パスワードの定期変更とは？その必要性や管理方法などについて紹介

情報セキュリティの常識は、技術の向上やサイバー攻撃の傾向などにより変化していきます。
新たに生まれた脅威・脆弱性への対応が必要になる、PPAPや境界型セキュリティのようにこれまでなされてきたセキュリティが意味をなさなくなるなどは、枚挙に暇がありません。

パスワードのルールもその一つで、かつては定期的な変更を行うことが広く推奨されていましたが、近年ではむしろパスワードの定期変更は不要と言われています。

本記事では、パスワードの定期的な変更について、概要や不要とされる理由について解説し、安全な管理方法やよりセキュリティ強度の高い認証方法についても紹介します。

また、パスワード管理をはじめとした情報セキュリティの対策の理解度を測れる16問のテストをご用意しました。ぜひ腕試ししてみてください。

パスワードの定期変更について

パスワードの定期変更は、もともと、パスワードの漏えいに効果があるものとされてきました。また、サービスやアプリケーションによってはパスワードの定期変更が仕組みとして取り入れられています。

例えば、パスワードが漏えいしてしまったことがある場合や、もしかしたら知らないうちに漏えいしている可能性がある場合は、定期変更する意味がありますし、必要と言えるかもしれません。
しかしながら、現在では、パスワードを定期変更することによるデメリットの大きさが指摘され、不要ではないかとする見方が主流になってきています。

パスワードの定期的な変更は不要？

NIST（アメリカ国立標準技術研究所）が発表した「NIST Special Publication 800-63B Digital Identity Guidelines（電子的認証に関するガイドライン）」では、「Verifierは，記憶シークレットを任意で(例えば，定期的に)変更するよう要求すべきではない(SHOULD NOT)．」と言及されています。
ここでいう記憶シークレットとは、ユーザ自身が選択し、記憶する秘密情報すなわちパスワードを指します。

この考え方は世界的にも主流になってきており、日本においても総務省が公式に、パスワードの定期変更は不要であると発表しています。

パスワードの定期的な変更を不要とする根拠

パスワードの定期的な変更を不要とする根拠としては、「ユーザーへの負荷が高く、結果としてユーザーがかんたんなパスワードを設定してしまうケースが増え、デメリットがメリットに勝る」というものです。

つまり、パスワードの定期的な変更自体には一定の効果はあるが、定期的に変更をする場合のデメリットが大きいため、定期的な変更はするべきではないと考えられるようになりました。

ただ、組織によって、取り扱う情報に求められるセキュリティレベルや、不正アクセスを仕掛けられる可能性・頻度には差がありますので、必要に応じてパスワードの定期変更をルールに取り込むことも十分あり得ます。

また、十分に複雑性と長さを持ったパスワードを設定すること、生体認証や多要素認証などの他の認証方法を利用することなど、代替手段が増えていることも定期的な変更を不要とする理由の一部です。

パスワードの定期的な変更が必要な理由

パスワードが漏えいしてしまった場合には、変更が必要です。

これまでパスワードの定期的な変更が必要とされてきた理由として、パスワードが知らないうちに漏えいしている場合を想定し、その対策という意味合いが主でした。
その際の有効性については、変わりはありません。

つまり、パスワードの変更そのものに危険はなく、漏えいを前提とした対処としては有効です。パスワードの定期的な変更によるデメリットが上回らないよう配慮できれば、今後も一定の効果が見込めます。

もし利用者が十分に安全なパスワードを定期的に設定できるのであれば、セキュリティポリシーに従って定期的な変更を行うというのもひとつの選択肢になります。

パスワードの安全な管理方法

パスワードの定期的な変更をするかどうかに関わらず、パスワードは安全に管理することが重要です。安全な管理には、下記が必要となります。

パスワードの安全な管理方法については、「意外と知らない適切な管理方法！パスワードの管理方法と注意点とは」で詳しく記載しているため参照ください。

いくつか具体的にご紹介します。

パスワード使いまわしの忌避

パスワードを設定する場合、文字数、使用する文字の種類（大文字、小文字、記号、英数字）、予測されやすい単語などを考慮してセキュリティ強度が高くなるよう設定する必要があります。
IPA（独立行政法人情報処理推進機構）がサイト上で安全なパスワードについて紹介していますので、参考にしてみてください。

使いまわしをしない

パスワードの漏えいにまつわる不正アクセスでよくみられるのが、パスワードの使いまわしに起因するものです。

パスワードリスト攻撃は、あるサービスから漏えいしたID・パスワードの組み合わせを他のサービスのログイン画面で入力、手当たり次第に不正ログインするという手法で、これはユーザのパスワード使いまわしに付け込んだものです。
パスワードを使いまわしていればいるほど、漏えいでの被害は拡大します。

管理ツール（アプリ）を使う

パスワードの管理方法の一つに、管理ツール（アプリ）を利用する方法もあります。強度の高いパスワードを生成し、保管できるため利用者の手間を省くことが可能です。

一方で、IDとパスワードの両方を預けることになるため、大きなリスクも存在します。
管理ツールのベンダーが情報漏えいを起こしてしまった場合や、管理ツールに第三者がログインしてしまった場合、すべての認証情報が漏えいしてしまうため、被害は大きくなります。

パスワード管理ツール利用の際は、信頼できるベンダーのものを利用し、また、管理ツールへは容易にアクセスできないようにしましょう。

パスワードの定期的な変更よりも有効な多要素認証

パスワードの定期変更が不要であるとされる根拠として、パスワード認証より強力な認証方法の登場もあります。

生態認証やパスワード認証を組み合わせて多要素認証とすることで、これまでより強固なセキュリティを確保することができます。情報セキュリティ確保に向けて、多要素認証の適用は広く推奨され、利用が拡大中です。

所有による認証

モノを所有していることにより、特定のユーザーであることを示す認証方法です。

例としては、下記があげられます。

生体による認証

人間がそれぞれに持つ固有の身体情報を記録し、認証情報とする方式です。

例には、下記があげられます。

まとめ

パスワードの定期的な変更は、認知していない情報漏えいへの対策などの観点から、一定のメリットはあります。

ただ、一方で、ユーザの負担が大きく、かんたんなパスワードになってしまいやすいというデメリットがあります。自社で保有する情報の種類や従業員への負担を勘案して自社に適切なパスワード管理ルールを作っていきましょう。

また、多要素認証を利用することでパスワードよりも強固なセキュリティを確保することができます。こちらもご検討ください。

パスワード管理の際に従業員が守る指針となる情報セキュリティポリシーについて、サンプル付きで作成・運用のポイントをまとめたPDF資料を無料で配布しています。ぜひご活用ください。