パスワードセキュリティの重大なポリシーの1つが、ユーザーによるパスワードの変更頻度だ。IT管理者は、30～90日ごとにパスワードの変更をユーザーに求めるパスワードポリシーを適用する必要がある。このパスワードの変更頻度に関する要件は、パスワードの長さと複雑さの要件も同時に適用しなければあまり効果を発揮しないことに注意したい。

　例えば、ユーザーが頻繁にパスワードを変更すれば、パスワードの桁数が6～7桁でも問題ないと考えるIT管理者もいる。厳密に言えば、短く複雑性の低いパスワードでもユーザーが頻繁に変更すれば、ある程度の有効性はある。だが、この手法は長年異議が唱えられており、アメリカ国立標準技術研究所（NIST）のパスワードガイドラインでも否定されている。

本当の課題はユーザー自身にある

　パスワードの頻繁な変更の難しさは、ユーザー自身にある。IT管理者がパスワードポリシーを考案し、全員がそのポリシーに従うと仮定するのは簡単だが、現実はそうならない。

　実際には、パスワードの変更を求めるポリシーを適用すると、ユーザーや経営幹部はIT部門とそのセキュリティ対策を、業務の遂行を妨げる障壁と考えるようになる。こうした対立が悪化すれば、IT部門は恐らくもっと合理的なパスワードポリシーを適用することになるだろう。だが、ユーザーの非難が大きくなれば、経営管理上、IT部門は要件の引き下げを実施せざるを得なくなる。

　また、既存のパスワードポリシーが非常に面倒だという理由で、経営幹部が自身を含む特定の従業員や部門にパスワードポリシーを適用しないよう求める可能性がある。いずれにせよ、IT部門がネットワーク全体のパスワードポリシーを引き下げざるをえなくなったら、全てのユーザーアカウントのセキュリティが低下する。

　このような状況に陥ると、IT管理者はユーザーや管理に不満を感じやすくなる。だが、この状況にはもっと大事なことがある。それはコミュニケーションと教育の欠如だ。IT部門はこの状況を認識し、その方法でパスワードポリシーを適用する理由を適切に説明するだけでなく、自ら進んでこうした反発を減らしていかなければならない。

視野を広げる

　IT管理者は、現在起きているあらゆるインシデントやデータ侵害から学ぶことができる。だとすれば、IT管理者が自社のセキュリティは万全だと考えていても、できることはまだある。脆弱なデフォルトパスワードに起因するセキュリティイベントやデータ侵害は依然多発している。

　そのためには、IT管理者は、アカウントのアクセス権がどのように制御されているかを広い視野で考える必要がある。その制御は恐らくIT管理者が考えているほど有効ではないはずだ。企業が本当の変化を実現するには、パスワードの標準化とポリシーの適用について、Microsoftのドメイン管理サービス「Active Directory」以上のことをしなければならない。

　脆弱性や侵入テストなど、セキュリティ評価を近々実施する予定があるなら、IT管理者はパスワードを中心とした調査にすることを検討すべきだ。この調査では、オンプレミスとクラウドの両方の運用システム、開発システム、テストシステムなど、あらゆる角度からネットワークを調べる必要がある。