会社のPマークやISMSの安全対策でのパスワード管理について

質問

会社でPマークの事務局の仕事をしています。　安全対策の利用者ID管理書で、PCの利用者IDとパスワードは、システム責任者が管理するようにと書いてあります。
個々の利用しているPCの利用者IDの管理はよいと思いますが、パスワードまで、システム責任者に通知すべきことがよいことでしょうか？。
情報管理の行き過ぎではないかと思っています。ISMSやPマークでの安全管理に詳しい方、ご教授下さい。

回答No.2

LEG147

管理という意味が異なるのではないでしょうか。
利用者IDについては、「いつ・誰に・どのようなIDを発行したか」を
適切に管理し、複数ユーザが使い廻ししないよう管理したり、また、
退職者などのIDを削除することが必要です。
ただ、パスワードについては、その内容を管理者が知っては意味が
ありません。パスワードの管理とは、利用者ID発行時の初期パスワード
設定や、パスワードロック時の解除、ポリシーに則った更新期間内に
更新できなかったIDの初期化などが管理項目です。
パスワードの中身知ってしまうと、統制が利きませんので、止めた
方が得策と思います。

お礼

回答ありがとうございます。
私も利用者ＩＤに関しては管理すべきことと思っていますが、パスワードを管理することには疑問に感じています。
ご意見ありがとうございました。

回答No.1

norakuma

ISMS審査員補です。
やりすぎっていえばやりすぎですが、そういうこともあったりします。

ただ、その場合、本当に利用者が操作したかどうかがわかりづらくなりますけど、その対策はしてますか？というのが気になるところです。

ID/PWの組み合わせは利用者本人しかしらないということであれば、
ある操作を行ったのが本人ということができますが、本人以外が
知っている場合、必ず、そのシステム責任者も可能性の範囲に
入れる必要が出てくるからです。

あとは、パスワードの変更都度連絡するのであれば、その手段とかに
興味が向きます。
・メールで連絡してませんよねー？とか。

お礼

早々の回答有難うございます。
パスワードの重要性から、慎重にすべきと思っています。当社のシステム責任者は、プロキシのログをチェックしており、私のインターネット閲覧もチェックしているみたいです。そして、それを社内の親しい人に話しているようです。セキュリティ記事を読んでいて、システム担当者による漏えいも多いと書いてあるので、当社の情報システム部員も信用してよいのやらという気持ちになります。
システム責任者に対してのチェック（内部牽制）の仕組みも必要なのではと思います。
これも見られている可能性大ですね。