はじめに、パスワード管理ポリシーについて説明します。

パスワード管理ポリシーとは、パスワード設定時に必要な文字数、英文字・数字・記号などの組み合わせや複雑さなどの条件のことです。パスワード管理ポリシーをしっかりと設定することで、他人からパスワードを推測されにくくなり、不正アクセス予防に大きく役立ちます。

パスワード管理ポリシーの設定項目例は以下のとおりです。

安易なパスワードは外部の攻撃者から見破られやすくなります。実際、パスワードが単純だったために不正アクセスにつながったという事例が多くあるように、パスワード管理ポリシーを詳細に作成し、ある程度複雑なパスワードを設定することは、セキュリティ対策において効果的です。

しかし、複雑すぎるパスワードの場合、メモ行為の助長や利便性の低下につながることもあります。
また、多数のクラウドサービスやITツールを横断して使うようになった昨今、各システムで個別に複雑なパスワードを利用することは現実的ではありません。

そのため、パスワード管理ポリシーで基準を設定するだけでなく、SSOなどで認証行為を集約する「集中管理」もあわせて行うことが重要といえるでしょう。

パスワード管理ポリシーを作成すべきおもな理由は以下のとおりです。

それぞれ、一つずつ解説していきます。

パスワード管理ポリシーで基準を定めることは、セキュリティレベルの向上に効果的です。
しかし、従来のIDやパスワードを使った一般的なパスワード認証方式では、情報漏洩や不正アクセスなどのリスクを防ぎきれず、またサイバー攻撃の内容も複雑化してきているため、パスワードのみでセキュリティ対策を講じることは困難とされています。

そのため、これからはパスワード管理だけに依存しないセキュリティ対策を講じることが重要といえるでしょう。

たとえば、認証行為を集約するシングルサインオン（SSO：Single Sign On）もセキュリティ強化に有効です。
これまでは滅多に使わないシステムに不正ログインされても気付きにくい状況でしたが、SSOでログインを集約することで、不正ログインに気づきやすくなります。

認証行為を集約することによって利便性が向上するだけでなく、パスワードが漏洩した場合も気づきやすくなるため、セキュリティ上のメリットも期待できるでしょう。

また、知識情報、所持情報、生体情報を2つ以上組み合わせる多要素認証（MFA：Multi-Factor Authentication）もセキュリティ強化に役立ちます。多要素認証のなかには、パスワードを使用する代わりに証明書や指紋などを使用する「パスワードレス認証」もあり、昨今注目を集めています。

パスワード管理ポリシーについて詳しく解説しました。
個々の従業員が多様なシステムやサービスを利用する現代では、パスワード管理ポリシーを定めて複雑なパスワードを設定すること、また、各システム共通のパスワード生成基準に統一することが大切です。

最近ではパスワードのみの認証ではセキュリティ維持が困難になりつつあることから、多要素認証やSSOなどを活用してセキュリティレベルを向上している企業も増えています。

特にクラウドサービスを使う際は、安全性の高い認証方式を取り入れることが肝要です。
クラウドサービスを利用する場合は、クラウド型ID管理・統合認証サービス「IDaaS」（Identity as a Service）などを利用する方法が有効です。

パスワードレス認証を含む多要素認証やSSOの導入も視野に入れつつ、まずはパスワード管理ポリシーの要件を取り決め、全社でセキュリティレベルを向上していきましょう。