから、棒をなくしてはダメだよと猿に教えるぐらいの勢いですねわかります。#そして棒を無くした猿は穴を破壊する。現実的なコストで抑えるには使う人に学習してもらわないと無理。触らせない方が現実的。#今日からセキュリティ関係の資格持っていない社員はネット禁止です。仕事でそれならば仕事してないにもほどがある。啓発しても意味がないという前提で、セキュリティを向上させるのがあなた方の仕事。「お役所仕事」ですね。お役所でももっとまじめにリスク管理はされている。Cowardそれがプロの仕事ってもんだ。要求された水準のものを最小限のコストで提供するのがプロ。あとでボーナスに反映されるならいいけど、そうでないなら(お役所なんてまさにそれだよね)給料分以上の仕事のために指一本動かすもんじゃない。Coward啓蒙に強制力があると思ってるあなたのほうがおかしい。Cowardたかが友人関係で啓発なんかしたところで「あ、そういうのいいから」と婉曲に避けられるのはまあ普通の話でしょう。貴方みたいにカリカリした物言いのエバンジェリストじゃあ...。Cowardユーザがアホだとわかっているなら、そのアホなユーザでも快適かつ安全に使えるシステムを考えることが重要でしょうな。事故を起した場合は啓発の有無に関係なくその企業の信用に傷が付くことでしょう。何も記録せず、何も発信しないシステムにしない限り、ユーザは過ちを犯す。一日中テレビの前に座ってマクドナルドのスーパーモンスターミールを食べるという目先の満足感を優先させてしまうのである。コンピューターセキュリティーは長い目で見て将来起こり得る攻撃から守ってくれるかもしれないが、人は目先の楽しい事を優先させてしまう。その理屈だと、啓蒙は無駄と言う事にはならないだろう。このやり方はFacebookでも使われているとのこと。それはダメな方法って事だよね?セキュリティーを啓蒙せずユーザのやりたいように任せたら、ソーシャルハックされまくって年がら年中トラブルになっているわけで...うーん、やっぱりその自称「セキュリティー専門家」とやらは知ったかぶり素人じゃないのか。残念、そーゆー話じゃないのか...いや、そーゆー話です。ゆーシステムを開発するように開発者側を教育しろって感じで。「ユーザにしょぼいパスワードを使うことを許さず、ユーザがどんなリンクをクリックしても気にしない(大丈夫な?)ようなシステムを開発者はデザインするべきだ。リンクがどーのこーのな話は、セキュリティでありがちな「怪しいリンクは踏むな」、ってのはユーザががんばって気にするべきことじゃなくてシステム側でもうちょっと何とかすべきだ、っていう主張だと思う。このやり方はFacebookでも使われているとのこと。押させて個人的な情報色々ぶちまけさせてるよね、クソだよね、あーゆーの、みたいな雰囲気なのでダメな方法です。原文読んだほうがいいと思う。確かにストーリーの要約が悪すぎるので原文を読んだほうがいいと思います。そもそも、啓発(トレーニング)が全部ダメなんて言ってないですね。健康に関する啓発がうまく機能している例として、HIV感染予防が挙げられてます。うまくいっている理由は「気にしなかった場合のリスクがものすごく大きく、はっきりしている」「安全なセックスのために何を守ればいいかがはっきりしている」ということです。一方で、「手を洗う」という啓発ははるかに簡単なのに、うまくいっていない。手を洗わないことのリスクは小さいし、どんな悪いことが起こるかもはっきりしないからです。車の運転の教習もうまく機能している例です。車の運転は難しいものですが、乗れることのメリットははっきりしています。一度安全の常識を覚えれば、車自体の技術が進歩しても同じやり方で運転できます。コンピューターセキュリティの常識が10年もすれば変わってしまうのと対照的です。Schneierさんの主張は、「ユーザーに細々した対処法を教えるのではなく、基本的な操作方法を身につければ安全に使えるよう、開発者を啓発した方が良い」ということだと思います。[takagi-hiromitsu.jp]書かれている主張に近いと思いますね。ここで言う「ユーザーがルート証明書のフィンガープリントを確認せよ」というのが無駄なユーザー向けの啓発です。いうことをせずに、「オレオレ証明書を使うな」と開発者を啓発し、その上でユーザーには「オレオレ証明書の警告が出たら必ず『いいえ』を押しなさい」という常識だけを身につけてもらえばいい、ということだと思います。「オレオレ証明書を使うな」と開発者を啓発し、こっちは、もしかすれば、なんとかうまくいくかもしれないけど、その上でユーザーには「オレオレ証明書の警告が出たら必ず『いいえ』を押しなさい」という常識だけを身につけてもらえばいいこっちはうまく行くかなあ。そもそも「オレオレ証明書」って物をユーザに理解させるのが困難だし。「ユーザーにパスワードを選ばせたりなんか>せず、ユーザーがクリックするリンクを気にし>ないようなシステムをデザインするべきなのだ」>>何も記録せず、何も発信しないシステムにし>ない限り、ユーザは過ちを犯す。