在宅で仕事をしていると、ログインするサービスがどんどん増えていきます。メール、会計ソフト、ネット銀行、取引先とのやりとりに使うサービス、そして私用のネットショッピングやSNS。私は個人事業とひとり法人の二刀流で仕事をしていて、毎日ログインするサービスだけでも10を超えます。
数が増えると、つい同じパスワードを使い回したくなります。でも、使い回しは、パスワードの使い方の中でもとくに避けたいものです。
この記事では、なぜ使い回しが危ないのか、安全なパスワードとはどんなものかを、総務省やIPA（情報処理推進機構）などの公的な情報をもとに整理します。
安全なパスワードとは
総務省の「国民のためのサイバーセキュリティサイト」では、安全なパスワードを「他人に推測されにくく、ツールなどで割り出しにくいもの」と説明しています。
ポイントは2つです。
- 人に推測されにくいこと（名前や誕生日などを使わない）
- コンピュータで機械的に試されても、当てられにくいこと（短すぎない、単純すぎない）
不正にログインしようとする側は、人の手で1つずつ試すのではなく、プログラムを使って大量の組み合わせを試します。そのため「人には思いつかなそう」だけでは足りず、「長さ」と「複雑さ」が大事になります。
パスワードの使い回しが危ない理由
使い回しが危ないのは、1か所から漏れたときに、被害がほかのサービスにも広がるからです。
どれだけ気をつけていても、利用しているサービスの側からIDとパスワードが流出することがあります。流出したIDとパスワードの組み合わせを使って、ほかのサービスにもログインを試す手口が知られています。
たとえば、私用で登録した小さなネットショップと、仕事で使う会計ソフトに同じパスワードを設定していたとします。ネットショップから情報が漏れると、会計ソフトにも入られてしまうおそれがあります。
在宅ワーカーは、仕事と私用のアカウントを同じパソコンやスマホで使うことが多いので、私用のアカウントから仕事のアカウントへ被害が広がることも考えておきたいところです。
国家サイバー統括室（NCO）とIPAが示している「サイバーセキュリティ対策9か条」でも、2つ目に「パスワードは長く複雑にして、他と使い回さないようにしよう」が挙げられています。
避けたいパスワードの例
総務省のサイトでは、危険なパスワードとして次のようなものが挙げられています。
- IDと同じ文字列
- 自分や家族の名前、電話番号、生年月日、住所、車のナンバー
- 辞書に載っているような英単語ひとつだけ
- 同じ文字の繰り返し、「123456」「abcd」のような並び、キーボードの並び順
- 短すぎる文字列
このほか、郵便番号や、一度でも人に教えたことがあるパスワードも避けるよう書かれています。自分のパスワードに当てはまるものがないか、一度見直してみてください。
強いパスワードの条件
公的機関が示している目安を並べると、次のようになります。
| 項目 | 目安 |
|---|---|
| 長さ | 総務省は「最低でも10文字以上」、IPAは「15桁程度」を挙げている |
| 文字の種類 | 英大文字・英小文字・数字を混ぜる。さらに記号も入れるとより安全 |
| 使い方 | サービスごとに違うパスワードにする |
長さの目安は機関によって少し違いますが、どちらも「短いより長いほうが安全」という考え方は同じです。迷ったら、長めにしておくと安心です。
覚えなければならないパスワードの作り方
本当は、ランダムな英数字を長く並べたパスワードが理想です。ただ、パソコンのログインやパスワード管理アプリのマスターパスワードのように、自分で覚えておかなければならないものもあります。
総務省のサイトでは、覚える必要があるパスワードについて、意味のつながらない複数の英単語をつなげたり、その間に数字を挟んだりする方法を紹介しています。文章にならない組み合わせにすると、推測されにくく、しかも覚えやすくなります。
記事やサイトに載っている例を、そのまま使うのはやめましょう。人に知られている時点で、安全ではなくなります。
パスワードの定期的な変更は必要ない
「パスワードは定期的に変えたほうがいい」と聞いたことがあるかもしれません。
総務省のサイトでは、サービス側から流出した事実がなければ、パスワードを変える必要はないとしています。むしろ、定期的に変えようとすると作り方がパターン化して簡単になったり、使い回しが増えたりすることのほうが問題だ、という考え方です。
変えるべきなのは、パスワードが漏れたとき、または漏れた疑いがあるときです。
全部を覚えるのは無理なので、管理ツールを使う
サービスごとに、長くて複雑なパスワードを別々に作る。理屈はわかっても、10も20も覚えるのは現実的ではありません。
総務省のサイトでも、パスワードを覚えなくてよい「パスワード管理ツール」を使うことをすすめています。スマホやブラウザに付いている保存機能のほか、専用のパスワード管理アプリもあります。
1Passwordを使う前は、IDとパスワードを手帳やノートに書いて管理していました。けれども、会計ソフトや銀行など、仕事で使うサービスが増えるにつれて、手で書いて管理するのは限界になりました。複雑で長いパスワードを使いたかったこともあり、パスワード管理アプリの1Passwordを使い始めました。ソースネクスト版を選んだ理由や、実際に使ってみた感想は、こちらの記事にまとめています。
【使用レビュー】1Passwordソースネクスト版は買い？公式サブスクとの違い・コスパを実体験で解説
ブラウザの保存機能と専用アプリの違いは、次の記事で取り上げます。
なお、管理ツールを使う場合は、そのツール自体を守ることが大切です。総務省のサイトでも、マスターパスワードを十分に安全なものにすることや、スマホなどの端末をロックしておくことが挙げられています。
また、紙に書いて管理すること自体がいけないわけではありません。同じページでは、やむを得ずメモする場合は、鍵のかかる机や金庫など安全な場所に保管するよう書かれています。紙で管理するなら、人目に触れる場所に置かないことが大切です。
在宅ワーカーが今日から見直せること
最後に、今日からできることをまとめます。
- 名前・誕生日・単純な並びなど、推測されやすいパスワードを使っていないか確認する
- 同じパスワードを使い回しているサービスがあれば、仕事に関わるもの、お金に関わるものから順に変える
- 新しく作るパスワードは、長めにして、英大文字・英小文字・数字（できれば記号も）を混ぜる
- 覚えきれない分は、パスワード管理ツールに任せる
一度に全部やろうとしなくて大丈夫です。仕事やお金に関わるアカウントから少しずつ見直していくと、続けやすいと思います。
