セキュリティ向上のための定期的なパスワード変更とは

みなさん、昨今増え続ける、ユーザIDやパスワードの管理についてどうしていますでしょうか。

パスワードの使い回しなどをしてしまいがちではないですか。最近では、有効期限を設定したパスワードの定期変更はセキュリティ的に逆効果だという意見も出ていますが、本当にそうなのでしょうか。
今回は、それぞれのメリット・デメリットなどから定期的なパスワード変更の有用性について書いてみたいと思います。

まずは、定期的なパスワード変更における代表的なメリット・デメリットを上げてみます。

◆メリット

• パスワード漏洩のリスクを軽減させることができる。
• パスワードが盗まれた際の不正アクセスのリスクを期間で分散できる。

◆デメリット

• 頻繁にパスワードの変更を促すと、以前使っていたパスワードを元に一部だけ変更するなど、
  今後のパスワードも含め推測される可能性が高くなり、パスワード漏洩のリスクが高くなる。
• 頻繁なパスワード変更が煩わしくなると、上記のようにいくつかのシンプルなパスワードを繰り返して使ったり、
  PCにパスワードを書いた紙を貼り付けるなどのリスクを高める対応が行われる可能性が高まる。

上記のように、メリットにはパスワード漏洩のリスクを軽減できると書いているにも関わらず、デメリットでは、パスワード漏洩のリスクが高くなるというように、それぞれでメリットとデメリットで矛盾した内容が上げられています。

それぞれの理由としては、定期的にパスワードを変更することによって、確かにパスワード漏洩のリスクやパスワードを盗まれた際のリスクは軽減することができますが、それはパスワード変更の際に、推測されにくいパスワードをしっかりと設定している場合となります。ところが、デメリットに書かれているように、パスワード変更の際に、規則的に一部の値を変更するなど、推測されやすい値を設定している場合や、パスワードが書かれた紙を貼っているなどは、パスワード漏洩などのリスクを下げるどころか逆に上げる要因となってしまいます。

これらからわかるように、少なくともパスワードを頻繁に変えることでセキュリティが向上するかといえば、一概にそうとは言えないことがわかります。
なので、重要なのはむやみやたらに頻繁なパスワード変更は促すのではなく、用途などに応じて的確な有効期限を設定することとなり、パスワード文字列を長くしたり複雑にしやすくし長期利用を可能にしたり、重要なデータを扱うものに関しては他要素認証を用いるなど業務などの重要度やユーザへの負担などに応じた対応が必要となります。

みなさんもこれを機に、現在使用しているパスワードや、パスワード管理について見直してみてはいかがでしょうか。