最終更新日：2026年6月18日
sg sg-security-measures access_control it_security_operations
まず結論
パスワード管理とは、利用者認証を安全に行うための運用ルールであり、SG試験では「強度と利便性のバランスが適切か」を判断させる問題が多いです。
直感的な説明
パスワードは「本人確認のカギ」です。
しかし、
- 簡単すぎる → すぐ破られる
- 複雑すぎる → メモしてしまう
👉 強くしすぎても弱くしすぎてもダメ
つまり 「安全」と「使いやすさ」のバランスが重要です。
定義・仕組み
パスワード管理とは、パスワードの設定・変更・保管・利用に関するルールを定め、安全に認証を行う仕組みです。
■ 主な管理項目
- パスワードの長さ・複雑さ
- 有効期限（定期変更）
- 使い回しの禁止
- 入力回数制限（ロックアウト）
■ アカウントロックアウト（重要）
- 一定回数ログインに失敗するとアカウントを一時的に停止する仕組み
👉 ブルートフォース攻撃対策として重要
ただし注意👇
- 厳しすぎると正規ユーザも使えなくなる
■ 内部不正・アクセス管理との関係
- パスワード管理 → 本人確認の強化
- アクセス管理 → 権限の制御
- ログ管理 → 操作の記録
👉 3つセットで考えると理解しやすい
どんな場面で使う？
■ 使う場面
- システムのログイン設計
- 社内ルールの策定
- セキュリティポリシーの運用
👉 SG試験では 「この運用は適切か？」と問われます。
■ 使うと誤解しやすい場面
-
複雑なパスワードにすれば安全 → 運用が崩れると逆効果
-
定期変更すれば安全 → 現在は見直されているケースもある
■ 共有端末でブラウザにID・パスワードを保存する場面
共有端末や複数人が使う端末で、Webブラウザに業務システムの認証情報を保存すると、次に端末を使う人が保存済みの情報でログインできてしまうおそれがあります。
SG試験では、この状況を通信の盗聴や端末の持出しではなく、本来アクセス権限をもたない人が保存済みの認証情報を使って不正にアクセスするリスクとして切り分けます。
| 選択肢の表現 | 判断 |
|---|---|
| 通信経路上で認証情報が盗み見られる | 通信の保護に関するリスクであり、ブラウザ保存の直接の論点ではない |
| 端末そのものが持ち出される | 物理管理のリスクであり、保存済み認証情報の論点とはずれる |
| 権限のない人が保存済み認証情報で業務データにアクセスする | 正解候補。認証情報の保存によるアクセス管理上のリスク |
| 管理者が権限設定を書き換える | 権限変更の内部不正であり、ブラウザ保存のリスクとは別 |
👉 判断ポイント 「ブラウザにID・パスワードを保存」＝保存済み認証情報の悪用による不正アクセス と考えます。
関連して、利用者ごとの権限管理は アクセス権管理とは？権限付与と見直しの考え方を整理【SG試験】 で確認できます。
よくある誤解・混同
❌ 「複雑なパスワードほど安全」
→ ⭕ 運用できなければ意味がない
❌ 「頻繁に変更すれば安全」
→ ⭕ 使い回しやメモの原因になる
❌ 「ロックアウトは厳しいほど良い」
→ ⭕ 利用不能（DoS的状態）になるリスク
■ SG試験でのひっかけ
-
「利便性を無視した厳しすぎるルール」 → 不適切
-
「簡単すぎるパスワード運用」 → 不適切
👉 “現実的に運用できるか”が判断基準
まとめ（試験直前用）
- パスワード管理＝認証を安全に運用する仕組み
- 強度と利便性のバランスが重要
- ロックアウトは攻撃対策だが過剰はNG
- 「厳しすぎてもダメ」がSGのポイント
- 選択肢は「現実的に運用できるか」で判断