その暗号化ZIPファイルの送付は「意味ないどころか有害」。セキュリティで信用失わないためには

暗号化ZIPファイルにして送信。その後、メールでパスワードを追いかけて送る。これは「おまじないにしか過ぎない」。さらには「意味がないだけではなく有害だ」と専門家は指摘する。リモートワークでも障害が出る。

[dorje2009]

なぜどの会社も社内ルールを変えたがらないのか？そのルールで内部監査で指摘しまくってきた人たちが阻害要因になってるってことない？パスワード定期変更の時にそういうのがあったよ。もっと柔軟にルール変更しよう

[dgwingtong]

慣習じゃなくて、セキュリティの指針でそうなっているからでしょ。

[programmablekinoko]

IPAあたりで言ってくれよう

[kotaponx]

パスワード後送の利点は一つ。送った直後に(宛先や添付内容の)間違いに気づいた時。会社の制度で強制されてるけど、自分はクールダウンタイムを置いてからパスワード送ってる。セキュリティという面では無意味

[oyagee1120]

Pマーク定期

[Edge_Walker]

取引先がやってて迷惑なのでなぜやってるのか聞いたらPマーク取るために雇ったコンサルが指導してるそうだ。まさに「監査基準を表面上満たすための最も安易な方法」。この手のコンサル駆逐しないとなくならない。

[chickencurry]

マジでどこから広まったやり方なんだろう。だれも得しない。

[nekonyantaro]

パスワード付きzipファイルのリスクとして「ディレクトリーツリーはパスワード無しで見られる」というのが。

[fumi256]

この手のメールは随分減ったが、いまだに送られてくるのをさらってみたら、自動的に処理がなされているものが大半だった。つまりクールダウンの意味もない。そんな馬鹿なメール配信システム売ってるベンダー叩こうぜ

[mutevox]

“メールの添付ファイルを使った攻撃に対して、暗号化されたZIPファイルは、中身がわからないが故に、企業が有害な中身がないかチェックする「マルウェア対策」を無効にしてしまう”

[takilog]

なぜ会社のルールを代えたがらないのかって気軽に言うけど，末端が言って変わるレベルの話じゃないじゃんこんなの（会社のシステムだったり，プライバシー規則だったり）

[IGA-OS]

“企業が有害な中身がないかチェックする「マルウェア対策」を無効にしてしまう”これがホント有害

[tetsutalow]

やめよう「お気持ち」セキュリティ。PPAPは無益有害。誤送信対策とかいうならWebストレージやFirefox sendを使った方がずっとまし。

[DustOfHuman]

どっちかというと盗聴よりも誤送信対策なのでそれに対するソリューションがないとだめなんじゃない？なんでメール添付で透過的に格納してくれるWebストレージがないっぽいんだろう

[nezuku]

添付ファイルを透過的に暗号化ZIPにして後からパスワードを送信するセキュリティソリューション「のようなもの」を販売している例も見るし根絶は長き道になりそう

[knok]

前職で文句いったことはあったが「ISMS取得に必要だから」と言われてだめだった

[minamishinji]

そういうシステム売ってる会社、まだあるんじゃない？ 需要があるから、っていうのかねぇ？

[washi-mizok]

“Aん号化（暗号化）する”「PPAP」て言いたいだけなのでは

[indication]

原因は○マーク。送信先誤りは、送信確認と遅延送信中の中身確認である程度は防げるから、本当にやめたい

[pmakino]

「多くの企業…ZIPファイルを添付したメールとパスワードの通知をそれぞれ別のメールで送信することを内規などで推奨」<これは事実誤認で、多くの組織が定めてるのは「添付ファイルを暗号化すること」だけでは

[san-ma]

あらかじめ別経路で渡してあるパスで開けるようにしてるけど、すみませんわからないので教えてくださいというパターンが多すぎて非効率極まりない

[chintaro3]

個人情報のやりとりは気を使うけど、業務のほとんどのデータは漏れたところで第3者には意味が解らないし何の価値も無い。データを盗んでまで仕事を代わりにやってくれるというのならむしろありがたい。

[k146]

"干ばつに備えるには、貯水池と灌漑設備を作らなければいけないのに、そのお金を使って神殿をつくって祈りを捧げるようなもの"→分かりやすすぎる例え。おまじない信仰はやめて実のある対策にお金を掛けよう。

[wwolf]

ぶっちゃけGSuiteやMicrosoft365使ってない企業がセキュリティに気を使ってるとか言われてもリアクションに困るよね。お前らそれらの企業以上のセキュリティ体制維持できんのかと。

[reachout]

IPAがこれはあかんやつやでと言ってくれるまで続いてしまう

[hiroomi]

“ファイルはDropboxやGoogleDriveで利用者認証付きで共有するなど、メール添付ではない方法で受け取るよう指導するところも出てきている”

[kenjiro_n]

ついでに平文メールで社内週報を提出できるようにしよう＞弊社

[shozzy]

あえて聞く「代替策は？」／boxとか使えばいいんだけど、相手方のリテラシーもまちまちだし、そういうクラウドサービスが遮断されている企業もあったりして困るのよ。

[aya_momo]

大企業では、これがシステム化されている。

[masaki925_8107]

これは地道に布教していくしかないよね

[substance_abuse]

google driveも満足に使いこなせない人たちもいるんやで