[ITmedia エンタープライズ] 「英数・記号の混在」はもう古い NISTが禁じたパスワード慣行と組織のリアル

皆さんはパスワードを設定するとき、「英字と数字と記号を混ぜて、定期的に変えましょう」と教わってきませんでしたか？ 実はこれ、もう「古い考え方」になりつつあるんです。

アメリカの国立標準技術研究所（NIST）という、情報セキュリティの世界で最も信頼されている機関が、パスワードの「新しいルール」を打ち出しました。それによると、複雑な記号を混ぜたり、毎月のようにパスワードを変えたりすることは、かえってセキュリティを弱くする可能性があるというのです。なぜでしょうか？

人間は、複雑すぎるパスワードを覚えられません。だから、覚えやすいように、名前や誕生日など推測されやすいものにしたり、メモに残したりしがちです。また、定期的な変更を求められると、前のパスワードにちょっとだけ変更を加えるなど、結局は推測されやすいパターンになってしまうことが多いのです。これでは、せっかくのルールも意味がありません。

NISTが提唱する新しい考え方は、「長く覚えやすいパスワードを使い続け、もしパスワードが漏れてしまったらすぐに変える」というものです。パスワードの長さが重要視され、例えば「私は犬が好きです」のような、意味のあるけれど長いフレーズが推奨されています。これなら覚えやすいですし、推測するのも非常に難しいですよね。

しかし、この新しいルール、すべての企業やサービスがすぐに取り入れられるわけではありません。長年慣れ親しんだ「英数記号混在」「定期変更」のルールを、システム側で変えるのは大変な手間とコストがかかります。また、従業員への教育や意識改革も必要です。多くの企業が「古いルール」のままになっているのは、そうした現実的な課題があるからです。

これからのセキュリティは、パスワードだけに頼るのではなく、二段階認証（パスワードに加えて、スマホに届くコードなどを入力する方法）や、生体認証（指紋や顔認証）など、様々な「仕組み」でユーザーを守る方向へ進んでいます。人間が間違いやすいパスワード運用を、技術で補うという考え方ですね。私たちの生活も、こうした変化によって、より安全で便利なものになっていくでしょう。