皆さん、こんにちは！情シスセキュリティ担当の城咲子です。
いきなりですが、皆さんの会社でもこんな会話、よく耳にしませんか？
「パスワード忘れちゃったんですけど、再発行できますか？」
「えー、またパスワード変えるんですか？覚えられないし…」
「え、プライベートのサービスと一緒だけど、まさかバレないでしょ？」
もう、情シスあるあるですよね！私なんて、パスワード関連の問い合わせで1日が終わることもザラです（笑）。
でも、この「パスワード」って、実は会社の、そして皆さんの情報資産を守る最初の、そして最大の砦なんです。ここが突破されちゃうと、もう大変！
今回は、そんなパスワード管理について、情シス目線で「これだけは押さえてほしい基本のき」と、さらに「一歩進んだ+αの技」まで、現場で役立つ実践的な内容をお話ししていきますね。
パスワード管理、なぜ「基本」が大事なの？
「なんだかんだ言っても、自分は大丈夫でしょ？」
そう思っている方もいるかもしれません。でも、サイバー攻撃の手口は日々巧妙化しています。
- パスワードリスト攻撃: どこかで流出したIDとパスワードの組み合わせを使い回しているサービスに、片っ端からログインを試みる攻撃です。一つのサービスで情報が漏れると、芋づる式に他のサービスも危なくなります。
- ブルートフォースアタック: パスワードを総当たりで試していく攻撃。文字数が少なかったり、単純なパスワードだと、あっという間に突破されてしまいます。
- フィッシング詐欺: 偽サイトに誘導してパスワードを入力させようとする手口。一瞬の油断が命取りになります。
こんな攻撃から、皆さんの大切な情報、会社の機密情報を守るためには、やっぱりパスワード管理の「基本」をしっかり押さえることが何よりも重要なんです。面倒だなんて言ってられないですよ！
情シスが語る！パスワード管理の「基本のき」5選
さて、ここからは、皆さんに実践してほしいパスワード管理の「基本のき」を5つ、具体的にご紹介します。
1. 長くて複雑なパスワードを使おう！
これが基本中の基本。長く、そして複雑なパスワードほど、破られにくくなります。
- 文字数: 最低でも12文字以上。できれば16文字以上を目指しましょう。
- 組み合わせ: 半角英数字の大文字・小文字、記号をすべて混ぜるのが鉄則です。
- 例:
j0hNny_W@lk3R_2O24!(※意味のない文字列推奨)
- 例:
- 避けるべきパスワード:
- 誕生日、電話番号、名前など、推測しやすいもの
- 辞書に載っている単語やよく使われるフレーズ（
password,123456,qwertyなど） - キーボードの並び（
asdfghjklなど）
「そんなの覚えられないよ！」という声が聞こえてきそうですが、実はパスフレーズ（複数の単語を組み合わせたもの）を使うと覚えやすく、かつ強力なパスワードが作れます。例えば、「空飛ぶ赤い象がビールを飲む」→ SoratobuAkaiZougaBeerWoNomu! のように、自分だけが知っているストーリーにするのも手ですよ。
2. パスワードの「使い回し」は絶対NG！
これはもう、口を酸っぱくして言いたい！「同じパスワードを色々なサービスで使い回す」のは、絶対にやめてください。
例えるなら、一本の鍵で家の玄関、会社のオフィス、車のドア、全部を開けられるようにしているようなもの。もしその鍵が一本盗まれたら、全部アウトですよね？
特に、会社のシステムとプライベートのSNSやECサイトで同じパスワードを使うのは、セキュリティリスクが高すぎます。万が一、個人の情報が流出した際に、会社のシステムまで不正アクセスされる可能性がありますからね。サービスごとに全く異なるパスワードを設定しましょう！
3. 定期的な変更は「もう必須じゃない」？
「え、パスワードって定期的に変えるのが常識でしょ？」
実は、セキュリティ業界の考え方は少し変わってきています。アメリカ国立標準技術研究所（NIST）のガイドラインでは、「定期的なパスワード変更は推奨しない」とされています。
なぜかというと、人間は定期的な変更を強いられると、
- 元のパスワードに少しだけ変更を加える（
