パスワードは定期変更すれば安全なのか

覚える運用をやめ、Bitwardenで管理するという選択肢

会社のパスワードを数か月ごとに変更する。

以前は、それが安全な運用だと広く考えられていました。

しかし、変更を繰り返すうちに、末尾の数字や年号だけを変えたり、複数のサービスで同じパスワードを使ったりする人も少なくありません。

変更したという事実だけで、安全性が高まるとは限りません。

現在重視すべきなのは、頻繁に変更することではなく、サービスごとに異なる、長く推測されにくいパスワードを使うことです。

定期変更はなぜ長く常識とされてきたのか

パスワードが漏えいしても、一定期間で変更すれば、不正利用される期間を短くできる。

これが定期変更の基本的な考え方です。

しかし、現在はメール、クラウド、会計、Webサイト、SNSなど、多数のアカウントを利用します。

何十個もの複雑なパスワードを定期的に変更し、すべて記憶することは現実的ではありません。

無理な変更ルールを設けると、利用者は次のような方法を選びがちです。

• 末尾の数字だけを変える
• 月や年を付け足す
• 同じパスワードを使い回す
• 紙や表計算ファイルへ記録する

NISTは、漏えいの証拠がない状態で、定期的なパスワード変更を一律に要求しない方針を示しています。

必要なのは、日付による変更ではありません。

漏えい、不正ログイン、フィッシングサイトへの入力などが疑われた場合に、速やかに変更することです。

本当に危険なのは使い回し

一つのサービスからメールアドレスとパスワードが漏えいすると、攻撃者は同じ情報を使い、別のサービスへのログインを試します。

メール、クラウド、通販、SNSで同じパスワードを使用していれば、一つの漏えいが複数の被害へ広がります。

反対に、サービスごとに異なるパスワードを設定していれば、一つが漏れても、他のアカウントへ被害が広がりにくくなります。

ただし、人が異なるランダムなパスワードを何十個も考え、記憶することは困難です。

そこで必要になるのが、パスワードマネージャーです。

パスワードは自分で考えなくてよい

パスワードマネージャーには、長くランダムなパスワードを自動生成する機能があります。

メール、会計、サーバー、SNSなど、サービスごとに異なる文字列を作成し、専用の保管庫へ保存します。

利用者本人が、各パスワードを覚える必要はありません。

覚えるのは、保管庫を開くための強力なマスターパスワードだけです。

少し不安に感じるかもしれませんが、自分で考えた短いパスワードを使い回すより、専用の仕組みに生成と保存を任せる方が安全です。

自分も知らないパスワードを使う

これが、現在の現実的なパスワード運用です。

GoogleやMicrosoftの保存機能は危険なのか

Google ChromeやMicrosoft Edgeにも、パスワードを保存して自動入力する機能があります。

これらが平文のまま保存されているため危険という説明は正確ではありません。

GoogleやMicrosoftも、保存したパスワードを暗号化し、端末認証などと組み合わせて保護しています。

個人利用で、使用するブラウザーやアカウントが限定されている場合は、有効な選択肢です。

紙へ書く、表計算ファイルへ一覧化する、同じパスワードを使い回す運用より、安全性を高められます。

問題は、GoogleやMicrosoftだから危険ということではありません。

企業で複数人の認証情報を管理する場合に、ブラウザーへの保存だけで十分かという点です。

個人利用と企業利用では必要な機能が異なる

企業では、保存することだけでなく、誰がどの情報を使えるかを管理する必要があります。

• 担当者ごとに閲覧範囲を分ける
• 退職者だけを解除する
• 共有パスワードを安全に更新する
• 個人用と会社用を分ける
• 担当者が不在でも業務を継続する

会社のSNSやWebサイトのパスワードを、担当者個人のブラウザーだけへ保存していると、その担当者が退職した際に引き継げない場合があります。

メールやチャットでパスワードを送れば履歴に残ります。

表計算ファイルを共有すれば、コピーされた後の管理ができません。

