パスワードポリシーとは、システムやサービスを利用する上で設定するパスワード（パスコード）に関し、組織が定めたルールや条件のことを指します。

管理者側で適切なパスワードポリシーを設けることにより、「簡易なパスワード設定によって、第三者に文字列が推測され、パスワードが不正アクセスに悪用された」などのセキュリティリスクを、防止することが可能です。

とりわけ価値ある情報を多数所持する企業・組織では、パスワードポリシーの適切な設定・管理は必須事項と言えるでしょう。ただ厳格なポリシーを定めるのではなく、ユーザーの利便性や負担も考慮し、バランスの取れたパスワードポリシーを策定することが重要です。

この記事では、パスワードポリシーの概要、設定する重要性や注意点について詳しく解説いたします。

またエムオーテックス（MOTEX）では、自社の情報セキュリティ対策の課題をセルフチェックできる、43項目のチェックシートをご用意しました。ぜひ合わせてご活用ください。

パスワードポリシーとは

パスワードポリシーとは、ユーザーが認証時に用いるパスワードに関して、作成や設定する際、満たすべき基準や条件を規定したものです。またシステムやサービスによっては、満たすべき基準に達していないパスワードは設定できないよう制御を加える機能があり、この機能そのものをパスワードポリシーと呼ぶこともあります。

といった条件があげられます。

パスワードポリシーを設定することで、ユーザーの判断により、極端に短いパスワードや単純な文字列、一般的な単語など、第三者から容易に推測されるようなパスワードの設定を、管理者側であらかじめ防止することが可能となります。

特に企業・組織の場合、脆弱なパスワードの設定や管理が要因で、アカウントの乗っ取りや、VPN機器の認証が突破されるなどの被害を招いています。パスワードポリシーは、不正アクセスや情報漏洩などのリスクを最小限に抑える上で、基本的な対策であるとともに、重要な役割を果たします。

パスワードポリシーは、システム管理者やセキュリティ担当者が適切に設定し、ユーザーに遵守させることで、システムやアカウントのセキュリティを向上させる、重要な手段となります。

不正アクセスの8割が、ID/パスワードの不正利用。
パスワードポリシーを設定する重要性

パスワードの設定に関するルールや条件を定め、適切なパスワードを設定することは、不正アクセスなどのサイバー攻撃から、組織ならびにユーザーの個人データ、機密情報を守る上で欠かせません。

警察庁の調べによると、2023年上半期に検挙された不正アクセス行為の83.5％が「識別符号窃用型」によるものでした。識別符号窃用型とは、他人の識別符号（IDやパスワードなど）を使って、不正アクセスを試みる手法です。

識別符号窃用型の不正アクセス行為における原因の内訳を見ると、「利用権者のパスワードの設定・管理の甘さにつけ込んで入手」が61件（38.9%）で最多を占めており、厳格で強固なパスワード管理の重要性がうかがえます。

出典：警察庁｜令和５年上半期におけるサイバー空間をめぐる脅威の情勢等について（令和 5年9 月21日）

また、NordPassが公開した「Top 200 Most Common Passwords（世界で最も使用頻度が高いパスワードトップ200）」を見ると、「123456」や「password」といった、単純な文字列や、誰でも推測できる安易なパスワードが上位を占めていました。これらの単純なパスワードは、解読にわずか1秒しかかからないというデータも、同社よりあわせて公開されています。

▼世界で最もよく使用されているパスワード（トップ10）

順位	パスワード	解読に要する時間	パスワードの使用回数
1位	123456	1秒	4,524,867
2位	Admin（管理者）	1秒	4,008,850
3位	12345678	1秒	1,371,152
4位	123456789	1秒	1,213,047
5位	1234	1秒	969,811
6位	12345	1秒	728,414
7位	password	1秒	710,321
8位	123	1秒	528,086
9位	Aa123456	1秒	319,725
10位	1234567890	1秒	302,709

出典：NordPass｜Top 200 Most Common Passwords

この結果から、システムやサービスを管理する組織の管理者が厳格なパスワードポリシーを定めない限り、ユーザーは安易なパスワードを設定する可能性が高いことが予想されます。

認証情報の悪用による、不正アクセスなどのサイバー攻撃を防ぐためにも、管理者側による明朗で正しいパスワードポリシーの設定・管理が重要と言えます。

 

パスワードポリシーを設定する際の注意点

の2点に配慮することを推奨します。

例えば、パスワードの複雑さや長さに関する要件は、セキュリティを高める上で欠かせませんが、過度に条件が厳しいと、ユーザーの利便性を損なう可能性があります。

▼厳格すぎるパスワードポリシーの例

過度なパスワード管理は、結果として「付箋にパスワードをメモする」「会社が許可していない、フリーのパスワードマネージャーを個人判断で使用する」「同一パスワードを使いまわしする」といった、ユーザーのリスクある行為を助長する懸念があります。

