パスワードのベストプラクティス完全ガイド：デジタル ID を守る

パスワードはサイバー脅威に対する最前線の防御として残っていますが、弱い、または使い回した資格情報は、総当たり（brute-force）、辞書攻撃、フィッシング攻撃に対して組織をさらしてしまいます。強力なパスワード運用は、パスワードマネージャーや多要素認証と組み合わせることで、機密データを保護し、コンプライアンス要件を満たすために不可欠です。Netwrix Password Secure はポリシーを適用し、弱い資格情報を検出し、企業全体にわたるパスワードのセキュリティを確保します。

サイバー攻撃の激化と データ漏えい の流れの中で、どこにでもある「パスワードを共有しないでください」という一言の助言だけでは、もはや十分ではありません。パスワードは、私たちの最も重要なデジタル資産への主要な鍵です。だからこそ、パスワードのセキュリティに関するベストプラクティスを守ることがこれまで以上に重要になります。メール、ネットワーク、個々のユーザーアカウントのいずれを保護している場合でも、パスワードのベストプラクティスを実践することで、サイバー脅威から機密情報を守るのに役立ちます。

本ガイドを読んで、すべての組織で実装すべきパスワードのベストプラクティスを探りましょう。さらに、より良いセキュリティ戦略に従いながら脆弱な情報を保護する方法も学べます。

強いパスワードの秘訣

強力なパスワードは、アカウントとネットワークを守るための最初の防御線です。新しいパスワードを作ることを検討するときは、次の標準的なパスワード作成のベストプラクティスを実装してください：

• 複雑性：パスワードに、大文字と小文字の英字、数字、および特殊文字を組み合わせて含めてください。小文字や記号などの構成ルールはNIST により、もはや推奨されていないため、必要に応じてご自身の判断で使用してください。
• 長さ：一般的に、より長いパスワードの方が強力です——そして通常は、長さが複雑性よりも重要です。最低でも 6〜8 文字を目指してください。
• 予測不可能性: よくあるフレーズやパターンは避けてください。誕生日や名前のように、簡単に推測される情報は使わないでください。その代わり、ハッカーが当てにくいユニークな文字列を作成しましょう。

これらの要素を組み合わせることで、パスワードはより推測しにくくなります。たとえば、パスワードの長さが 8 文字で、大文字・小文字・数字・特殊文字を含む場合、考えられる組み合わせの総数は (26 + 26 + 10 + 30)^8 になります。この天文学的な数の可能性により、攻撃者がパスワードを当てることは非常に困難です。

もちろん、NIST のパスワードに関する最新ガイダンスを踏まえると、効果的なパスワードのセキュリティ対策として最も適した方法はパスワードマネージャー（password manager）の使用です。このソリューションは、パスワードの作成と保存を支援するだけでなく、一般的で推測されやすいパスワード（パスワードダンプに含まれているもの）を自動的に拒否します。パスワードマネージャーは、次の攻撃タイプに対するセキュリティを大きく高めます。

パスワード推測攻撃

攻撃者がユーザーのパスワードを推測するために使う手法を理解することは パスワードのセキュリティにとって不可欠です。ここでは、把握しておくべき主要な攻撃をいくつか紹介します。

総当たり攻撃（Brute-Force Attack）

総当たり攻撃では、攻撃者が正しいパスワードが見つかるまで、考えられるすべての文字の組み合わせを体系的に試します。この手法は時間がかかりますが、パスワードが弱い場合には有効になることがあります。

強力なパスワードは、攻撃者が試さなければならない可能な組み合わせの数を増やすため、総当たり攻撃を阻止するのに役立ちます。その結果、合理的な時間内にパスワードを当てられる可能性が低くなります。

辞書攻撃（Dictionary Attack）

辞書攻撃（dictionary attack）とは、攻撃者が一般的な単語、フレーズ、よく使われるパスワードのリストを用いて、アクセスを得ようとするブルートフォース攻撃の一種です。

辞書攻撃を阻止するには、固有のパスワードが不可欠です。攻撃者は一般的な単語やフレーズに依存するためです。辞書に載っている単語や既知のパターンではないパスワードを使うと、推測される可能性が大幅に低下します。たとえば文字列「Xc78dW34aa12!」は辞書にも、よく使われるパスワードのリストにも載っていないため、「password」のような汎用的なものよりもはるかに安全です。

文字のバリエーションを用いた辞書攻撃

一部の辞書攻撃では、攻撃者は標準的な単語を使うだけでなく、「a」を「@」に置き換える、または「e」を「3」に置き換えるといった一般的な文字の置換も試します。たとえば、「password」という単語でログオンを試すだけでなく、「p@ssw0rd」という変種も試すかもしれません。

これらの攻撃を阻止するには、複雑で予測しにくいパスワードを選ぶことが必要です。固有の組み合わせを使用し、簡単に推測できるパターンを避けることで、攻撃者があなたのパスワードを当てるのを難しくできます。

