パスワードの定期変更を強いる危険性

パスワードの定期変更はセキュリティ的にネガティブな要因となるという見解が米国政府をはじめ表明され、広がりを見せています。

セキュリティポリシーなどを定める中で、パスワードの定期変更をおこなうという項目を盛り込み、それをシステムに取り組むことなどは数多くある事例です。

筆者としてもWindowsのActive Directoryでパスワードの定期変更をポリシーとして設定したことがあり、それは企業のISMSのセキュリティ施策に沿ったものでした。

現在ではこの考え方について、メリットよりもリスクの方が多いのではないかという考え方が強くなっています。

パスワードはある程度の長さを持ち、英数字記号などを混ぜたものが推奨されます。文字数が多くなると覚えるのが大変ですので、定期的な変更を強制されると、他のパスワードとの使い回しや簡単なパスワードの部分変更などにしてしまうユーザーがどうしても増えます。

特に昨今は他のシステムなどのパスワードとの使い回しが不正アクセスの最大の弱点になっています。ある程度以上の規模のあるシステムで、パスワードが大規模な流出が相次ぎました。パスワードとアカウント名が紐づいていたデータベースなどが攻撃者によって作られているのが現状です。

現在最も重要なパスワード運用は、推測されにくく、使いまわさないパスワードであると筆者は考えています。

このところはある程度の強度を持ったパスワード生成機やパスワード管理システムなどもあり、強度の高いパスワードを簡単に使えるような仕組みが増えてきています。

またメールやスマートフォンなどを利用した2段階認証などもあり、それらの仕組みを使えばより安全にパスワードとIDを守ることができます。

パスワードの定期変更をポリシーとして設定している場合は、安全な運用方法についてポリシー改定を策定するのも考慮しても良いと考えます。

まず不正ログインなどのリスクからシステムを守ることが最も重要で、それを守るために既存のポリシーを変えることもまたリスクマネジメントで大切なことではないでしょうか。