ITパスポート 2011年 秋期 問81

職場でのパスワードの取扱いに関する記述a〜d【ITパスポート 解説】

正解の理由

• b（個人用パスワードはシステム管理者にも教えない）
  パスワード（password：本人だけが知る秘密の文字列）は本人認証のための秘密情報です。システム管理者（サービスやシステムの運用・管理をする人）であっても、個人用パスワードを教えるべきではありません。管理者側で必要な作業がある場合は、管理者用の仕組み（リセット機能や管理者権限）を使います。
• c（パスワードは定期的に変更するだけでなく、第三者に知られた可能性がある場合にも変更する）
  定期変更（周期的に変える）に加え、漏えいの疑いがあるときは直ちに変更することが基本です。漏れた可能性があるまま使い続けると不正アクセスされる危険があります。
• d（付与された初期パスワードは、最初にログインしたときに変更する）
  初期パスワード（最初に与えられる仮のパスワード）は管理者や配布経路で知られている場合が多いので、最初のログイン時に自分だけが知るパスワードに変更することが重要です。

解法ステップ

1. 各記述の「安全な扱いか」を基準に判断します。ポイントは「秘密にすべきか」「漏れたらどうするか」「初期状態での扱い」です。
2. a：業務用パスワードを別のサービスで使う＝使い回し。これはセキュリティ上の大きなリスク → 不適切。
3. b：個人用パスワードは本人の秘密。管理者にも教えないのが原則 → 適切。
4. c：定期変更＋漏えい疑い時の変更は当然の対策 → 適切。
5. d：初期パスワードは既知の可能性があるため最初に変更 → 適切。
6. 以上より、正しい記述だけを選ぶと b, c, d → 選択肢は ウ。

選択肢別の誤答解説

• ア: a, b, c
  a が含まれているため誤り。業務用パスワードの私的流用（使い回し）は危険です。
• イ: a, c
  a が不適切なので誤り。c は正しいが a のせいで選べません。
• ウ: b, c, d
  正解。b（共有しない）、c（定期変更＋漏洩時変更）、d（初回変更）はいずれも基本的なパスワード運用ルールです。
• エ: c, d
  b が抜けています。個人用パスワードを管理者に教えるべきではないという重要な点が含まれていないため不完全です。

よくある誤解

1. 「管理者にパスワードを教えれば安心」
   管理者でもパスワードを直接知らない方が安全です。問題発生時は「パスワードリセット」などの仕組みを使います。
2. 「定期的に変えれば何でもOK」
   変更頻度だけで安心するのは危険です。パスワードの長さ・複雑さ、使い回しの禁止、二要素認証（2FA）など他の対策も必要です。
3. 「初期パスワードは変えなくても問題ない」
   初期パスワードは既知である場合が多く、すぐに変更しないと不正に使われる可能性があります。

補足コラム

• パスワード管理の便利な方法：パスワードマネージャー（password manager：複数のパスワードを安全に保存・管理するソフト）を使うと、サービスごとに長くて複雑なパスワードを使い分けられます。多くは暗号化され、マスターパスワード一つで開けますが、そのマスターパスワードは特に強固にしてください。
• 二要素認証（2FA、two-factor authentication：2つの要素で本人確認する仕組み）は、パスワードが漏れてもアカウントを守る強力な手段です。ワンタイムパスワード（使い捨ての番号）やスマホアプリの確認などがあります。
• もしパスワードを誤って教えてしまった・漏れた疑いがある場合は、直ちに変更し、所属部署の情報セキュリティ担当へ報告してください。

FAQ