パスワードマネージャーがセキュリティを強化する方法

パスワードマネージャーは、パスワードを安全に保存し整理するために欠かせません。これらのツールには、いくつかの重要なメリットがあります。

• セキュリティ: パスワードマネージャーはパスワードを保存し、代わりに入力してくれるため、ユーザーがすべてのパスワードを覚える必要がなくなります。ユーザーが覚える必要があるのは、パスワードマネージャーのマスターパスワードのみです。そのため、ベストプラクティスで推奨されるような長く複雑なパスワードを、パスワードを忘れてしまうことへの不安や、パスワードを書き留めるといった安全でない運用、あるいは複数のサイトやアプリケーションで同じパスワードを使い回すといった行為に頼ることなく使用できます。
• パスワードの生成: パスワードマネージャーは、ユーザーアカウントのために強力で一意なパスワードを生成できるため、個人が考案する必要がなくなります。
• 暗号化: パスワードマネージャーはパスワードの保管庫を暗号化し、万一それが侵害された場合でもデータの安全性を確保します。
• 利便性：パスワードマネージャーにより、ユーザーは複数のデバイス間でパスワードに簡単にアクセスできます。

パスワードマネージャーを選ぶ際は、使用しているプラットフォームへの対応、価格、使いやすさ、そしてベンダーの侵害（情報漏えい）履歴など、組織固有のニーズを考慮することが重要です。調査を行い、レビューを読みながら、組織の要件に最も合致する製品を見極めましょう。注目すべき選択肢には Netwrix Password Secure、LastPass、Dashlane、1Password、Bitwarden などがあります。

多要素認証（MFA）がセキュリティをさらに強化する仕組み

多要素認証は、アクセスを許可する前に2種類以上の認証（検証）手段を求めることで、セキュリティを強化します。具体的には、以下の認証要素のうち少なくとも2つを提示する必要があります：

• 知っているもの：代表的な例はパスワードです。
• 持っているもの：通常、スマートフォンやセキュリティトークンのような物理デバイスです。
• 自分自身：指紋や顔認識のような生体データです。

MFA により盗まれたパスワードは価値を失うため、可能な限り導入してください。

パスワードの有効期限管理

パスワードの有効期限ポリシーは、強固なパスワードセキュリティを維持するうえで重要な役割を果たします。強力なパスワードを作成するパスワードマネージャーを使用することも、有効期限に影響します。まだパスワードマネージャーを使っていない場合は、組織内のすべてのパスワードを確認するための戦略を実装してください。データ侵害 が増えているため、総当たり攻撃に使われるパスワードリスト（既知の rockyou.txt とその変種）も絶えず増加しています。Webサイト haveibeenpawned.com では、特定のパスワードが公開（漏えい）されたかどうかを確認するサービスが提供されています。パスワードの有効期限に関連するパスワードセキュリティのベストプラクティスとして、ユーザーが知っておくべきことは以下のとおりです:

• ポリシーのガイドラインに従う：組織のパスワード期限ポリシーを遵守してください。これには、通知があった場合にパスワードを変更することや、ポリシーの要件を満たす新しい強力なパスワードを選択することが含まれます。
• リマインダーを設定する：組織が通知によってパスワード期限を強制していない場合は、期限が来たらパスワードを変更するように自分用のリマインダーを設定してください。案内が届いていないか、メールやシステム通知を定期的に確認しましょう。
• わかりやすいパターンは避ける：パスワードを変更する際は、以前のパスワードの単なる変形や、「Password1」「Password2」などの予測しやすいパターンは使用しないでください。
• 不審な活動を報告する：不審なアカウントの動きや、許可されていないパスワード変更の依頼を見つけた場合は、直ちに組織の IT サポートサービスまたはヘルプデスクに報告してください。
• パスワード再設定のメールには注意する：適切なパスワードセキュリティのベストプラクティスは、詐欺を見抜く意識を持つことです。思いがけず「パスワードをリセットしてください」と促すメールを受け取った場合は、そのメールの正当性を確認してください。フィッシングメールは、ログイン情報を盗むために、正規の組織を装うことがよくあります。

パスワードのセキュリティとコンプライアンス

コンプライアンス基準では、データを保護し、プライバシーを維持し、不正アクセスを防ぐ手段として、パスワードのセキュリティとパスワード管理のベストプラクティスが求められます。パスワードのセキュリティを要請している法律の一部を以下に示します。

• HIPAA（Health Insurance Portability and Accountability Act）：HIPAA では、医療機関が電子的な保護対象健康情報（ePHI）を保護するためのセーフガードを実施することが義務付けられており、これには安全なパスワード運用が含まれます。
• PCI DSS（Payment Card Industry Data Security Standard）：PCI DSS では、Webサイト上で決済カード情報を取り扱う組織に対して、持ち主のデータを保護するために、パスワードのセキュリティを含む強固なアクセス制御を実装することを求めています。
• GDPR（General Data Protection Regulation）：GDPR は、EU居住者のデータを保管または処理する組織に対して、個人データを保護するための適切なセキュリティ対策を講じることを求めています。パスワードのセキュリティは、GDPR におけるデータ保護の基本的な要素です。
• FERPA（Family Educational Rights and Privacy Act）：FERPA は、学生の教育記録のプライバシーを規定します。これらの記録へのアクセスを確実に保護するための要件が含まれており、そこにはパスワード・セキュリティが関係します。

