• 長さは最低でも8けた
• 文字と数字が組み合わされている
• 配偶者や家族（ペットも含む）の名前などの個人情報、攻撃者がユーザーについて簡単に推測できる情報を含んでいない

　HIPAA法も、患者情報の保護に向けたパスワードの利用について具体的に規定していない。だが監査人は、SOX法の場合と同様のパスワードに関するベストプラクティスを実践するようアドバイスしている。パスワードは最低でも6けた、できれば最低8けたとし、大文字と小文字を組み合わせ、数字や記号（!、@、#、$など）も含めなければならないとしている。

　また、パスワードは45～90日ごとに変更すべきであり、最近使ったものを再使用してはならない。パスワードを変更する際は、末尾の数字を増やしたり新しい文字を追加したりするだけではいけない。例えば、「bobsmith14」のようなパスワードを、「bobsmith15」に変更すべきではない。そしてもちろん、SOX法の場合と同様に、子供や家族の名前あるいは辞書に載っている言葉をパスワードにしてはならない。

　パスワードを複雑で分かりにくいものにする目的は、いわゆる辞書攻撃を防ぐことにある。辞書攻撃は、パスワードハッシュファイルに対して「John the Ripper」のようなプログラムを実行し、辞書に含まれる一般的な言葉を手当たり次第にパスワードとして試すというものだ。

　上に挙げた法律や基準の中で、パスワード要件を最も明確に規定しているのは、PCI DSS（Payment Card Industry Data Security Standard：PCIデータセキュリティ基準）だろう。PCI DSSでは、すべてのシステムユーザーが固有のIDを持つことを求めている。パスワードについては、以下のような厳密な要件を定めている。

1. 90日ごとに変更されなければならない
2. 長さは最低でも7けた
3. 文字と数字が組み合わされている
4. 4回前までのパスワードと同じであってはならない

　一方、FFIEC（Federal Financial Institutions Examination Council：連邦金融機関検査協議会）基準では、パスワード要件は示していないが、インターネットバンキングにおいては、パスワード認証を2要素認証で補完することを推奨している。

パスワード要件を満たすためのベストプラクティスとツール

　パスワードのこうしたさまざまなコンプライアンス要件を満たすためのベストプラクティスやツールはどのようなものか。ほとんどの規制に対応できる推奨プラクティスを以下に示す。

• パスワードは最低でも8けたとし、大文字と小文字および数字を組み合わせたものにする
• 前もってパスフレーズを作成するようユーザーに奨励するとなお良い。パスフレーズは覚えやすく、短縮することにより複雑で強力なパスワードを作成できる。例えば、「My dog Rover is the greatest pet」を「M7dRg8pt」に縮めるといった作り方ができる
• パスワードの有効期間は最長でも90日とする
• パスワードには、ユーザーIDの文字列のうち4つ以上の隣接する文字を含めない
• 4回前までのパスワードを再使用することを禁止する

　では、こうしたプラクティスの実践を徹底するためのツールとして、どのようなものがあるのか。あなたがActive DirectoryやLDAPサーバを使っているなら、必要なツールを既に手にしていることになる。たぶん、あなたはどちらか、または両方を使っているはずだ。IBM Tivoli、Citrix、Sun MicrosystemsのJava System Identity Managerといったフロントエンドアクセス管理製品を利用している場合でも、バックエンドのディレクトリサーバは、Active DirectoryかLDAPサーバ、またはその両方だろう。

　LDAPサーバでは、パスワードの最小けた数、英数字の最小文字数、同じ文字の最大繰り返し回数、および前回のパスワードと何文字以上異なっていなければならないかを設定できる。Active Directoryのグループポリシーオブジェクト（GPO）ではこれらの設定がすべて行えるほか、最高24回前までのパスワードの再使用を禁止したり、指定した期間ごとにパスワードの再設定を強制したり、パスワードの複雑さに関して、数字と大文字および小文字が組み合わされていることを要件として設定したりできる。

　Active DirectoryとLDAPサーバは、いずれも上記のようなサードパーティーのアクセス管理プロビジョニングツールと連携する。このため、パスワードに関するコンプライアンス要件に取り組むとしても、必ずしもコンプライアンスの面倒な負担が増えることにはならない。これらのツールの機能のおかげで、要件に対応するのは予想以上に簡単だろう。

本稿筆者のジョエル・デュビン氏はCISSP（公認情報システムセキュリティ専門家）資格を持つ独立系コンピュータセキュリティコンサルタント。Microsoft MVPに選ばれ、Web／アプリケーションセキュリティを専門とする。著書に「The Little Black Book of Computer Security」（29th Street Press）があり、シカゴのラジオ局WIITでコンピュータセキュリティの番組を担当。「IT Security Guy」ブログも運営している。