2007年11月09日 04時45分 UPDATE
特集/連載

ツールでここまで設定できるパスワードのコンプライアンス要件をクリアするコツ

守るべき要件を押さえて適切なツールを使えば、コンプライアンスの面倒な負担が増えることにはならない。

[Joel Dubin,TechTarget]

 コンプライアンスの大きなポイントとして、アクセス管理と認証がある。認証の中心的な要素はユーザーIDとパスワードだ。ユーザーIDとパスワードにはさまざまな弱点があり、多要素認証技術が以前から実用化されている。しかし、いまだに昔ながらのユーザーIDとパスワードの組み合わせが、多くの企業システムでアクセス管理の焦点となっている。

 多くの企業は、ワンタイムパスワード(OTP)トークンやスマートカードなど、新しいタイプのデバイスの採用によりネットワーク認証方式を再構築する代わりに、既存のパスワードシステムを強化することを選択している。そうすることで、サーベンス・オクスリー法(SOX法)やHIPAA法(Health Insurance Portability and Accountability Act:医療保険の相互運用性と説明責任に関する法律)、FFIEC基準、PCI DSSといった内部統制と監査に関する法律や基準の順守に取り組んでいる。

 本稿では、こうした法律や基準それぞれにおけるパスワード要件を説明し、それらを満たすためのベストプラクティスとツールを紹介する。

パスワードに関する規制要件

 まず、SOX法について見てみよう。アクセス管理について規定した同法404条はあいまいだ。具体的な要件は定めずに、「SOX法で要求される財務管理を実施するのに十分なアクセス制御を行わなければならない」としている。

 それでも、SOX法の専門家や監査人は、同法を順守するにはパスワードは最低限、以下の要件を満たしていなければならないとアドバイスしている。

ITmedia マーケティング新着記事

news083.jpg

メルカリ調査で判明 フリマアプリは「新品」の購入も後押しする
フリマアプリの普及で中古品の二次流通が活発になると新品が売れなくなると思われがちで...

news071.jpg

TwitterがキラキラしたInstagramよりも美容の情報源として有益かもしれないと考えられる理由
美容に関する女子のネタ元はインフルエンサーのまぶしい投稿満載なInstagramのみにあらず...