ツールでここまで設定できる

パスワードのコンプライアンス要件をクリアするコツ

守るべき要件を押さえて適切なツールを使えば、コンプライアンスの面倒な負担が増えることにはならない。

公開 2007年11月09日 04時00分

更新 2012年09月06日 13時24分

著者

Joel Dubin

[TechTarget]

印刷する

　コンプライアンスの大きなポイントとして、アクセス管理と認証がある。認証の中心的な要素はユーザーIDとパスワードだ。ユーザーIDとパスワードにはさまざまな弱点があり、多要素認証技術が以前から実用化されている。しかし、いまだに昔ながらのユーザーIDとパスワードの組み合わせが、多くの企業システムでアクセス管理の焦点となっている。

　多くの企業は、ワンタイムパスワード（OTP）トークンやスマートカードなど、新しいタイプのデバイスの採用によりネットワーク認証方式を再構築する代わりに、既存のパスワードシステムを強化することを選択している。そうすることで、サーベンス・オクスリー法（SOX法）やHIPAA法（Health Insurance Portability and Accountability Act：医療保険の相互運用性と説明責任に関する法律）、FFIEC基準、PCI DSSといった内部統制と監査に関する法律や基準の順守に取り組んでいる。

　本稿では、こうした法律や基準それぞれにおけるパスワード要件を説明し、それらを満たすためのベストプラクティスとツールを紹介する。

パスワードに関する規制要件

　まず、SOX法について見てみよう。アクセス管理について規定した同法404条はあいまいだ。具体的な要件は定めずに、「SOX法で要求される財務管理を実施するのに十分なアクセス制御を行わなければならない」としている。

　それでも、SOX法の専門家や監査人は、同法を順守するにはパスワードは最低限、以下の要件を満たしていなければならないとアドバイスしている。

長さは最低でも8けた
文字と数字が組み合わされている
配偶者や家族（ペットも含む）の名前などの個人情報、攻撃者がユーザーについて簡単に推測できる情報を含んでいない

　HIPAA法も、患者情報の保護に向けたパスワードの利用について具体的に規定していない。だが監査人は、SOX法の場合と同様のパスワードに関するベストプラクティスを実践するようアドバイスしている。パスワードは最低でも6けた、できれば最低8けたとし、大文字と小文字を組み合わせ、数字や記号（!、@、#、$など）も含めなければならないとしている。

　また、パスワードは45～90日ごとに変更すべきであり、最近使ったものを再使用してはならない。パスワードを変更する際は、末尾の数字を増やしたり新しい文字を追加したりするだけではいけない。例えば、「bobsmith14」のようなパスワードを、「bobsmith15」に変更すべきではない。そしてもちろん、SOX法の場合と同様に、子供や家族の名前あるいは辞書に載っている言葉をパスワードにしてはならない。

　パスワードを複雑で分かりにくいものにする目的は、いわゆる辞書攻撃を防ぐことにある。辞書攻撃は、パスワードハッシュファイルに対して「John the Ripper」のようなプログラムを実行し、辞書に含まれる一般的な言葉を手当たり次第にパスワードとして試すというものだ。

　上に挙げた法律や基準の中で、パスワード要件を最も明確に規定しているのは、PCI DSS（Payment Card Industry Data Security Standard：PCIデータセキュリティ基準）だろう。PCI DSSでは、すべてのシステムユーザーが固有のIDを持つことを求めている。パスワードについては、以下のような厳密な要件を定めている。

90日ごとに変更されなければならない
長さは最低でも7けた
文字と数字が組み合わされている
4回前までのパスワードと同じであってはならない

　一方、FFIEC（Federal Financial Institutions Examination Council：連邦金融機関検査協議会）基準では、パスワード要件は示していないが、インターネットバンキングにおいては、パスワード認証を2要素認証で補完することを推奨している。

パスワード要件を満たすためのベストプラクティスとツール

　パスワードのこうしたさまざまなコンプライアンス要件を満たすためのベストプラクティスやツールはどのようなものか。ほとんどの規制に対応できる推奨プラクティスを以下に示す。

パスワードは最低でも8けたとし、大文字と小文字および数字を組み合わせたものにする
前もってパスフレーズを作成するようユーザーに奨励するとなお良い。パスフレーズは覚えやすく、短縮することにより複雑で強力なパスワードを作成できる。例えば、「My dog Rover is the greatest pet」を「M7dRg8pt」に縮めるといった作り方ができる
パスワードの有効期間は最長でも90日とする
パスワードには、ユーザーIDの文字列のうち4つ以上の隣接する文字を含めない
4回前までのパスワードを再使用することを禁止する

　では、こうしたプラクティスの実践を徹底するためのツールとして、どのようなものがあるのか。あなたがActive DirectoryやLDAPサーバを使っているなら、必要なツールを既に手にしていることになる。たぶん、あなたはどちらか、または両方を使っているはずだ。IBM Tivoli、Citrix、Sun MicrosystemsのJava System Identity Managerといったフロントエンドアクセス管理製品を利用している場合でも、バックエンドのディレクトリサーバは、Active DirectoryかLDAPサーバ、またはその両方だろう。

　LDAPサーバでは、パスワードの最小けた数、英数字の最小文字数、同じ文字の最大繰り返し回数、および前回のパスワードと何文字以上異なっていなければならないかを設定できる。Active Directoryのグループポリシーオブジェクト（GPO）ではこれらの設定がすべて行えるほか、最高24回前までのパスワードの再使用を禁止したり、指定した期間ごとにパスワードの再設定を強制したり、パスワードの複雑さに関して、数字と大文字および小文字が組み合わされていることを要件として設定したりできる。

　Active DirectoryとLDAPサーバは、いずれも上記のようなサードパーティーのアクセス管理プロビジョニングツールと連携する。このため、パスワードに関するコンプライアンス要件に取り組むとしても、必ずしもコンプライアンスの面倒な負担が増えることにはならない。これらのツールの機能のおかげで、要件に対応するのは予想以上に簡単だろう。

本稿筆者のジョエル・デュビン氏はCISSP（公認情報システムセキュリティ専門家）資格を持つ独立系コンピュータセキュリティコンサルタント。Microsoft MVPに選ばれ、Web／アプリケーションセキュリティを専門とする。著書に「The Little Black Book of Computer Security」（29th Street Press）があり、シカゴのラジオ局WIITでコンピュータセキュリティの番組を担当。「IT Security Guy」ブログも運営している。

印刷する