セキュリティパスワードは変更しない方がいい？

時代は「平成」から「令和」になりました。
平和の時代はパソコンの普及からインターネットが身近なものとなり、スマーフォンの登場によってインターネットは生活に欠かせないものとなりました。

amazonや楽天などのネットショッピング
クレジットカードの明細チェック
振込などのインターネットバンキング
電気、ガス、水道の使用開始・停止の手続き

などなど、考え出したらきりがないですね。

個人情報はセキュリティパスワードで守れ！

インターネットサービスで必要なのが「セキュリティパスワード」。
まず最初にIDとパスワードを設定・登録することでサービスが使えるようになります。この設定により個人情報を守ってくれているのですが、いくつものサービスを登録するともうどのパスワードだったか分からない。

だからついつい短くて・単純で・覚えやすくて・使いまわしてみんな一緒にしてしまう。

これ絶対ダメ！

これじゃ大事な個人情報が漏れてしまいます！

情報を守る強固なパスワードを設定する３つのポイントは、

長い（できれば12文字以上）
複雑（大文字・小文字・数字ラ・記号のランダム）
サービス毎に使分ける（１アカウント１パスワード）

するとこんなパスワードになります。

例）%RyY96Li~KNm、5gXX7-&#mSpn、Fu2*J;XT"IBt　など

もう覚えられるレベルではない。。。

パスワードを自動生成してくれるサイトもあります。

「Dashlane」

セキュリティパスワードは定期的に変更するの？

f:id:spooooooon:20190615002453j:plain

りそな銀行のりそなダイレクトでは90日を超えるとパスワード変更のおすすめが表示されます。

せっかく強固なパスワードにしたのに1ヶ月半で変えなきゃならないなんて。

ところが、2018年に総務書より定期的な変更の必要はないとの見解が出されました。

利用するサービスによっては、パスワードを定期的に変更することを求められることもありますが、実際にパスワードを破られアカウントが乗っ取られたり、サービス側から流出した事実がなければ、パスワードを変更する必要はありません。むしろ定期的な変更をすることで、パスワードの作り方がパターン化し簡単なものになることや、使い回しをするようになることの方が問題となります。定期的に変更するよりも、機器やサービスの間で使い回しのない、固有のパスワードを設定することが求められます。

これまでは、パスワードの定期的な変更が推奨されていましたが、2017年に、米国国立標準技術研究所（NIST）からガイドラインとして、サービスを提供する側がパスワードの定期的な変更を要求すべきではない旨が示されたところです（※１）。また、日本においても、内閣サイバーセキュリティセンター（NISC）から、パスワードを定期変更する必要はなく、流出時に速やかに変更する旨が示されています（※２）。

（※1） NIST SP800-63B（電子的認証に関するガイドライン）

（※2） https://www.nisc.go.jp/security-site/handbook/index.html

総務省「国民のための情報セキュリティサイト」より

www.soumu.go.jp

強固なパスワードを設定して、乗っ取りや流出がない限りそのまま使い続けてよいということですね。