これらのコンプライアンス基準の対象となる組織は、堅牢な パスワードポリシー とパスワードセキュリティのベストプラクティスを導入する必要があります。導入しない場合、高額な罰金やその他の制裁につながる可能性があります。

また、組織が強力なパスワードポリシーを策定するのに役立つ任意のフレームワークもあります。代表的なものは次の2つです。

• NIST Cybersecurity Framework：米国立標準技術研究所（National Institute of Standards and Technology：NIST）は、サイバーセキュリティを強化するために、パスワードのベストプラクティスを含むガイドラインと推奨事項を提供しています。
• ISO 27001: ISO 27001 は、情報セキュリティマネジメントシステム（ISMS）に関する国際規格です。より広範なセキュリティの枠組みの一部として、パスワード管理に関連する要件が含まれています。

パスワードのベストプラクティスを実行に移す

それでは、例を使ってこれらのパスワードのセキュリティに関するベストプラクティスを実際に見てみましょう：

たとえば、あなたの名前が John Doe で、誕生日が 1985 年 12 月 10 日だとしましょう。推測されやすいパスワードの「JohnDoe121085」を使うのではなく、次のような良いパスワードの習慣に従ってください：

• 長くてユニーク（かつ推測しにくい）パスワードを作成しましょう。例：「M3an85DJ121!」
• 信頼できるパスワードマネージャーに保存してください。
• 可能な限り、マルチファクタ認証を有効にしてください。

パスワードのベストプラクティス10選

セキュリティを強化したい場合は、次のパスワードのベストプラクティスに従ってください：

• ヒントや知識ベース認証をやめましょう：NIST は 「どの町で生まれましたか？」のような質問を含む知識ベース認証（KBA）を使用しないよう推奨しており、その代わりに、2要素認証のようにより安全な方法を使うべきだとしています。
• パスワードを暗号化する：パスワードは、保存時とネットワーク経由で送信されるときの両方で暗号化して保護します。これにより、万が一盗み取られても、攻撃者には役に立たなくなります。
• 平文や可逆的な形式は避けましょう: ユーザーやアプリケーションは、パスワードを平文で保存したり、簡単に平文へ変換できる形式で保存したりしてはいけません。パスワード管理の手順で平文を使用しないようにしてください（例：XLSファイル）。
• 異なるアカウントには固有のパスワードを使いましょう: 異なるアカウントに同じパスワード、あるいはその単なる変形版を使わないでください。アカウントごとに固有のパスワードを考えるようにしましょう。
• パスワード管理を利用しましょう: セキュリティ要件を満たす新しいパスワードの選定、パスワード期限の事前通知、そして使いやすいインターフェースを通じたパスワード更新を支援できます。
• 強力なパスワードポリシーを徹底しましょう: 最低文字数や複雑性の要件を含み、さらに過去のパスワードの使い回しを防ぐためのパスワード履歴ルールも併せた強力なパスワードポリシーを導入し、必ず運用してください。
• 必要に応じてパスワードを更新しましょう: 確認を行い、結果が更新を示している場合は、特にデータ侵害の後で、不正アクセスのリスクを最小限に抑えるためにパスワードを更新してください。
• 不審な活動を監視する: 多数回の失敗したログイン試行などの不審な活動について、アカウントを継続的に監視し、脅威を軽減するためにアカウントのロックアウトとアラートを実装してください。
• ユーザーを教育する: パスワードのベストプラクティス、フィッシングの脅威、そして各アカウントで強力で固有のパスワードを維持することの重要性について学ぶために、定期的なセキュリティ啓発トレーニングを実施するか参加してください。
• パスワードの有効期限ポリシーを適用する: セキュリティを強化するために、定められた状況でパスワードの変更を求めるパスワード有効期限ポリシーを適用してください。

Netwrix はどのように役立つか

パスワードのベストプラクティスを守ることは、機密情報を保護し、不正なアクセスを防ぐうえで不可欠です。

Netwrix Password Secure は、パスワードポリシーを監視し、不審な活動を検知して対応するとともに、業界の規制への準拠を確実にするための高度な機能を提供します。リアルタイムアラート、包括的なレポート、使いやすいインターフェースといった機能により、組織はパスワードに関連するリスクを事前に特定して対処し、強力なパスワードポリシーを徹底し、IT 環境全体で強固なセキュリティを維持できます。

結論

サイバー脅威が絶えず進化している世界では、パスワード管理のベストプラクティスを遵守することが、デジタル上での存在を守るうえで不可欠です。何よりもまず、各システムまたは各アプリケーションごとに強力で一意のパスワードを作成してください。なお、この重要なベストプラクティスをより簡単に実践するには、パスワードマネージャーを使用するのが有効です。さらに、可能な限り多要素認証を導入し、パスワードを盗み取った攻撃者を阻止しましょう。これらのガイドラインに従うことで、より安全なオンライン体験を得て、大切なデジタル資産を保護できます。