ITパスポート 2018年 春期 問63

パスワード管理に関する記述のうち、適切なものはどれか。【ITパスポート 解説】

正解の理由

• パスワードマネージャ（password manager：複数のパスワードを安全に保管・管理するソフト）
• 平文（plain text：暗号化されていない、そのままのデータ）
• クレデンシャルスタッフィング（credential stuffing：流出したID/パスワードを他のサイトで試す攻撃）

解法ステップ

1. 問題の趣旨は「安全なパスワード管理かどうか」を問うことを確認する。
2. 各選択肢がセキュリティ原則（秘密性・最小権限・分離）に合うかを評価する。
3. 「使い回し」「初期パスワードを放置」「平文保存」は一般にリスクが高い事実を思い出す。
4. リスクが低く実務的に守るべき運用は「ア」であると判断する。

選択肢別の誤答解説

• ア: 業務用と私用でパスワードを使い分けることは正しい。1つの漏えいで複数のアカウントが壊滅するのを防げます。よって適切。
• イ: 初期パスワードは「変更する」べきです。初期パスワードはベンダーや管理者が知っている場合が多く、推測されやすいからです。慣れるまで変更しないのは危険です。
• ウ: 数個のパスワードを使い回すのは避けるべきです。1つが漏れると他も侵害されるリスク（クレデンシャルスタッフィング）があります。アカウントごとに異なるパスワードを使うのが基本です。
• エ: パスワードを平文のファイルに保存するのは非常に危険です。PCが盗まれたりウイルスに感染したりすると簡単に読み取られます。正しい代替は暗号化された保管や信頼できるパスワードマネージャの利用です。

よくある誤解

1. 「長ければそれだけ安全」
   • 長さは重要ですが、同じパスワードを複数で使うと意味がありません。長さ＋使い分け＋保管方法がセットで重要です。
2. 「紙に書いておけば安全」
   • 身近な方法ですが、紛失や盗難のリスクがあります。職場で共有物に書くのは特に避けてください。安全に共有したい場合は共有機能のあるパスワードマネージャを使います。
3. 「パスワードマネージャは危ない」
   • すべての情報が一か所にあるので怖いと感じる方もいますが、信頼できる製品はデータを暗号化して保存します。むしろ使い回しを減らせるため総合的に安全性が上がります。

補足コラム

• 強いパスワードの作り方：推測されにくく、長いほうが良いです。単語をつなげた「パスフレーズ（passphrase）」は覚えやすく強度も高くなります。例：「CoffeeBlue!2026Book」よりも「朝の珈琲を外で読む2026年」が覚えやすく安全性も保てます（実際の例は個人用にアレンジしてください）。
• 二段階認証（two-factor authentication：パスワードに加え別の要素で認証する仕組み）は、パスワードが漏れてもアクセスを防ぐ強力な補助策です。可能なサービスでは必ず有効にしましょう。
• 使い回しが判明したら：すぐに該当アカウントのパスワードを変更し、他で同じパスワードを使っていないか確認して変更します。漏えい通知サービス（信頼できるもの）で確認するのも有効です。

FAQ