まだ毎月パスワード変えてます？ 経営陣が知らないセキュリティの落とし穴

私が「頭皮の臭い改善」や「もし、キュゥべえがnoterだったら？」など雑多な記事を書いているため、私の本職がシステム開発のプロジェクト支援ということをお忘れになっている方も多いと思います🤣

ということで、今回はセキュリティの話で、主に経営陣の皆さま方へ参考になる記事にしたいと思います。

表題の件ですが、
貴社は、まだ従業員に毎月のパスワード変更を義務付けているでしょうか？
もしそうだとしたら、見直しをご検討ください。
セキュリティが甘くなり、無駄なコストが発生している可能性が高いです。

理想と現実のギャップがもたらす
「見えないコスト」

毎月のパスワード変更は、定期的にパスワードを変更することによって不正アクセスを防ぐという理想的な対策です。

しかしながら、現実には以下のような「見えないコスト」が発生します。

余計な人的コスト

パスワードを忘れてロックがかかったことはありませんか？
毎月パスワードの変更が必要になるとこれが頻発し、IT部門の担当者が対応に追われます。

また、地味に新しいパスワードを考えたり、「パスワードは何だっけ？」と思い出す時間、パスワード変更を対応する時間など、従業員が多ければ多いほど、チリツモで人的コストが増加します。

総務省も「定期的変更は不要」

2017年6月に米国国立標準技術研究所が、
「サービス提供者はパスワードの定期変更を要求すべきでない」
と発表し、2018年3月に総務省も「パスワードは定期的に変更する必要はなく、流出時に速やかに変更する」と方針転換しています。

なぜか？

めんどくさいからです。

大文字・小文字・数字・記号を含めて指定文字数の範囲内で、毎月、パスワード変更を要求された場合、めんどくさいですよね？

そうすると、どうなるかというと

パターン①
付箋などにパスワードを書く。

パソコンの内側に付箋を貼っておき、開くとパスワードが分かってしまったら、もはやセキュリティは無いに等しいです。

「あれ？パスワードを書いた付箋ってどこに行った？」

なんて光景が目に浮かびます。

パターン②
前月の使い回し。例）「Password_202509」など数値が変わるだけ

理想を完璧に実行できればよいですが、現実は実行できずにかえってセキュリティレベルが落ちます。

コストをかけられるのであれば多要素認証などもありますが、毎月のパスワード変更をやめて、自分の推しの名前や覚えやすい文字や数字を組み合わせたパスワードにするだけでもセキュリティレベルは高くなります。

なぜならば、覚えておけるので付箋やノートに書かないからです。

なぜパスワードの定期変更が続くのか？

現場のメンバーを責めないでください。
厳しい言い方をすると、これは組織の課題です。

「方針を出したら終わり」という組織風土や、「現場から上がってこない限り問題はない」という考えだと、時代遅れのルールが残ります。

「3年前に出した方針は、今も成果を出せていますか？」

日本人は真面目な人が多いです。トップダウンからの要求は、とりあえず初年度だけは真面目に対応する人が多いと思います。

ただ、それは表面的になっていないでしょうか？
形骸化していないでしょうか？
いまもそれが血肉となって利益を生み出しているでしょうか？

セキュリティ対策に限らずですが、一度出した方針がどのくらい効果があったか、問題はないかを定期的に振り返ることが大切だと考えています。

そうすることで、組織の「見えないコスト」を削減して、実のある成果も出やすくなると感じています。ご参考になれば幸いです。