会社のパソコンや銀行、アマゾンや楽天などの通販サイトに個人のスマートフォン...... 日常生活ではいくつものパスワードを使うが、全部覚えている人はどれだけいるだろうか。そのうえ、会社のセキュリティー担当から「定期的なパスワード変更」の指示が入ると......
インターネットで、「パスワードを覚えられない危機意識の低い社員が多いことに唖然とする」と、セキュリティ担当者の怒りの投稿が炎上ぎみの騒ぎを起こしている。「何様のつもり」「やり過ぎ」という批判だけでない。じつは最近、「パスワードの変更は不要」という潮流になっているというのだ。
-
パスワードを覚えるのが大変だが……
何回もパスワードを変更するのは古い、変えないのが最近の潮流
話題のきっかけは、女性向けサイト「発言小町」（2018年3月11日付）への投稿。会社の情報システム部門でセキュリティ対策のマネージメントをしているという人が、セキュリティ強化のため、「3か月に1回だったパスワード変更を1か月に1回にする」と伝えたところ、社員から不満の声があがった。そればかりか、社員の中には2つのパスワードを使い回して交互変更している者もいて、「社員のセキュリティ感覚の低さは病気としか言えないレベルだ」と、悲憤慷慨した。
社員がパスワードを3回間違えるとログインできない設定にしているが、パスワードを忘れてパソコンの初期化を頼みにくる者が後を絶たない。「彼らは『紙に書かないように言われた決まりを守ったからだ』などと言い訳をし、私に逆ギレの態度だ。どうしたら社員の危機意識を正常にできるだろうか」とアドバイスを求めたのだった。
この投稿に、「社員の危機意識なんてどこでもそんなもの。そこを社員に負担をかけずに安全策を講じるのがセキュリティ担当者の仕事ではないか」と、猛反発する声が大半。
たとえば、「あなたはシステムのお守りが仕事かもしれないが、社員はそうではない。毎月パスワードを変えさせれば、どこかに記録しておかないと忘れるのがふつうだ。パスワードを覚えさせることに執着せずに、他のもっとユーザーに優しい認証方法を検討すべきだ。カード認証や指紋認証、顔認証、それらを合わせた二要素認証などいろいろある」。
また、「何回もパスワードを変更する方法は古い。最近はパスワードを変更しなくてもいい風に変わっている」と、投稿者のセキュリティ担当としての「資質」に疑問を投げかける人も多くいた。
なかには、「投稿者は力を入れるところを間違えている。2017年に米国国立標準技術研究所（NIST）が出したガイドラインでは、パスワードの定期的な変更はしないほうがいい旨が記されている。日本でも内閣サーバーセキュリティセンター（NISC）や総務省からも同様のことが言われている。パスワードを数字やアルファベットの大文字小文字を組み合わせた複雑なものにする。そして定期的な変更はせず、流出時は速やかに変更するのが最近の流れだ」と、専門家のような指摘もあった。