ある部門では、新しく配属された部員のアカウントに、全員共通の初期パスワードを設定して メールで知らせている。初期パスワードを変更しないまま使っている部員もいる。 認証情報の管理として、見直し後の運用で最も適切なものはどれか。

正解：ア

各選択肢の解説

1. ア利用者ごとに推測されにくい初期パスワードを本人だけに伝え、初回利用時に変更させる。

   正解。初期パスワードは一時的なものとして、利用者ごとに異なる値を本人だけに渡し、 最初に使うときに本人が決めた値へ変えさせます。共通の値なら、同僚でも他人のアカウントに入れます。

2. イ共通の初期パスワードを長く複雑な文字列にし、知らせる先を本人と上司に限る。

   誤り。強いパスワードにすれば、外部からの推測には強くなります。 しかし全員が同じ値を知っているので、部員どうしで他人のアカウントに入れる状態は変わりません。 問題は強さではなく、値が共通で変更されていないことです。

3. ウ管理者が全員のパスワードを台帳で管理し、忘れた部員には台帳を見て伝える。

   誤り。管理者が利用者のパスワードを知っている状態では、本人だけが知る秘密になりません。 忘れたときに便利に見えますが、台帳が漏れると全員分が一度に漏れます。 忘れた場合は、本人確認のうえで新しい一時的な値を発行し直します。

4. エ初期パスワードは共通のままにし、ログイン時にICカードによる認証も求める。

   誤り。多要素認証は認証を強める有効な手段ですが、共通の値を配る運用を直していません。 ICカードを借りられれば他人として入れるうえ、パスワードの要素は誰でも知っている状態です。 要素を足す前に、各要素を本人だけのものにします。

理解を深めるために