by Marco Verch Professional Photographer and Speaker

Microsoftは2019年4月24日、Windows 10 バージョン1903ならびにWindows Server バージョン1903のセキュリティベースラインのドラフト(仕様書)を公開しました。その中で、Microsoftはパスワードの定期変更に疑問を呈し、「パスワードに有効期限を設ける」というこれまでの方針を廃止したことを明らかにしました。

Security baseline (DRAFT) for Windows 10 v1903 and Windows Server v1903 - Microsoft Security Guidance blog

https://blogs.technet.microsoft.com/secguide/2019/04/24/security-baseline-draft-for-windows-10-v1903-and-windows-server-v1903/

Password1, Password2, Password3 no more: Microsoft drops password expiration rec | Ars Technica

https://arstechnica.com/gadgets/2019/04/password1-password2-password-3-no-more-microsoft-drops-password-expiration-rec/

バージョン1903は2019年5月末に配布される予定の次期大型アップデートです。バージョン1903ではWindows Updateの改良が予定されていて、更新プログラムの適用を最大35日まで延期することが可能になっています。また、2017年に削除リストに追加されてしまったMSペイントが引き続きビルドに含まれることが話題となりました。

一時は「死んだ」と思われたWindowsの「ペイント」はまだまだしぶとく生き残る - GIGAZINE



そんなバージョン1903のセキュリティベースラインのドラフトの中で、Microsoftは「パスワードの定期変更を必要とするようなパスワード有効期限ポリシーを削除します」と明記しました。

Microsoftは、「人間が自分のパスワードを選ぶ時、簡単に予測できるようなものにしてしまいがちです。しかし、覚えにくいパスワードを割り立てたり作成したりすると、他の人が見られる場所に書き留めてしまうことがよくあります。また、自分のパスワードの変更を余儀なくされると、既存のパスワードを予測可能なものに変更したり、新しいパスワードを忘れたりします」と述べ、セキュリティ業界で長年勧められてきたパスワードの定期変更に対して疑問を呈しています。

ただし、パスワードの有効期限ポリシーを削除する代わりに、セキュリティベースラインには含まれていないものの、禁止パスワードリストの導入や二段階認証などといった代替手段をMicrosoftは勧めています。

「パスワードの定期変更は不要」という主張は近年注目されているもので、2018年には日本の総務省が「実際にパスワードを破られアカウントが乗っ取られたり、サービス側から流出した事実がなければ、パスワードを変更する必要はありません」と述べています。

安全なパスワード管理｜社員・職員全般の情報セキュリティ対策｜企業・組織の対策｜国民のための情報セキュリティサイト

http://www.soumu.go.jp/main_sosiki/joho_tsusin/security/business/staff/01.html



また、Windows 10ではローカルのAdministrator(管理者)アカウントがデフォルトで無効になっていてインストール中に新規でAdministratorアカウントを作成する必要があります。MicrosoftはこのAdministratorアカウントの強制無効についてもとりやめる方針を検討していると述べています。