NISTセキュリティルール

規制された作業には、多くの場合、認証基準が添付されています。米国FDAタイトル21 CFRパート11、および多くの防衛および航空宇宙契約に書かれたセキュリティ管理は、ユーザーアカウントがパスワードの選択方法、保存方法、およびログインの有効期間に関する公開されたルールに従うことを期待しています。PartsBoxは、NIST Special Publication 800-63BのルールをAuthenticator Assurance Level 1 (AAL1)で適用できます。

強制が追加するもの

管理者は、データベース設定で組織に対してこれをオンにします。有効にすると、そのデータベースのすべてのメンバーに適用されます：

• 一般的なパスワードのスクリーニング: 誰かがパスワードを設定または変更すると、PartsBoxはそれを最も一般的なパスワードのリストと照合し、一致する場合は拒否します。そのリストの大きさを選択できます（デフォルトでは上位100エントリ、最大で上位100,000エントリまで）。
• セッションの有効期間制限: ログインは最大30日間有効です。その後、セッションがまだアクティブであったかどうかに関係なく、ユーザーは再度サインインします。これはAAL1が設定する再認証制限です。

すべてのアカウントがすでに取得しているもの

NIST 800-63Bが要求することの一部は、PartsBoxがすでにすべてのプランのすべてのアカウントで実行しています:

• パスワードの長さ: パスワードは8〜512文字です。現在のNISTガイダンスに合わせて、強制的な記号ルールや定期的な有効期限なしで、長いパスフレーズが許可されています。
• Unicode正規化: パスワードはハッシュ化される前に正規化されるため、パスフレーズは異なるキーボードやデバイス間で同じように認証されます。
• ソルト付きハッシュストレージ: パスワードはソルト付きのbcryptハッシュとしてのみ保存され、誰も読める形式では保存されません。
• 繰り返しの失敗後のロックアウト: 連続して間違ったパスワードを入力しすぎると、アカウントが短期間ロックされ、パスワードの推測が防止されます。

AAL1は単一要素です。正しく選択され、処理されたパスワードで十分です。PartsBoxは2番目の認証要素を追加しません。規制されたセットアップの残りの部分については、これらのルールをロールベースのアクセス制御、監査証跡、およびロット管理と組み合わせてください。各要素がどのように適合するかについては、Title 21 CFR Part 11を参照してください。

NIST SP 800-63B AAL1の適用はComplianceプランに含まれています。