pass123→pass124） - 覚えやすい単純なパスワードにする
- メモに書き出す
といった行動を取りがちで、かえってセキュリティレベルが下がってしまう傾向があるためです。
じゃあ、どうすればいいの？
- 基本は変更不要: 脆弱性がなく、安全なパスワードを使っている限り、無理に定期変更する必要はありません。
- 漏洩が発覚したら即変更: サービスから「パスワードが漏洩した可能性があります」という連絡が来たり、心当たりのないログインがあった場合は、すぐにパスワードを変更しましょう。
4. 多要素認証（MFA）で防御力を劇的にUP！
パスワードは「知識情報」（知っているもの）ですが、これだけでは不十分な時代です。そこで力を発揮するのが「多要素認証（MFA: Multi-Factor Authentication）」。
これは、パスワードに加えて、別の要素を組み合わせて認証する方法です。
- 所有情報（持っているもの）: スマートフォンに届くSMSコード、認証アプリ（Google Authenticatorなど）のワンタイムパスワード、セキュリティキー（FIDOデバイス）
- 生体情報（本人固有のもの）: 指紋、顔認証、虹彩認証
例えば、パスワードを入力した後、スマホに送られてくる6桁の数字を入力したり、指紋認証を行うことで、たとえパスワードが漏れても、不正ログインを防ぐことができます。これは本当に防御力が劇的に上がりますので、対応しているサービスでは必ず設定してください！
5. パスワードマネージャーを賢く使おう！
覚えるのが大変な複雑なパスワードを、サービスごとに使い分ける…。そんな悩みを解決してくれるのが「パスワードマネージャー」です。
パスワードマネージャーは、
- 強力なパスワードを自動生成: 推測されにくいパスワードを一瞬で作ってくれます。
- 安全に保存: 暗号化された状態でパスワードを管理してくれます。
- 自動入力: ログイン時にパスワードを自動で入力してくれるので、手動で入力する手間が省けます。
会社の導入状況にもよりますが、LastPass, 1Password, Bitwardenなどが有名です。ブラウザのパスワード保存機能はセキュリティが弱い場合があるので、できれば専用のパスワードマネージャーの利用を検討してください。これを使えば、皆さんのパスワード管理は格段に楽になり、かつ安全になりますよ！
あなたのパスワード管理、大丈夫？セルフチェックリスト
ここまで読んでくださった皆さん、ご自身のパスワード管理がどれくらいできているか、ぜひチェックしてみてくださいね。
- [ ] 12文字以上のパスワードをメインで使っている
- [ ] パスワードに記号、数字、大文字、小文字をすべて含めている
- [ ] 会社、プライベート問わず、サービスごとに異なるパスワードを使っている
- [ ] 大事なサービス（会社のシステム、銀行、メール、SNSなど）には多要素認証を設定している
- [ ] 安全なパスワードマネージャーを使って、パスワードを管理している
- [ ] パスワードを紙に書き出したり、ブラウザに安易に保存したりしていない
- [ ] 不審なメールやサイトでパスワードを入力しないよう注意している
いかがでしたか？もしチェックができなかった項目があれば、ぜひ今日から改善してみてくださいね。
まとめ：パスワード管理は「面倒」ではなく「必須」のセキュリティ対策！
パスワード管理は、一見地味で面倒に感じるかもしれません。でも、情報漏洩や不正アクセスは、会社の事業継続にも、皆さんの個人情報にも、甚大な被害をもたらす可能性があります。
だからこそ、パスワード管理は「必須のセキュリティ対策」として、一人ひとりが意識して取り組むべきことです。完璧を目指すのも良いですが、まずは今回ご紹介した「基本のき」から、できる範囲で実践してみてください。
情シスとしては、皆さんが安心して業務に取り組めるよう、これからもセキュリティに関する情報を分かりやすく発信していきます。もし「うちの会社のパスワードポリシー、これでいいのかな？」なんて疑問があったら、ぜひ私たち情シスに相談してくださいね！
それでは、また次回の記事でお会いしましょう！
