管理アプリは不要！安全で簡単なおすすめパスワード管理方法

おすすめパスワード管理方法

みなさんパスワードの管理ってどうしてますか？

自分で覚えられるパスワードだけを使えるといいのですが、サービスによってパスワードポリシーが違うなど管理ツールが必要な場面もあるかと思います。

今回のポイントは以下の２つです。

覚えやすい！かつ複雑さの要件を満たすパスワードを作成する。

総務省での要件を満たすために以下の条件でパスワードを作成します。

基本は〇〇＋サービス名

基本は〇〇＋サービス名です。

上に記載した総務省推奨の要件を満たす8桁の文字列を作って下さい。

そしてこの8桁は全てのパスワードに利用します。

例えば、〇〇を『macwiN95』と仮定します。

〇〇+サービス名なので

Yahoo!JAPAN IDの場合『macwiN95Ya』
Googleアカウントの場合『macwiN95Go』

など、後ろにサービス名を縮めた文字列を繋げてパスワードとします。

これで複雑さの要件を満たし、かつサービスごとに異なるパスワードを作成することができました。

ランダム文字列はアルファベット大文字小文字＋数字で作成することがおすすめですが、最終的に複雑さを満たせば良いので、作り方は自由です。

はい！これで安全なパスワードができました！

と言いたいところなのですが、これだけでは終わらないのがパスワードの難しいところです。

全てのサービスでこのルールで作成したパスワードの設定ができれば覚えていられるのですが、どうしてもこのルールが通用しない事態が発生することがあります。

また、パスワードは覚えていてもアカウントまでは覚えられないことも多いでしょう。

肌身離さずもっているアイテムを活用する。

パスワードを書いた紙をスマホで撮影する

パスワードが書いてある紙を撮影して原紙はシュレッダーにかけて処分してください。

もし忘れてしまった場合はスマホの写真フォルダを見てパスワードを確認すればOKです。

スマホを盗まれたり失くしてしまうことはほとんどないですし、データもバックアップを取っているので、データが消えてしまうこともほとんどありません。

最悪失くしたり、盗まれたりした場合はリモートワイプ（遠隔でスマホを初期化する）することも可能です。

スマホにはパスコードを設定する等の基本のセキュリティ対策は必要ですが、めちゃくちゃ簡単に安全に管理ができます。

安全なパスワード管理について

おすすめパスワード管理方法をご紹介しましたが、みなさんに知ってほしい安全なパスワードの指針をご紹介します。

総務省からパスワード管理について4つのポイントが出されています。

パスワード管理ポイント

一つずつ順番にご説明します。

安全なパスワードの作成

(1) 名前などの個人情報からは推測できないこと

(2) 英単語などをそのまま使用していないこと

(3) アルファベットと数字が混在していること

(4) 適切な長さの文字列であること

(5) 類推しやすい並び方やその安易な組合せにしないこと

安全なパスワード管理｜総務省

Daisuke123（名前が入っている）apple（英単語そのまま）、1234567（アルファベットが入っていない）、pen（短すぎる）、abcd1234（安易な組み合わせ）等はNGということです。

パスワードの保管方法

安全なパスワードの作成だけでなく、他人に知られないよう、かつ自分でも忘れてしまうことがないように管理をしましょう。自分で忘れてしまわぬようにメモを作成した場合は、それが他人に見られることのないよう、肌身離さず持ち歩くなど、厳重に保管をするよう心がけましょう。

安全なパスワード管理｜総務省

メモを取ってもいいけど、他人に見られないように肌身離さずそのメモを持ち歩く必要があります。

手帳などに記載した場合は鍵がかけられるものにする。書いたメモは机の鍵のかかる引き出しに保管する。などが推奨です。

パスワードを複数のサービスで使い回さない（定期的な変更は不要）

また、パスワードはできる限り、複数のサービスで使い回さないようにしましょう。あるサービスから流出したアカウント情報を使って、他のサービスへの不正ログインを試す攻撃の手口が知られています。もし、重要情報を利用しているサービスで、他のサービスからの使い回しのパスワードを利用していた場合、他のサービスから何らかの原因でパスワードが漏洩してしまえば、第三者に重要情報にアクセスされてしまう可能性があります。　
なお、利用するサービスによっては、パスワードを定期的に変更することを求められることもありますが、実際にパスワードを破られアカウントが乗っ取られたり、サービス側から流出した事実がなければ、パスワードを変更する必要はありません。むしろ定期的な変更をすることで、パスワードの作り方がパターン化し簡単なものになることや、使い回しをするようになることの方が問題となります。定期的に変更するよりも、機器やサービスの間で使い回しのない、固有のパスワードを設定することが求められます。

安全なパスワード管理｜総務省

利用するサイトやサービスごとに異なるパスワードを作成する必要があります。

同じパスワードにしている場合パスワードが漏れた際に他のサービスも芋づる式に不正利用されてしまうのでやめましょうってことですね。

一昔前まではパスワードは定期的に変更するものでしたが定期的に変更しなければならないため、パスワードの複雑さが満たされず問題になったということですね。

この条件は日本だけではなく世界的な動きのようで、ここ数年でパスワードの定期変更を促すサービスは減っています。

これまでは、パスワードの定期的な変更が推奨されていましたが、2017年に、米国国立標準技術研究所（NIST）からガイドラインとして、サービスを提供する側がパスワードの定期的な変更を要求すべきではない旨が示されたところです（※１）。また、日本においても、内閣サイバーセキュリティセンター（NISC）から、パスワードを定期変更する必要はなく、流出時に速やかに変更する旨が示されています（※２）。

（※１） NIST SP800-63B（電子的認証に関するガイドライン）

（※２） https://www.nisc.go.jp/security-site/handbook/index.html

安全なパスワード管理｜総務省

パスワードの活用

現在の一般的なOSのスクリーンセーバーでは、元の操作画面に復帰する際にパスワードの入力を促す設定を行うことができます。このように設定することで、離席中に不正な利用者がそのパソコンを操作することを防ぐことができるようになります。ただし、スクリーンセーバーが起動するには一定の時間が必要です。

  さらに情報セキュリティを強化するためには、離席する際にログアウトを行い、パスワードを入力してログインしなければパソコンを操作できないようにするなど、利用者が自発的にロックする方法が有効です。

安全なパスワード管理｜総務省

ちょっとした離籍の際にパソコンを不正利用されるかもしれないので、自分の意志でパスワードを入力しないと操作できない状態にしなさい、ってことですね。

現状ですとISO27001などでも「スクリーンセーバーの起動時間を10分にする」で問題ありませんが、今後は「離席時に必ずロックする」等に変更する必要があるかもしれませんね。

---

まとめ

今回は筆者がおすすめするパスワードの管理方法についてご説明いたしました。

記事の始めでもご紹介しましたが、このルールでのパスワード運用が難しいと感じた場合は有料のパスワード管理ツールをお勧めします。

他にも情報セキュリティ担当者目線で書いた仕事術があります。ぜひご覧ください。