弊害だらけの「複雑なパスワード」と時代遅れの「定期変更」からの解放：それでもパスワードは滅びぬ

パスワード認証がなくなることは当分ないだろう。このパスワードとうまく付き合うには、覚えにくいパスワードや定期的な変更の強制という時代遅れな運用をやめ、多層防御に移行する必要がある。

　パスワードが今すぐ廃止されるとは考えにくい。パスワードがアクセス制御の重要な部分を占めるという組織はまだまだ多い。

Computer Weekly日本語版　8月22日号無料ダウンロード

本記事は、プレミアムコンテンツ「Computer Weekly日本語版　8月22日号」（PDF）掲載記事の抄訳版です。本記事の全文は、同プレミアムコンテンツで読むことができます。

• Computer Weekly日本語版　8月22日号：東京五輪でも活躍!?　5G最新動向

なお、同コンテンツのEPUB版およびKindle（MOBI）版も提供しています。

　しかし、パスワードポリシーやパスワード管理が十分でない企業も少なくないことが知られている。パスワードポリシーが見直され、更新されることはめったにない。また、このポリシーは、ランダムかつ複雑で人間が覚えにくいパスワードを設定すべきだという、時代遅れの助言に従っている。

　複雑なパスワードを強制することは、そのパスワードを思い出そうとする個々のユーザーだけではなく、組織全体にとっても好ましくない場合がある。パスワードが思い出せなければパスワードをリセットすることになり、サービスデスクのコストが増大するからだ。パスワードの更新時に、期限切れとなった以前のパスワードに「1を加える」程度の変更しかしないことも珍しくない。このようなやり方は、パスワード突破のリスクを高める。期限切れのパスワードが手掛かりになるからだ。

　英国立サイバーセキュリティセンター（NCSC：National Cyber Security Centre）が公表している指針は、ユーザーを「パスワードの過負荷」から解放することを強く推奨している。具体的には、パスワードを定期的に無効にする運用をやめて、パスワードが侵害された疑いがある、または侵害が確認された場合にのみパスワードを変更することを推奨している。

　アクセス権限を得る手段としてパスワードのみに頼っていいのは、

続きはComputer Weekly日本語版　8月22日号にて

本記事は抄訳版です。全文は、以下でダウンロード（無料）できます。

• Computer Weekly日本語版　8月22日号：東京五輪でも活躍!?　5G最新動向

■Computer Weekly日本語版 最近のバックナンバー

Computer Weekly日本語版　8月8日号　DockerとKubernetesのさらに先

Computer Weekly日本語版　7月18日号　トイザらスとAmazon成功の分かれ目

Computer Weekly日本語版　7月4日号　EUの罰金リスクはGDPRだけではない