先日実施したアンケートの結果発表。
今回はキーワードをパスワードとして全10問の選択式で投票を募集し、パソコンを起動するところから使用中まで皆さんがどのようなタイミングで、どう考えてパスワード設定されているかを調査。
投票数516件、ご協力ありがとうございました。
パスワード設定や考え方など調査結果
私の感想文が不要なら結果のみはこちら。
パスワードに関するアンケート
https://docs.google.com/forms/d/e/1FAIpQLSfcU40nwbdDALICdqqr77GRycTnz8M1XLAzTvAIE041XcimXg/viewform
1.BIOSパスワード設定率は約4％
さすがにBIOSレベルでパスワード設定する人は少なく4.1％と出た。
意味不明な人へどういう状況かご説明申し上げると、パソコンの電源を入れると、まずBIOSが起動する。NECとかASUSなどのロゴが出るタイミング。
その段階でパスワードを入力しなければ次へ進まないし、BIOS設定にも行けなくなるパターンがBIOSレベルでのパスワード設定。BIOS設定からパスワード有効にできるけれど、やるなら文字列忘れないように。
最近のマザーボードならCMOSクリア（ボタン電池抜くなど）で無効化できるのかも知れないけれど、ノートPCでやらかすとその電池へ行くまでが大変。大昔のIBMパソコンはCMOSクリアしてもダメでマザーボード故障扱いになるほど。
CMOSクリアでリセットされてしまうようなら、デスクトップPCの場合はケースに鍵をかけるところから、ですな。
私はもちろんそんな面倒なことはしない。
2.ログインパスワード設定過半数
ログインのタイミングになるとパスワード設定アリがかなり多めに。
これも一長一短で、普段からデータをバックアップしているなら良いけれど、ストレージ（HDDやSSD）からデータを抜き出す際、パスワードありの場合はデータが見えなかったりするのでご注意あれ。
具体的には、パソコンAが故障し電源入らないとかWindows起動しなくなった時、BへAのストレージを外付しても中身見えない、アクセスできない状態を過去見たことがございます。Windows XPの頃。
セキュリティが自動的に厳しいというOSの設計も、このような場合は考えものだと思った。
3.休止からの復帰時は設定なし多め
スリープなどからの復帰は過半数がパスワード設定なし。
ログインしている状態＝自分がPC利用中、ならば復帰時は自分が近くに居るとしてパスワードは求めなくてOK、と考える人が多いのだろうか。
Q2と3で追加した生体認証率が結構普及しているようで、ログイン時は4.8％、復帰時は3.7％の人が指紋や顔を認識させているのでしょう、ハイテクですな。
4.パスワード管理は3人中1人が脳内
結構割れた。最多は記憶力勝負ながら、一概にどれが多いとも思えず。
多い順に、記憶力＞デジタルで保存（ファイル＞ソフト）＞紙にメモ。個人的には意外とパスワード管理ソフト使われているのかと感じた。
私は他人をまず疑ってかかる嫌な性格なので、パスワード管理ソフトという存在が信用ならない。更に信用ならないのはGoogleのChromeブラウザだけれども、さすがにブラウザ信頼しなければ使い勝手悪い。
もっと信用ならないのは自分の記憶力なのは棚に上げて次へ。
5.文字数は気にしない人が過半数
文字数は気にしない人が多数。
次いで少し多め、そして最低文字数と続き、最高文字数で設定する人は表示されていない7.6％となっております。
一番使い勝手が良い文字数は8文字と感じており、8文字以上で設定しろと言われることが多い気がするけれど、解析されにくい文字数は12が最低限だったと記憶。
というわけで、パスワード使い回すなら12文字（以上）が良いと思う。
6.文字列の組み合わせは2種類が多い
多い順に、2種類＞3種類＞4種類＞1種類＞その他。
2種類が最多な理由は、パスワード使い回している人が多いのか、大文字や記号に対応していない場合が多いためか。
私も2種類にすることが多く、逆にiPhoneのような3種類以上にしろとか強制された時にはイラっと来る。
しかし3種類以上率は割と高めなため、イラっとは思わない人も結構居られるという点では皆さん結構セキュア。
7.流出時は即座に変更する率が高め
約6割がソッコーで変更、2割は自分が対象なら。
これはサイトやサービスにもよると思われ、Googleで漏れたなら即変更するとしても、偽アカウントで遊んでいるFacebookとかならどうでも良いとも思った。
漏れる関係で言えば、Googleが端末の位置を勝手に把握して「ここからログインあったけれどアンタの端末？」とか聞いて来るアレがウザい。しかもそのメールを偽装したフィッシングメールも来ることがあり更にウザい。
8.パスワード使い回しは3人中2人
記憶力勝負率が高いのでそうなるのは当然か。
使い回し率を合計すると66.1％、3人中2人がある程度はパスワードを使いまわされており、私もクソどうでも良いサービスや滅多に使わないサイトなどは特定のパスワードにしております。忘れる。
使い回さないけれど覚えやすい方法としては、自分にしかわからない法則を決めると良いと昔書いた記憶が。
例として、基本パスワードが pass1234 とすると、Amazonなら pass1234b とし、rakutenは pass1234s としたりを今考えてみた。Amazonの頭文字Aの次はB、rakutenのRの次はSを最後に付ける。
