世の中は常に変化していますが、The Registerは変えたくないこともあります。たとえば、金曜の朝に読者投稿コラム「On Call」の新作をお届けすることです。このコラムでは、IT サポートの現場で起きた体験談を紹介しています。
今週の主人公は、仮名「ダニエル」さんです。2020年、英国の学校でIT部門の担当者2人の後任として採用されたといいます。
「前任のITマネージャーは、『会計上の不正』を理由に退職していました。主な内容は、学校の資金でハイエンドのゲーミングPCを購入しながら、それが校内に届くことはなかったというものです」とダニエルさんは On Call に語りました。「後任となった副担当者は、就任直後にランサムウェア攻撃への対応を迫られました。この攻撃で、学校のネットワーク全体が3か月間停止したのです」
学校は最終的に外部の業者を雇ってネットワークを再構築し、唯一残っていた数か月前のバックアップから復旧しました。その後、副担当者は退職予告期間を務めることなく辞めてしまいました。
空いたポストに就いたダニエルさんは、着任1週目に校長からネットワークの監査を依頼されました。現状を水準まで引き上げる方法をまとめた報告書も求められたそうです。
「いくつか手早く改善できる点が見つかりました。そのひとつがパスワードポリシーです。当時は6文字と決まっているだけで、複雑さの要件も有効期限もありませんでした」とダニエルさんは On Call に話しました。「しかも、ユーザーはランサムウェア攻撃より前から一度もパスワードの変更を求められていませんでした。それどころか、一度も変更を求められたことがなかったのです」
校長はダニエルさんが提案したパスワードポリシーを承認し、全員に直ちにパスワードを変更するよう求めることにも同意しました。
「これほどの反発が起きるとは、まったく想定していませんでした」とダニエルさんは振り返ります。学校のデータ管理担当者は、1998年から同じパスワードを使い続けていると誇らしげに語りました。そして、職員全員がそのパスワードを知っているので変える必要はないと主張したのです。
「彼女は『私が不在でも、私のアカウントでログインしてレポートを出せるでしょう』と言いました」
話はさらに深刻です。そのパスワードは「letmein」で、データ管理担当者は紙に書き留めて机に貼っていました。
ダニエルさんが新しいパスワードポリシーを展開するにつれ、苦情はさらに増えていきました。
やがて校長は、パスワード変更に関する問い合わせはすべて自分に回すようダニエルさんに指示しました。
「2日もしないうちに、校長が私の部屋に来て、ため息をつき、頭を抱えました。そして、変更を元に戻し、全員にパスワード変更を求める要件も撤回するよう命じたのです」とダニエルさんは書いています。
「私は抵抗しました。本当に抵抗したのです」と彼は続けます。「でも、そこは校長の学校です。せめてその指示を書面で出してもらいました」
校長はその3か月後に退任し、学校は非営利団体に引き継がれました。
新しい上司たちはダニエルさんの考えに賛同し、彼のパスワードポリシーを復活させました。
データ管理担当者は、再びこの変更に抵抗しました。
「私と非営利団体のIT責任者を交えた面談の後、彼女は早期退職を選びました。新しいシステムを覚えなくて済みますし、大切なパスワードを変える必要もなくなるからです」
あなたも、管理職やユーザーに助言を拒まれた経験はありませんか。こちらから体験談をお寄せください。今後の On Call で紹介されるかもしれません。®
