個人情報保護士認定試験 オフィス・情報システムセキュリティ 練習問題 第6問: 総務省「国民のためのサイバーセキュリティサイト」が企業・組織の職員向けに示すパスワードの設定・管理の考え方に照らして、適切でないものはどれか。

正解: 1. 流出の事実がなくても、パスワードを一定期間ごとに変更する

総務省「国民のためのサイバーセキュリティサイト」は、実際にパスワードを破られアカウントが乗っ取られる等のサービス側から流出した事実がない場合は、パスワードを変更する必要はなく、むしろ定期的な変更によってパスワードの作り方がパターン化したり使い回しをするようになったりすることの方が問題になるとしています。NISCのハンドブックも、定期変更は基本的に不要で、流出時に速やかに変更するとしています。一方、同サイトは、やむを得ずパスワードをメモに記載した場合は鍵のかかる机や金庫など安全な方法で保管すること、パスワード管理ツールを使うこと、覚えなければならないパスワードは無関係な複数の単語をつなげたりその間に数字列を挟んだりして作ることを挙げています。

根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

関連キーワード: パスワード・パスワード管理ツール・使い回し・国民のためのサイバーセキュリティサイト