今年のマツタケを期待しつつ、うっちーｓからの連絡を待ち焦がれている池ＰＯＮです。
さて、会社がやらねばならない最低限の情報セキュリティ対策の続きです。今回が総まとめ編になります。
今時、台帳でのＰＷ管理が最適？？
実は最適なんです・・・
アメリカの最高レベルのキーで容易に想像がつくものの一つに『核兵器』の発射ボタンにかかっているセキュリティーのキーが思い浮かぶ方は多いと思います。又、複数あるキーを同時に操作する事も知っている方も多いと思います。
金庫内の封印されたケースに入っている『紙』にコードがかかれてますね・厳密には紙と呼べない物質かもしれませんが・・ｆ＾＾
何等かに『書かれている』事は事実で・・今までの説明書きは何だったんだ！・・・
(｡・ ω<)ゞてへぺろ♥
パスワードの格保管方法とリスク
では次に、パスワードの格保管方法とリスクを解説します。
グーグルクロム等のブラウザによりアカウントにログインして、そのアカウントに保管する場合
ヤフーの情報流出事故や、クレジット会社各社の情報流出事故を考えてもらえれば分かりますが、『有り得ます』又、先般より説明の通り、ＩＤＰＷを複数まとめて流出してしまうリスクも有ります。
ＩＤＰＷをエクセル等に一覧表を作成してＰＷをかけて社内ＬＡＮ上に置き、社員が都度確認できるようにしている場合。
そのエクセルファイル等をコピーして簡単に持ち出せます。・・・・そんなＰＷ等、最近のＰＣのスペックでフルアタックかければちょいちょいで解除できます・・・又、インターネットにアクセスできる環境のＰＣがつながっていれば外部からも・・・ｆ＾＾
パスワードキーパーを利用する場合
これは、比較的安心ですが、ソフトウェアによってはクラウド型になる為外部ＰＣ（最高レベルのセキュリティを謳っている会社がほとんど）での管理になり、『完全ではない』ですね。
思い出してください。管理レベルの設定♪
とどのつまり、管理レベルを厳格に設定し、どのレベルをどこに保管し、どのレベルまでどの職の従業員が触れるのか？を設定し、複合での管理が望ましいと言えます。中小企業を想定し、３段階に分けた一例として、下記に記載します。
トップレベル
社長室の金庫内に台帳として保管し、経営陣のみ閲覧可
例：銀行のパスワード等
ミドルレベル
スタンドアロン（ＬＡＮ接続せず単体で稼働）で運用しているＰＣに保管し、部課長等管理職以上は閲覧可
例：顧客管理台帳等
ワークレベル
ＬＡＮ内にＰＷでアクセスを保護されたエリアに保管し、関係社員は閲覧可
例：各種ポータルサイトや簡易なネットサービス等
ＰＷ管理方法の総括
大事な事や言いたい事は最後に書いてある。目次を見て数行読んで、最後から読んでいけば大丈夫。。。。僕が学生時代に苦手の国語（今でも苦手ですねｗ）を指導して頂いた恩師の言葉ですｆ＾＾
さて、総括致しますと、多種多様な会社が有り、トップレベルではすでに運用できていてミドル以下が微妙な会社様が多い様に感じますので、第二回の会社がやらねばならない最低限の情報セキュリティ対策に、ワークレベルでの管理を想定したブラウザ（グーグルアカウントを用いて）にてＰＷを管理する方法を詳しく記載致しました。しかし、初回と今回記載の『管理レベルの設定』の方が、いかに重要かがご理解いただけたものと思います。勿論、上記管理レベル設定はあくまでも一例であり、１０段階の会社も有るでしょうし、トップレベルとワークレベルの会社も有るでしょう。
管理レベルをきちんと設定し、通達して徹底しなければ『あいまいな管理』になってしまい、意味をなさなくなってしまいます。今回は、管理レベルの説明は一例に止め、詳しく分けていく場合等の記載は機会がございましたら又改めてアップします。
ＰＷ管理の要点をもう一度♪
- システム管理責任者の設定。
- 管理権限の設定。（機密レベルの設定）
- ＰＷは毎月変更。
- 電子文書で保管する場合はネットワークから隔離されたＰＣにファイルにＰＷを設定して保管（もちろん、このＰＷも毎月変更）
- ＰＷは使い回さない。
プラス
- ＰＣは会社で準備
- 個人のデバイスは利用禁止
- ブラウザをグーグルに統一
- アカウントを会社が準備
- 個人アカウントの利用禁止
ですね＾＾
運用方法等は前回と前々回に記載致しましたのでご参照ください。
ものすごい長文になりましたが、最後までお詠み頂き感謝します。この記事がどこかの誰かに役に立ててもらえれば幸甚です！