セキュリティポリシー
ログインに失敗した回数が多いと、システムはユーザーアカウントを自動的にロックアウトするように設定できます。ロックアウトされたアカウントは、手動で解除するかまたは一定時間が経過してから自動的に解除できます。
また、一定期間毎にユーザーパスワードの変更要求、以前に使用したパスワードの再利用禁止、自動的に非アクティブなアカウントの無効化ができるようにシステムを設定することもできます。
サービスプロバイダは、パスワードの最小文字数、記号や英数字の組み合わせ、弱いパスワード（ユーザー名など）の使用禁止など、パスワードの強度に関する規則を定めることができます。そのような規則がある場合は、それを変更することはできません。管理者はサービスプロバイダーから規則の説明を受け、エージェントに知らせなければなりません。
セキュリティポリシーを設定するには、セキュリティメニューより セキュリティポリシーを選択します。
Screen Properties
The Security Policy screen properties are described as follows.
Enable lockouts
Checking this box indicates that the account lockout option is enabled.
To comply with the PCI DSS security standard, this option shall be enabled.
Maximum login attempts
This property specifies the number of consecutive unsuccessful login attempts after which the account will be locked out.
To comply with the PCI DSS security standard, set this parameter to at least six attempts.
Reset attempt count after
This property specifies the amount of time after which the counter of unsuccessful login attempts will be reset.
Lockout duration
Lockout duration is the amount of time after which a locked-out account will be unlocked automatically. To disable auto-unlocking, set this parameter to “0” (zero), in which case, locked-out accounts can be unlocked manually only.
To comply with the PCI DSS security standard, set this parameter to at least 30 minutes.
Password history
The Password history section allows you to prevent the user from submitting a new password that is the same as any of the specified number of previous passwords that the user used.
Check against previously used passwords
To comply with the PCI DSS security standard, select the checkbox for Check against previously used passwords.
Number of previously used passwords to keep
To comply with the PCI DSS security standard, set the number to 4 (or greater).
Expiration policy
The Expiration policy section provides control over how often users will be required to change their passwords and after how many days inactive user accounts will be disabled.
Require users to change passwords every
This parameter allows you to specify how often users will be required to change their passwords. To comply with the PCI DSS security standard, set this parameter to no more than 90 days.
Disable inactive accounts after
This parameter allows you to specify after how many days inactive user accounts will be disabled. To comply with the PCI DSS security standard, set this parameter to no more than 90 days.