また、高い頻度でパスワードの変更を強制することも、「覚えやすい単純なパスワードの設定」や「パスワードの使いまわし」といった行為を増加させる可能性があり、必ずしも効果的とは言えません。

パスワードポリシーの策定時は、「セキュリティの向上」と「利用者のパスワード管理のしやすさ」の両方を考慮した、バランスの取れたポリシーを設定することが重要です。

パスワードポリシーだけに頼らない、セキュリティ対策の導入も重要

強固なパスワード設定は、セキュリティ対策として勿論欠かせませんが、根本的に認証方法を強化する対策として

などの併用も効果的です。

シングルサインオン（Single Sign-On、SSO）とは、一度のユーザー認証で、連携する複数のアプリやクラウドサービスへログインできる方法です。

▼シングルサインオンを導入している場合としていない場合の比較

シングルサインオンを導入し管理パスワードを最小化することで、複数のパスワードを所持するセキュリティリスク（簡易なパスワードの設定する、パスワードをメモに残す等）を、低減する効果が期待されます。

また、多要素認証（Multi-Factor Authentication、MFA）とは、①知識情報（パスワードなど）、②所持情報（スマホを用いたワンタイムパスワードなど）、③生体情報（指紋・顔認証など）の中から、2つ以上の要素を用いて、認証を行うセキュリティ手法です。

▼多要素認証のイメージ

仮に攻撃者がパスワードを推測・窃取して不正ログインを試みても、多要素認証を導入していれば、パスワード入力だけで認証を突破されることはありません。

企業・組織は複雑なパスワードを使用するだけでなく、これらの認証方法を組み合わせることで、より高度なセキュリティレベルを確保することができます。

パスワードポリシー管理時の課題

認証方法を強化する上で、パスワードポリシーの設定と管理は欠かせませんが、複数のシステムやサービスに対し「どのアカウントがパスワードポリシーに準拠・非準拠しているか」を、管理者が1つ1つ手動で把握することは非現実的です。

また新たな利用者が追加されると、初期のパスワードが変更されないまま、放置されることがよく発生します。初期パスワードは製品ごとに共通で、取扱説明書やインターネット上で公開されていることも多いため、そのまま放置することは非常に危険です。

このような「パスワードポリシー」に関する課題を解決するには、ポリシー管理をサポートする、セキュリティツールの導入が欠かせません。

リモートロック/ワイプだけじゃない！
紛失リスクの高いモバイル端末のパスワードポリシーを一括管理できる「LANSCOPE エンドポイントマネージャー クラウド版」

PCに加えてスマホ・タブレットを従業員に貸与しているという組織は多いのではないでしょうか。PCと比較して、スマホは持ち運びがしやすいことからも、紛失リスクが非常に高い端末です。紛失時、拾得者など第三者がスマホ内部のデータにアクセスできないよう最も基本的な対策となるのが、デバイスへのパスワードの設定です。

MOTEXの提供する、IT資産管理・MDMツール「LANSCOPEエンドポイントマネージャー クラウド版」であれば、管理下にあるスマホのパスワードを、ポリシーで一括管理することが可能です。

といった要件を管理者側で設定し、会社共通のパスワードポリシーをデバイスに一括で適用できます。

▼「パスワードポリシー」設定画面

また、リモートでの画面ロックやワイプ（初期化）、位置情報の取得なども可能なため、万が一、社外でデバイスを紛失した場合も、デバイスの不正利用や情報漏洩のリスクを防ぐことが可能です。

一般的にデバイスを紛失してしまった際の対策として、リモートロック/ワイプによる遠隔操作が挙げられます。しかし、この対策の場合、デバイスの電源が落ちてしまっているとリモートロック/ワイプは実行できません。このような背景から、実は、デバイスの紛失対策の最も基本的な対策は、パスワードポリシーに準拠した適切なパスワードの設定なのです。

また、上記でご紹介したのは、管理下にあるデバイスへの対策ですが、LANSCOPE エンドポイントマネージャー クラウド版の管理コンソールへのパスワードポリシーの設定や2要素認証、IPアドレス制限も可能です。

多くのクラウドサービスでは、インターネット接続があればどこからでも利用できるという利便性がある一方で、前述のように不正アクセスなどのリスクというものも付いて回ります。これらのリスクを低減するためにも、パスワードポリシーに準拠した正しいパスワードの設定が最も基本的な対策と言えるでしょう。

LANSCOPE エンドポイントマネージャー クラウド版にはその他にも、組織のPC・スマホ端末を効率的に一元管理するための、様々な機能が備わっています。詳細は以下のページよりご覧ください。

まとめ

本記事では「パスワードポリシーとは」をテーマに、その概要や重要性、パスワード対策について解説しました。

脆弱なパスワードの使用による、不正アクセス被害を生まないためにも、組織は日頃から適切なパスワードポリシーの設定・管理をおこない、セキュリティレベルの向上を図りましょう。

またMOTEXでは、自社の情報セキュリティ対策の課題をセルフチェックできる、43項目のチェックシートをご用意しました。ぜひ合わせてご活用ください。