ビジネス向けのパスワードのアイデア

業務用のアカウントは互いにつながっています。メール、Slack、Google Workspace、Microsoft 365、GitHubのどれか1つのアカウントに弱いパスワードがあるだけで、攻撃者は顧客データ、請求書、社内ファイルにアクセスできてしまいます。また、犯罪者が本物のメールボックスを使って支払いを要求するビジネスメール詐欺は、最も被害額の大きいサイバー犯罪の一つです。攻撃者は、社内に使い回しや推測可能なパスワードが1つあれば十分な場合が多いことを知っています。

一人ひとりが自分専用のログインを持ち、チーム用パスワードマネージャーで生成・保存した16文字以上の固有のランダムなパスワードを使うべきです。どうしてもログインを共有する必要がある場合は、メールやチャットではなくパスワードマネージャーを通じて共有し、後からアクセス権を取り消せるようにしましょう。管理者アカウントは日常用のアカウントと分け、パスキーやセキュリティキーなど、利用できる最も強力な方法で保護してください。

現行のNISTガイダンス（SP 800-63B）は、決まった間隔でのパスワード変更を従業員に強制しないよう勧めています。強制しても、たいていは予測しやすい小さな変更にとどまるからです。代わりに、二要素認証またはシングルサインオンを必須にし、パスワードを既知の漏洩リストと照合し、誰かがチームを離れたときや侵害が疑われるときには、すぐに認証情報を変更しましょう。