情報処理安全確保支援士 2011年 秋期 午後1 問02

　 　A社は、部品製造を営む従業員数250名の中堅会社である。インターネットを介した販売システム（以下、Nシステムという）を利用し、企業向けに自社製品を販売している。Nシステムは、A社の販売部が3年前に開発し、運用している。 　Nシステムの利用者は、利用者ID（以下、UIDという）を保有しており、ブラウザからインターネット経由でNシステムにアクセスし、ログイン画面でUID名とパスワードを入力することによってログインした上で、製品の在庫確認、注文を行う。Nシステムを利用する企業（以下、契約企業という）は、Nシステムの利用契約時に、利用責任者を1名登録する。利用責任者は、ヘルプデスクに対して、UIDの新規登録の他、UIDの削除、パスワード初期化、サスペンド解除を申請できる。申請の際は、利用責任者が申請書を電子メール（以下、メールという）でヘルプデスクに送付する。 　Nシステムでは、UIDに対して表1に示す属性を定義し、その値をログイン処理に利用している。NシステムのUID及びログイン処理に関する、セキュリティ要件は図1のとおりである。

　ヘルプデスクでは、図2に示す運用手順でUIDを管理している。ヘルプデスクによるUIDの設定変更時には、表2に示す値をUIDの属性に設定する。サスペンド設定は、バッチ処理で行う。バッチ処理は、毎日00:00に実行し、現在時刻がlastlogin_tの値から90日以上経過した全てのUIDに対して、表2の設定変更(e)に示す各属性値を設定する。 　また、Nシステムのログイン画面で、UID名とパスワードが入力された場合のログイン処理の流れを図3に示す。ログイン成功時とロックアウト発生時に、利用者にメールで通知することで、不正ログイン及びその試行を利用者が把握できるようにしている。

〔契約企業からの要望〕 　Nシステムの利用者数と利用頻度が増えるにつれて、利用者がパスワードを忘れた場合のパスワード初期化に要する期間を短縮してほしいという要望が、利用責任者からヘルプデスクに多く寄せられるようになった。パスワード初期化の申請から完了までの期間に利用者がNシステムを利用できないことで、契約企業によっては業務に悪影響が発生していることが背景にあった。 　販売部では、Nシステムの利便性向上を目的として、利用責任者とヘルプデスクを介さずに、利用者自身がパスワード初期化を短時間で行えるパスワード初期化機能をNシステムに追加することを決定した。 　販売部のH部長は、新人のF君に対して、G主任の支援を受け、パスワード初期化機能を設計するように指示した。また、H部長は、アプリケーションへの不用意な機能追加が原因で、セキュリティ上の問題が発生する事例が一般的に少なくないことを挙げ、現状のNシステムの仕様を十分に理解した上で検討を進め、社内の有識者によるレビューを受けるようF君とG主任に伝えた。 　 〔パスワード初期化機能の設計〕 　F君は、図1に示すセキュリティ要件に従って、Nシステムのパスワード初期化機能を検討した。F君が作成した設計案を、図4に示す。

　G主任はF君の設計案に対して、次の点を指摘した。 　指摘1：この設計案では、ある状態のUIDに対してパスワード初期化を行った場合に、図1に示すセキュリティ要件が満たされなくなる。 　 　F君はG主任の支援を受け、指摘1の問題点に対して図4の設計案を修正した。その後、社内の有識者による設計案のレビューが実施された。そのレビューでは、指摘1とは別に、次の2点が指摘された。 　指摘2：今回設計したパスワード初期化機能によって仮パスワードを発行した場合には、図1のセキュリティ要件のうち、（エ）に記されているログイン処理中の強制的なパスワード変更ページへの遷移は不要ではないか。 　指摘3：現行のヘルプデスクによるパスワード初期化運用と比較した場合に、図4の設計案に示す(i)〜(v)の手順には、攻撃者に不正に仮パスワードを取得されるリスクがある。 　 　指摘2については、販売部での検討の結果、今回の機能追加においては図1のセキュリティ要件を変更しないという判断に基づき、指摘対象となったログイン処理中の強制的なパスワード変更ページへの遷移は残すこととした。 　指摘3については、今回予定していた開発予算を考慮すると、これ以上のセキュリティ強化は困難であると販売部では判断した。また、設計したパスワード初期化機能の利用を契約企業単位で選択できるようにした。その後、販売部では、F君の設計に基づいてパスワード初期化機能の開発に着手した。