パスワード
何のことか
総務省の用語集は、パスワードをこう説明しています[1]。
本人であることを確認するために、ユーザ名とともに入力する文字列。
— 総務省「国民のためのサイバーセキュリティサイト」用語集
同じ項目には「銀行のキャッシュカードの暗証番号も、一種のパスワードです。」ともあります[1]。
会社で使う場面については、総務省の解説ページが「企業・組織におけるパスワードは、ユーザ名と組み合わせることで企業・組織内の情報資産へのアクセスの可否を決める重要なものです。」と書いています[2]。
安全なパスワードとは
同じ解説ページの定義はこうです[2]。
安全なパスワードとは、他人に推測されにくく、ツールなどの機械的な処理で割り出しにくいものを言います。
覚える必要があるパスワードについては、「英語でも日本語（ローマ字）でもよいので無関係な（文章にならない）複数の単語をつなげたり、その間に数字列を挟んだりしたものであれば、推測されにくく、覚えやすいパスワードを作ることができます。」としています[2]。
逆に、危険なパスワードとして次の5つを挙げています[2]。
- 「(1) IDと同じ文字列」
- 「(2) 自分や家族の名前、電話番号、生年月日」
- 「(3) 辞書に載っているような一般的な英単語ひとつだけ」
- 「(4) 同じ文字の繰り返しやわかりやすい並びの文字列」
- 「(5) 短すぎる文字列」
使い回してはいけない理由
解説ページは「パスワードはできる限り、複数のサービスで使い回さないようにしましょう。」と書き、理由として「サービスから流出したアカウント情報を使って、他のサービスへの不正ログインを試す攻撃の手口が知られています。」と説明しています[2]。
1つのサービスから情報漏えいが起きると、同じパスワードを使っている別のサービスまで不正アクセスの入口になる、ということです。
よくある誤解：定期的に変えるべきか
「パスワードは定期的に変えるもの」と思われがちですが、総務省の解説ページは、パスワードを破られたり、サービス側から流出したりした事実がない場合について、こう書いています[2]。
実際にパスワードを破られアカウントが乗っ取られる等のサービス側から流出した事実がない場合は、パスワードを変更する必要はありません。
理由は「むしろ定期的な変更をすることで、パスワードの作り方がパターン化し簡単なものになることや、使い回しをするようになることの方が問題となります。」とされています[2]。
同じページは、この考え方の根拠として次の2つを紹介しています[2]。
- 「2017年に、米国国立標準技術研究所（NIST）からガイドラインとして、サービスを提供する側がパスワードの定期的な変更を要求すべきではない旨が示されたところです」
- 「日本においても、内閣サイバーセキュリティセンター（NISC）から、パスワードを定期変更する必要はなく、流出時に速やかに変更する旨が示されています」
つまり、変えるべきなのは「漏れたとき」です。
覚えきれないときは
サービスごとに違うパスワードを覚えるのは大変です。解説ページは「パスワードを覚える必要のない、パスワード管理ツールを使うことも推奨されます。」としたうえで、「これらのツールやサービスは、マスターパスワード（覚えられる充分に安全なもの）や、利用デバイス（スマートフォンなど）のロック（生体認証など）で守る必要があります。」と注意しています[2]。
パスワードだけに頼らない方法としては、種類の違う確かめ方を組み合わせる多要素認証があります。
ニュースで読むときの注意
不正ログインや情報漏えいのニュースで「パスワードの変更をお願いします」とあったら、それは「流出時に速やかに変更する」場面にあたります。
家の合鍵のようなものです。同じ合鍵で家も車も会社のロッカーも開くようにしておくと、1本なくしただけで全部が開いてしまいます。