2007年11月09日 04時45分 UPDATE
特集/連載

ツールでここまで設定できるパスワードのコンプライアンス要件をクリアするコツ

守るべき要件を押さえて適切なツールを使えば、コンプライアンスの面倒な負担が増えることにはならない。

[Joel Dubin,TechTarget]

 コンプライアンスの大きなポイントとして、アクセス管理と認証がある。認証の中心的な要素はユーザーIDとパスワードだ。ユーザーIDとパスワードにはさまざまな弱点があり、多要素認証技術が以前から実用化されている。しかし、いまだに昔ながらのユーザーIDとパスワードの組み合わせが、多くの企業システムでアクセス管理の焦点となっている。

 多くの企業は、ワンタイムパスワード(OTP)トークンやスマートカードなど、新しいタイプのデバイスの採用によりネットワーク認証方式を再構築する代わりに、既存のパスワードシステムを強化することを選択している。そうすることで、サーベンス・オクスリー法(SOX法)やHIPAA法(Health Insurance Portability and Accountability Act:医療保険の相互運用性と説明責任に関する法律)、FFIEC基準、PCI DSSといった内部統制と監査に関する法律や基準の順守に取り組んでいる。

 本稿では、こうした法律や基準それぞれにおけるパスワード要件を説明し、それらを満たすためのベストプラクティスとツールを紹介する。

パスワードに関する規制要件

 まず、SOX法について見てみよう。アクセス管理について規定した同法404条はあいまいだ。具体的な要件は定めずに、「SOX法で要求される財務管理を実施するのに十分なアクセス制御を行わなければならない」としている。

 それでも、SOX法の専門家や監査人は、同法を順守するにはパスワードは最低限、以下の要件を満たしていなければならないとアドバイスしている。

ITmedia マーケティング新着記事

news037.jpg

2019年の消費増税前後で日本人の消費はどう動いたか――Criteo幹部が解説
若い世代を中心に増税前の消費は上昇したものの買われたのは低価格な日用品が中心。ECよ...

news063.jpg

過度なオンラインショッピングは「依存症」、感情に基づく広告etc. Gartnerの戦略的展望
Gartnerが発表した重要な戦略的展望トップ10からマーケティングやCX(顧客体験)に関わる...