個人情報保護士認定試験 オフィス・情報システムセキュリティ 練習問題 第63問: ウェブサイトのパスワードによる認証について、IPA「安全なウェブサイトの作り方（改訂第7版）」の記述に照らして正しいものはどれか。

正解: 3. ログインに失敗したときは、IDとパスワードのどちらが誤りかを示さない表示が勧められている

同書2.5は、ログイン失敗時に「パスワードが間違っています」と表示するとユーザIDが正しいことを示してしまうため、「ユーザIDもしくはパスワードが違います」のように推測のヒントを与えない表示を勧めています（肢3）。初期パスワードは、変更せずに使い続ける利用者もいるため、規則性をなくした推測困難な文字列で発行するとしています（肢4は誤り）。2.7は、あるユーザIDの失敗が一定回数を超えたらアカウントロックする単純な対策は、パスワードを固定してIDを変える試行（リバースブルートフォース）に効果がないとし（肢2は誤り）、パターン数を確保したまま入力頻度を減らす設計の検討を勧めています（肢1は誤り）。

根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

関連キーワード: パスワード・初期パスワード・アカウントロック・リバースブルートフォース