こうすれば使い回せる+違うパスワードになる、けれど2つ以上バレると法則もバレてしまう可能性はあるものの、完全に同じよりはマシかと。
9.ルータのパスワード知らない率17％
これはどうなのだろう。
ルータが無い環境ならば「その他」が選ばれているとして、ルータがある割にパスワード知らないパターンは、自分がルータ管理していない、家族がやっているとか。
または、初期設定から変更しておらず、その初期設定がルータ本体の裏や底に貼られているので一々覚えていないのだろうか。
ルータの設定画面とか頻繁に行くものではないため、知らないという回答も珍しくはないのでしょうな。
10.定期的な変更に意味を感じない率高め
賛成派が少数で4.7％となっております。
3人中2人が反対と考えられており私もこちらで、漏えいしていないなら何度も変更するのは逆に危ないと思うため。
漏れた可能性があるのならQ7で多くの人が答えている通り変更した方が良いとは思うものの、そうではないならBFA（総当たり攻撃）成功の可能性を高めてしまう方が怖い。
どういうことかは、例としてパスワードを Apple5963 としており Apple9876へ変更したとしましょう。
BFAリストの中に日本語の語呂合わせなご苦労さんはなかったけれど9876のような単純な羅列は存在した場合、5963から変えない方が良かった、という考え方。
また、配偶者が浮気を疑いスマホのロックを誕生日や車のナンバーで毎月決め打ちを試した場合、頻繁に解除の番号を変更していたなら、いつかヒットしてしまう、とか。
但しこの考え方にもリスクはあり、いつ漏れたかわからない、漏れたかどうかわからないことまで想定すると定期的な変更をした方が良いとも考えられること。
また、自分の意思で変更するなら良いけれど、会社などで他人から強制され嫌々変更しているなら単純な文字列にしてしまいがちな点も問題でしょうな。
というわけで、自分の意思で複雑な組み合わせで変更し続けるならアリ、強制されたり覚えられないからと単純な文字列にするとか付箋にメモしてモニタに貼るくらいならナシ、という、当たり前感ある結論としたい。
以上。この手の調査結果は発表日をスルーしてしまえども独自調査結果のページからリンクするので見逃した際はこちらからどうぞ。
ご協力ありがとうございました。
＞BIOSパスワード
設定率4％はたぶん多い。繁華街の街頭アンケートなら「わからない」が30％超えしそう。
＞ノートPCでやらかすとその電池へ行くまでが大変
ノートはデスクトップに比べてBIOSで設定を変更する必要性が少ないですから、BIOSの存在を知らないユーザが多めやも。
＞ログインパスワード
私用PCはパス無しばかりです。ヒツジ先輩が記した復旧時に面倒だからが一点。自分しか使わないPCにパスワードなんぞ掛けるのは面倒だからが一点。本当に他人へ見せたくないデータは隔離しているからが一点。
＞スリープなどからの復帰
ちなみにスリープも面倒ならロックが適当。ショートカットは「Win + L」で。作業途中だけれど少しだけ席を外したい、だけれど誰かに画面を覗かれるのは嫌、という場面で役立ちます。
ロックの説明をしているサイトではよく「席を外したとき他人に操作されるのを防止する」と紹介されていますが、未だかつて他人のPCを勝手に使う輩なんぞ会ったことは無いです。一般的な方ってそういう機会があるのですかね。
＞パスワード管理
私的な予想で
記憶：15％、紙媒体：15％、データ：40％、管理ソフト：20％
くらいかなと思っていたら、記憶と紙媒体がけっこう多くて驚き。まさかデータより記憶が多いとは。とはいえ銀行の暗証番号くらいは記憶に任せていますから、覚えておくパスワードが3つ4つくらいなら暗記で行けるのやも。
＞解析されにくい文字数は12が最低限
よし「pasuwa12moji」で12文字だな問題ない。
＞大文字や記号に対応していない
ちなみに対応していないサイトでも、メモ帳なんぞに入力した文字をコピペすると、スペース以外ならどんな文字でも設定できることが多し。英字のみなのに日本語が入力できることもあり。どんな不具合が出るか分かりませんから非推奨ですが。
＞使い回さないけれど覚えやすい方法
私はよくサイト名をそのままパスに入れますね。BTOパソコン.jpなら「bto1234pc」とか、Amazonなら「ama12zon34」とか。どこにサイト名を配置するかはそのときの気分。
みかか変換なんぞだいたい記号も入るため便利かもしれませんが、法則がバレると一発アウトですね。
同人用語の基礎知識｜みかか変換 みかか方式暗号
http://www.paradisearmy.com/doujin/pasok_mikakahenkan.htm
＞ルータのパスワード
ISPと契約した際にレンタルしたルータなら、基本的にケーブルを取り付けると勝手にネットへ繋がりますから、設定画面へ行く必要が必ずしもある訳ではありませんし、パスは知らなくとも問題ない場合が多し。
＞パスワードの定期的な変更
辞めた社員が外部から会社のデータへアクセスできるような状況を防ぐ用途でパスワードを頻繁に変更する、という理由なら賛成。根本的にシステムがおかしい点から目をそらしつつ。
軍事施設とか開発費が億単位の研究開発施設とかなら、毎日パスを変更することに意味はあるやも。