現代の攻撃に対しては、パスワードだけでは十分ではありません。 2要素認証を使用して、時間ベースのワンタイムパスワード（TOTP）や物理的なセキュリティキーなどの2つ目の検証ステップを追加してください。 たとえパスワードが盗まれたとしても、2要素認証を導入することで、アカウントが侵害される可能性は極めて低くなります。

可能であればSSOを導入し、従業員が1つの安全なログイン情報だけで済むようにします。 これにより、過度なパスワード管理の負担が軽減され、脆弱な認証情報や使い回された認証情報のリスクを減らすことができます。 SSOをサポートしていないツールについては、パスワードマネージャーが残りのログイン情報の安全を確保することで、そのギャップを埋めることができます。

2025年版NISTパスワードガイドラインでは、複雑さよりも、長いパスワードやパスフレーズ の使用が推奨されています。 長いパスワードは、短く複雑なパスワードよりも解読がはるかに困難です。 NISTは8文字を推奨していますが、15文字以上であれば実質的に解読不可能です。

複数のアカウントで同じパスワードを使用すると、1件の侵害ですべてが侵害されることになります。 固有のログイン情報の使用を徹底します。従業員はパスワードマネージャーを使用することで、アカウントごとに強力なパスワードを自動生成できます。

メールやチャットを介してパスワードを共有すると、暗号化なしの永続的なコピーが作成され、攻撃者に容易に発見される恐れがあります。 認証情報を暗号化し、いつでもアクセスの管理や失効を行うことができる、安全なパスワード共有ツールを使用してください。(新しいウィンドウ)(新しいウィンドウ)

過去の侵害により、何十億ものパスワードがダークウェブ上に流通しています。 漏洩データベースを自動的にスキャンし、企業の認証情報が検出されたときにアラートを表示するツールを使用することで、不正利用される前にリセットする時間を確保できます。

辞書にある単語、会社に関連する用語、名前、日付、および過去の侵害で発見されたものを含む、予測可能またはリスクの高いパスワードの使用をブロックします。 現代のパスワードマネージャーは、新しいパスワードが漏洩データに含まれていないかを自動的に照合できます。