>そんな事も分からないやつが「セキュリティー専門家」を名乗っているとは...よくある、悪くない主張だと思うが。企業内LANを直接インターネットに綱がないとか、そういう考え方だろう。多少不便だが、根本的な対策にはなる。一般の企業内LAN以外にも、現代では、生産設備や実験設備もLANを使っていることが多いが、それらの制御用として導入・内蔵されているPCは頻繁にアップデートすることが困難なことが多いので、それらのLANも独立させておく方が好ましい。(#2349435)うーむ、/.も墜ちるところまで墜ちたと言うべきか。その自称「セキュリティー専門家」とやらは知ったかぶり素人じゃないのか。ブルース・シュナイアーの名前を知らないのはともかく、軽くぐぐってみるぐらいの智恵を働かせたほうが恥はかかなくて済むと思いますよ。Cryptographyはこの業界のバイブルで、読んでないのにセキュリティ専門家を名乗る奴がいたらゴミ、というレベルの大家ですよ。大家だから正しいとするのはどうかと思いますよ。現実的なコストでできる万能の銀の弾がない以上、やはり啓蒙は必要だと思いますが。Cowardそんな受け取り方をする人がいるんですか?どこの愚民ですか、それは。馬鹿は死ななきゃ治らない。治らないから関わるのは無駄。無駄なコストは切り捨てましょう。Coward大家だから盲信するの?もしかしたらその大家とやらが愚鈍になった瞬間に、我々は立ち会ってるかもしれないのに。Coward何と戦ってるんだ雑談サイトなんだからもうちょっと肩の力抜いた方が楽しいよ、まわりの人は。指紋認証とかの生体認証系ですかねぇ。専用の機械が必要なのがネックですが。認証トークンみたいなツールとか。電話やメールで認証情報を送る方式とか。Coward生体認証は、パスワードが歩いているのと変わらない。指紋を取るのは簡単だし、静脈も虹彩も、居酒屋で酔いつぶれて寝ている隙に、とかいくらでも手がある。(#2350013)バイオレンス系のフィクションだと指だの手首だのを切断して持っていくなんてのもありますし、実際にもゼラチンで作ったフェイクで指紋認証や掌紋認証をパスできたなんていうのもありますな。Coward費用対効果を考えたらスマートカードが最強だと思います。盗みとられたらおしまいってのがありますからね。パスワードだって一度盗まれたら全滅するからって、同じパスワードを複数サイトで使うなって言ってるでしょ(誰も守っちゃいないだろうけど)。(#2349468)パスワードは8文字以上で英数記号混在していて文字が1文字でも重複してはならずさらに毎月1回は変更を行い過去に使ったパスワードは使用できないのが当たり前。自宅と言えどもファイアーウォールは当たり前でログなんかは全て記録が当たり前、ウィルスチェックはファイアーウォールでのチェックとPC内でチェックの2重チェックは常識。ネタ的に考えた見たけど、ここになら普通にこういう人いそうですな。啓蒙に関してはやりつづけるべきとは思うけど危険性を訴えるものは多いけど、実際の対応手順を初心者にもわかりやすく示したものってのは少ない気がする。迂回ルートを探す事になるよね。Coward英数記号混在ですから、abc@0001からabc@9999とかになるでしょう。これですら@入れたこと忘れて問い合わせ。Coward>文字が1文字でも重複してはならずこれはNG。設定可能なパターン数が各段に減る=攻撃の命中率が上がる。abc@123456789といったパスワードを量産させる圧力にもなる。Cowardネタ的というけれど実際ネタと思えない人もいるんだよね。今のパスワードのあり方としてはシステム側ユーザーの選択したパスワードを拒否しない。ログイン時に失敗したときは、その旨をユーザーに通知する。単語を選択しない無理のない範囲で長くするということだと思う。記号を混ぜなきゃならないとか、いろいろな文字を混ぜるなんてのはリソース足りなかった過去の話でしょ。あと、短期間に、かつ、定期的にパスワードを変更するのも無意味それよりも、設定するパスワード毎に同じものを使わないことが重要。(#2349456)サイバーノーガード最強!#冗談です一般のエンドユーザーは意識しなくても安全くらいがいいに決まってるのです。(#2349472)会社が、いつ辞めるかわからん何万人もの従業員相手に啓発でなんとかしようってのは効率が悪いだろう。親が自分の家族のことを考えているときはシステム的なブロックもいいけれど、長期的には啓発のほうがいい結果になるような気がせんでもない。家人のメールアドレスでググってみたら、blogなんか書いていた。ACになるように啓蒙中。実名とメールアドレスなんてすぐ繋がっちゃうってのがわかってないみたい。(#2349622)ではまず君から回線を切りたまえ。シェア親コメントより多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。service.閉じるスラド読み込み中...。