「JCBの会員向けWebサービスで「秘密の質問」による本人確認が導入される」記事へのコメント

秘密の質問はデタラメを設定すべきという政府

[Y-taro (38255)]

契約書類などにおいて、虚偽の事項を記載することは、本来なら、詐欺、偽計業務妨害、私文書偽造などの罪にもなりうる。
それが、秘密の質問ならば、虚偽の事項を記載するのが正しい対応だとされてしまうのは、社会常識に対して倒錯した状態としか思えない。

個々人の自主的対応というものではなく、政府が公に呼びかけるのであれば、それはもう、秘密の質問自体が危険なものであるとして、政府は使用中止を業界に呼びかけるべきだと思う。

秘密の質問にはまじめに答えない。
（省略）
秘密の質問に答えを設定する場合は、あえて全く関係ない答えとすることで、せめてSNSなどから答えを推測できないようにしましょう。
内閣サイバーセキュリティセンター『情報セキュリティハンドブック [nisc.go.jp]』2016/02/01（2016/02/02 Ver 1.01）、p.26

Re:秘密の質問はデタラメを設定すべきという政府

[Anonymous Coward]

契約書とパスワード管理を同列で考えるあなたの頭の方が倒錯していると思う。

Re:

[Anonymous Coward]

そうじゃないよ。
JCBに限らず、オンライン手続きで「秘密の質問」的なインプットが求められるものの多くが何らかの契約が絡む重要手続きで、「秘密の質問」が本人確認に使われている程度には重要なインプットとされているし、赤の他人による不正入力だったとしても「秘密の質問」で正答が入力された場合はアカウントの管理者側の管理責任になる。
ある意味、パスワードよりも厳重な管理が求められている。
なのにこんなザルザルな運用だから問題視されてる。

Re:

[Anonymous Coward]

「運用がザル」なのと「でたらめな回答を推奨するのは倒錯している」ってのとは全然違う話だけど。
本人確認のための機能で、他人が推測しにくい鍵を設定しておくのはまともでしょ。

Re:秘密の質問はデタラメを設定すべきという政府

[Y-taro (38255)]

私は「でたらめな回答を推奨するのは倒錯している」とは書いていませんよ。
デタラメな設定をするのが間違いとも、デタラメな設定を政府が推奨するのが間違いとも書いていません。
デタラメな設定をするのはセキュリティ的に正しい対応であると思っていますし、正しい対応である以上、政府がそれを推奨するのも正しいと思っていますよ。

Re:秘密の質問はデタラメを設定すべきという政府

[nobuhiro (5244)]

パスワードを覚えておくから、秘密の質問なんて使わないから出鱈目入れてロックしてやる。

としていたら、秘密の質問が必須項目になって、ロックアウトされ以降使えない年金システム

--
の

Re:

[Anonymous Coward]

業界が明日から右へ倣えで対応可能ならそうするべきなんでしょうね。
これが経過措置というか緩和措置であればなにもしないよりマシかと。

Re:

[Anonymous Coward]

「人を見たら泥棒と思え」ということだよ