企業では、共有と権限解除を管理できる専用の仕組みが必要です。

TrusKiteがBitwardenを勧める理由

Bitwardenは、パスワードの生成、保存、自動入力に対応した専用のパスワードマネージャーです。

保管庫の内容は利用端末側で暗号化され、Bitwarden側から内容を確認できないゼロ知識方式を採用しています。

パソコン、スマートフォン、複数のブラウザーで利用でき、特定のブラウザーだけに依存しにくい点も特徴です。

企業向けの組織機能では、認証情報をコレクションへ分類し、利用者やグループごとに共有範囲を設定できます。

例えば、次のように分けられます。

• Webサイト管理
• 経理サービス
• SNS管理
• ネットワーク機器
• クラウド電話

経理担当者がルーターの管理パスワードを見る必要はありません。

Web担当者が会計サービスへログインする必要もありません。

必要な人へ必要な情報だけを共有し、退職者や異動者だけを解除できます。

Bitwardenを勧める理由は、他の保存機能が危険だからではありません。

企業として継続管理しやすいからです。

Bitwardenを入れれば安全になるわけではない

パスワードマネージャーは、多数の重要情報を一つの保管庫で管理します。

そのため、保管庫自体を適切に守る必要があります。

最低限、次の対策を行います。

• 長く一意なマスターパスワードを設定する
• Bitwardenへ多要素認証を設定する
• 復旧コードを安全な場所へ保管する
• 一定時間で保管庫を自動ロックする
• 共有範囲を必要最小限にする
• 退職や異動時に権限を解除する

Bitwardenはゼロ知識方式のため、マスターパスワードを忘れた場合、運営会社へ問い合わせても元の内容を教えてもらえません。

安全性と引き換えに、利用者側にも適切な管理が求められます。

パスキーを使えるサービスでは移行を検討する

パスワードを使用せず、端末の生体認証やPINなどでログインするパスキーへ対応するサービスも増えています。

パスキーでは、偽サイトへ入力するパスワード文字列がないため、一般的なパスワードよりフィッシングへの耐性を高められます。

当面は、次の使い分けが現実的です。

• パスキー対応サービスではパスキーを使う
• 未対応サービスでは長く一意なパスワードを使う
• パスワードはBitwardenで生成・保存する
• 重要なアカウントには多要素認証を設定する

TrusKiteが支援できること

TrusKiteでは、Bitwardenをインストールするだけでなく、現在のパスワード管理方法を確認し、企業として継続できる形へ整理します。

主な支援内容は次のとおりです。

• 使い回しているアカウントの整理
• Bitwardenの初期設定
• ブラウザーからのパスワード移行
• 多要素認証の導入
• 組織とコレクションの設計
• 従業員ごとのアクセス権限設定
• 退職・異動時の解除手順作成
• 従業員向け操作説明
• パスキーへの移行相談

会社用の認証情報を担当者個人へ持たせず、組織として管理できる仕組みを整えます。

覚える努力から、管理する仕組みへ

長く複雑なパスワードを何十個も覚えることはできません。

覚えられない人が悪いのではなく、記憶を前提にした運用に無理があります。

定期的に数字だけを変える。

同じパスワードを使い回す。

紙や表計算ファイルへ一覧化する。

このような運用から離れ、専用の仕組みへ任せる必要があります。

安全なパスワードとは、頻繁に変更するパスワードではありません。

使い回さず、推測できず、必要な人だけが安全に利用できるパスワードです。

TrusKiteでは、個人の記憶力や注意力に頼らず、企業として管理を続けられるパスワード運用をご提案します。

※パスワードマネージャーや多要素認証を導入しても、すべての不正アクセス、フィッシング、マルウェア感染または情報漏えいを防止できるものではありません。

※必要な契約プラン、共有範囲、権限設定および運用ルールは、利用人数や対象サービスによって異なります。

※Bitwardenおよび各サービスの機能は、契約内容やサービス改定によって変更される場合があります。