高木浩光氏が解説「パスワード定期変更は都市伝説」

　情報セキュリティには「常識」とされるさまざまな対策・行動があります。しかし私たちが当たり前のように受け入れている常識の中には、実は「誤解」にもとづく対策・行動が混じっているのもご存じでしょうか。

　そんな情報セキュリティにまつわる「常識の誤解」を晴らすのが、情報セキュリティ分野の第一人者、国立研究開発法人 産業技術総合研究所の高木浩光主任研究員です。今回はパスワードに関する誤解について、高木氏が解説します。（取材／文／構成　ノーバジェット）

パスワードの定期的な変更は不要？

　情報セキュリティ対策の基本中の基本といえば、ID・パスワードによるアカウント管理です。どの企業・組織もほぼ例外なく、従業員に対してパスワードをしっかりと自己管理することを求めています。

　そうした中、2018年3月に新聞やテレビで「総務省がパスワードの定期的な変更を促すことをやめた」と報じられ、話題になりました。これは総務省の「国民のための情報セキュリティサイト」に以下のような文言が追加されたことがきっかけでした。

　報道では「総務省が方針転換」とされていますが、事実は少し異なります。そもそも総務省あるいは政府に「パスワードは定期的に変更する」という方針があったわけではありません。上記の引用部分は、国民向けの啓発記事を改訂したものにすぎず、政府の方針や基準ではないのです。基準としては、内閣サイバーセキュリティセンター（NISC）の「政府機関の情報セキュリティ対策のための統一基準」にパスワード変更についての言及はあるものの、こちらも以前から定期的な変更を促していたわけではありません。

　では、なぜ「方針転換」と報道されたのでしょうか。世の中には「パスワードは定期的に変更するもの」という、いわば“都市伝説”があり、それがなかなか消えてなくなりません。一方で、変更の効果に疑問を持つ人たちも多かったのでしょう。総務省（政府）が方針転換したことにすれば、大きな影響力を持つことになるわけですから、結果としてよかったと思います。

　ちなみに米国では、国立標準技術研究所（NIST）が2017年6月に改定した「電子認証に関するガイドライン」において、管理者が利用者に対して必要もないのに独断的かつ定期的にパスワードの変更を求めることは、「SHOULD NOT」である（すべきでない）と明記されました。このことも総務省の啓発記事に影響を与えたようです。

「最悪のパスワード」を排除できているか

　パスワードの定期的な変更は、本当に必要のないことなのでしょうか。… 続きを読む