安全なパスワードは、一定の桁数（一般的には8～10桁）より長く、不規則な文字列、数字、記号（＃、＠、！、％など）を含んでいる必要がある。システムが生成したパスワードの安全性は、ユーザーが自分で設定したものより高くなる。また、システムはできる限り頻繁にパスワードの変更を求めるべきだ。

　……と、CISOの質問に答えるのは簡単なはずだ。

　しかし、パスワード設定の水準を上げるほど、ユーザーに強いる作業は多くなる。そして、情報セキュリティ組織が乗り越えるべき最大の課題の1つは、「自分たちはビジネスで成果を上げる組織ではない」という認識だ。

パスワードに付随する主なリスク

　現代におけるセキュリティの強化は、ユーザーの生産性を妨げるものではなく促進するものでなければならない。このような時代において、CISOはどの制約が本当に必要なものなのかを自問自答すべきだ。

　この質問に答えるには、最初に安全なパスワードを求めることで軽減したいリスクについて考えるのが良いだろう。

　一般的に主なリスクは次の3つだ。

1．自動パスワードクラッキング　これは、オンラインシステムがパスワードを推測することで加えられる攻撃だ。この攻撃を防ぐために数字、文字、記号をパスワードに含めることが義務付けられている。このような制約を課すことで、集中的なコンピュータ処理が必要になり、攻撃するのがより難しくなる。

　例えば、数字、大文字と小文字、記号を含む10桁のパスワードの使用を義務付けると、ざっと計算してみても1桁ごとに138通りの選択肢がある。大文字が26個、小文字が26個、それから 24個の数字と記号だ。そのため、しらみつぶしに計算するなら、138の10乗分の推測試行が必要になる。その値は10の24乗分に相当し、数兆通りの推測を試行しなければならない。高度なシステムでも簡単に計算することはできない。

　もちろん、ほとんどの攻撃はもっと高度だ。いわゆる「辞書攻撃」は、特定の単語を構成する文字を認識して簡単に語句全体の推測を試みる。そのため、パスワードに意味のある言葉を使うことが禁止されている。それでも推測は容易でない。それは、自動的なパスワードの推測はコンピュータ処理を集中的に使用するからだ。

2．パスワードの自動取得　エンドユーザーデバイス（携帯電話、タブレット、クライアントPCを含む）はキー操作を盗むマルウェアに感染することがある。暗号化されていないネットワークは、ネットワーク侵害に対して弱い。これは、ATMで起こることが多い類の攻撃だ。

3．「肩越し」（付せんなど）パスワード取得　これは、他人のパスワードを盗み見して入手するという昔からあるものだ。パスワードの共有は企業に大きなリスクをもたらす。

　企業が最も気を付けるべきは、この3つのリスクのうちどれだろうか。全体的に考えると、それは3つ目のリスクになる。多くの企業は1つ目のリスク（標的型攻撃）を最も懸念している。だが、ほとんどの攻撃側は、従業員のランダムなパスワードを推測するために、高度な攻撃を仕掛けようと思っていないのが実情だ。彼らは従業員より他に重要な標的を求めている。10の24乗分の計算をしてパスワードを特定するなら、なぜ無作為なユーザーに着目するのだろうか。多くの情報がある場所を攻撃し、メール管理者のパスワードを入手してメールサーバにある全てのパスワードとデータにアクセスするのが効率的だろう。

　2つ目のリスクも問題ではあるが、パスワードを強化して解決できる問題ではない。ネットワークやデバイスが侵害されたら、クリンゴン語で書かれた300文字のパスワードを使用するという制約を課してもハッカーはパスワードを入手するだろう。