あなたはどっち　セキュリティ

パスワード総変更は無駄か

場面と、二人の言い分

場面10月7日から9日にかけて、国の四つの機関が同じ注意喚起を出しました。JPCERT/CCが確認した侵入の手口は四つに分かれ、どれも情報を預かっている側のシステムに開いた穴でした。その数日前、デジタル大臣は会見で、パスワードの使い回しをやめることなど三つのお願いをしていました。
自分で守る派「自分の鍵は、自分で替える」
会社が直せ派「替えても、穴は開いたまま」

どっちの味方？最初の印象で選んでください。

自分で守る派の言い分

漏らしたのは会社だって、それはそうですよ。でもね、うちは昔、通販で使っていたパスワードを銀行でも使い回していて、ある朝ログインできなくなったんです。あのとき会社を責めて、何か戻ってきましたか。戻ってこないんですよ。だから台所のメモ帳は捨てて、全部ばらばらの文字列に替えて、多要素の認証も入れました。文句を言っている時間で、ひとつは替えられます。

相手へ：会社が直すまで、あなたは何もしないつもりですか。実際に出た声　「企業や組織だけの問題ではございません」

会社が直せ派の言い分

こっちは毎晩、登録したサービスの一覧を開いてパスワードを替えましたよ。何時間もかかった。で、国が挙げた入口を読んだら、設定ファイルが外から見えていた、窓口に回数の上限がなかった、そんな話ばっかりなんだ。おれが考えた文字列、どこにも関係ないじゃないか。番号を書き換えたら他人の情報が出てくる窓口を、利用者のどの操作で閉められるのか教えてほしい。そこにシステムを置いた側が直すまで、何を替えても同じだよ。

相手へ：替えたその文字列で、どの入口が閉まりましたか。実際に出た声　「ログの相関分析、APIのアクセス制限、認証の強化、迅速なパッチ適用すらやってない」