パスワード

うちの会社のセキュリティポリシーが変わって今月からパスワードのルールが変わる通知がありました。

今まではこんな感じ。
・長さは8文字以上
・有効期限は90日
・直近の5つのパスワードは再利用不可
・ユーザーのアカウント名、姓・名（ローマ字）と同一の3文字以上は使用不可
・次の4つのカテゴリのうち【3つ以上のカテゴリ】を使用する
(1)英大文字(A 〜 Z)
(2)英小文字(a 〜 z)
(3)数字(0 〜 9)
(4)キーボード上の記号(`~!@#$%^&*()_-+={}[]\|:;"'<>,.?/)iPhone等でも利用する場合は、￥（半角円マーク）は使用しないこと。


アカウントが「まことみ」だったら"mak"とか"omi"はNG。
新しく入った人が最初いつまずくのはここで大抵の人は makotomi1234 みたいに覚えやすいパスワードにしようとして怒られるってことですね。そこまで凝らなくてもいいとは思うんですが…。

新しいルールはここが変わります。
・長さは12文字以上
・有効期限は無制限

これは総務省からのガイドライン（http://www.soumu.go.jp/main_sosiki/joho_tsusin/security/business/staff/01.html）に基づいたものなんだそうな。

−−−抜粋・ここから−−−
なお、利用するサービスによっては、パスワードを定期的に変更することを求められることもありますが、実際にパスワードを破られアカウントが乗っ取られたり、サービス側から流出した事実がなければ、パスワードを変更する必要はありません。むしろ定期的な変更をすることで、パスワードの作り方がパターン化し簡単なものになることや、使い回しをするようになることの方が問題となります。定期的に変更するよりも、機器やサービスの間で使い回しのない、固有のパスワードを設定することが求められます。

これまでは、パスワードの定期的な変更が推奨されていましたが、2017年に、米国国立標準技術研究所（NIST）からガイドラインとして、サービスを提供する側がパスワードの定期的な変更を要求すべきではない旨が示されたところです。また、日本においても、内閣サイバーセキュリティセンター（NISC）から、パスワードを定期変更する必要はなく、流出時に速やかに変更する旨が示されています。
−−−抜粋・ここまで−−−


つまり結局90日＝3ヶ月毎に変えていると人はそこまで抜本的に違う文字列は覚えられないから末尾の数字を変えるだけとかになり、パスワードを解読しやすくなるんだそうな。
だったら文字数を長くして変えないほうがいいっていう論理らしい。
このあたりはハッカーとのイタチごっこだから難しいところですね。

ともかく次の更新期限が8月9日だから、それまでに新しい12文字以上のパスワードを決めないといけません。
これはWindowsにサインインするものだからコピペはできないし、何度も何度も打つものだからキーボードで打ちやすくないとダメ。候補はあるんだけど、もう少し悩んでみよう。