2要素認証(2) ＜その後＞

2要素認証に使うAuthenticatorがインストールできないから、単一認証にしてくれと言われていた人達の後日談。
2要素認証　＜対応できないからってねぇ．．．＞(2022/12/14)

その後、関係部署と調整して、私物スマホでAuthenticator を使えるようになったらしい。
なんでも、業務に私物スマホを使うこと、私物スマホに業務に関係するアプリをインストールすることがセキュリティポリシーで許可されていなかったらしい。

セキュリティの基本に立ち返って判断すると、
私物スマホに2要素認証に使うAuthenticatorをインストールして、自組織以外の2要素認証に使用したら、その組織のセキュリティレベルは、向上するのか？それとも低下するのか？

Authenticatorは業務上の情報を扱わないから、セキュリティレベルが低下することはない。
一方で、単一認識にするとセキュリティレベルは確実に低下する。

セキュリティポリシーの目的はセキュリティ憲法を盲目的に遵守することでも、セキュリティ警察の取り締まりの根拠にするることでもないだろう。
スマホが無いときに作ったセキュリティ憲法に縛られているのだろう。

閑話休題

全員に業務用スマホを支給できれば良いが、コストや管理を考えると現実的ではないことは多い。そこで、私物スマホを使いたいわけだ。

情シス的には、メールアドレスやPCを共有しているユーザは個人の特定ができないから、業務用の共用スマホではなく私物スマホでAuthenticatorを使ってほしい。
さすがに私物スマホを他のユーザと共有したりしないだろうから。

---

• 2要素認証(2) <その後＞ (2023/02/04)
• 2要素認証　＜対応できないからってねぇ．．．＞(2022/12/14)

---

最近の投稿
【Yoshiのよしなしごと】【Yoshiのブログ】【よしなしごと】【ほぼ1人情シス】