パスワードポリシー

パスワードポリシーは、システムで使うパスワードについて、 長さ・文字の種類・有効期限などを組織として決めたルールです。

推測されにくいパスワードを使ってもらうための仕組みですが、 厳しくしすぎると、かえって安全性が下がることもあります。

よく決める項目

項目	内容
最小文字数	何文字以上にするか
文字の種類	英大文字・英小文字・数字・記号を含めるか
有効期限	一定期間で変更してもらうか、期限を設けないか
ログイン試行の制限	何回失敗したら一時的にロックするか

ログイン試行の制限は厳密にはパスワードの規則とは別ですが、 総当たりで推測されるのを防ぐために、あわせて設定することが一般的です。

「長さ」を重視する考え方

近年は、文字の種類を細かく求めるより、長さを確保するほうが効果的だという考え方が広まっています。 記号を必須にすると、「Password1!」のような ありがちな形に寄りやすくなるためです。

定期的な変更についても、変更のたびに末尾の数字だけを変えるような 使い方になりやすいことから、漏えいの疑いがあるときに確実に変えることを 重視する考え方があります。自社の規程や、取引先から求められる基準と照らして決めます。

パスワードだけに頼らない

どれだけ強いパスワードでも、他のサービスで使い回されて漏れれば突破されます。

• 2段階認証を組み合わせる
• シングルサインオンで、社内のID基盤の認証に一本化する
• 接続元をIPアドレス制限で絞る

特に、多くの人の情報を見られる管理者のアカウントは、 パスワードの規則より2段階認証の必須化を優先して検討します。

変更したときの影響に注意

規則を厳しくしても、いま使っているパスワードにすぐ効くとは限りません。 長さや文字の種類は次に変更するときから、 有効期限は既存のパスワードにもすぐ効く、というように項目によって効き方が違うことがあります。 有効期限を新しく入れると、多くの人が一斉に再設定を求められることもあるため、 事前に周知してから切り替えます。

パレットLMS・パレットCBTでの扱い

パレットLMS・パレットCBTでは、組織の管理者が 最小文字数・文字の種類・有効期限を設定画面で決められます。 ログインに何回か失敗したときのアカウントロックの回数・時間も設定できます。

• この規則が効くのは、各製品にパスワードでログインする人(受講者・受験者など)です
• 管理・運営する方のログインは、共通のアカウント「パレットID」で行います。 パレットIDでも、組織ごとにパスワードの規則・2段階認証の必須化などを設定できます
• 設定画面には、規則がいつから効くか(次の変更から / いますぐ)が表示されます

セキュリティの設定の全体はセキュリティのページをご覧ください。