パスワードと呼ばれる符合が使われてから半世紀、「パスワードは終わった！」と言われてからも四半世紀近くが経とうとしています。それでも今、パスワードが使われているのです。なぜパスワードが使われるのでしょうか。その理由はただ一つ、それが有する安全性と、その運用に関する費用（手間）を考え合わせた際に最良だからです。ただし、どのようなセキュリティシステムでも、その安全性を保証する為の仮定があります。パスワードでは、それが利用者の高いセキュリティ意識だったのです。利用者のパスワードの管理が最善である場合、パスワードは有効に作用します。しかし、今、そのパスワードを取り巻く状況が大きく変わってしまいました。にも関わらず、パスワードに期待する事、さらにそれを運用することに対して従来と全く変わっていないことが大きな問題なのです。

一番大きく変わった事は利用者のセキュリティ意識です。一般の人がパスワードを多用する事になり、セキュリティ意識が極めて低くなったことです。これによってパスワードの安全性自体の仮定が崩れました。また結果としてパスワードで守るべき資産も増えました。ネット銀行での多額の資産をパスワードだけで守るのは論外としても、広く浅く累積した資産が増えたのです。パスワードを取り巻く環境も大きく変わりました。一昔前に掲げられたユビキタス環境がほぼ整えられているのです。つまり、そのパスワードで運用されるシステムに対して、いつでもどこでも誰でもアクセス（しようと）できるようになったのです。

にも関わらず、パスワードに関する注意事項は四半世紀前と変わりません。８文字以上の推測され難い無意味な文字列を使う事、パスワードを安易にメモなどに残さない事等です。加えて、セキュリティ意識の極めて低い一般の人にとっては、システム毎にパスワードを変えることを強いるのは無理でしょう。

IPAの調査でもわかるように、一般の人にとって一番の不安はパスワードを忘れてしまう事なのです。これは複数のパスワードを用いる事に対する不安だけではなく、それぞれのパスワードとして８文字以上の推測され難い無意味な文字列を使うことへの阻害要因にもなっています。

もともと、パスワードをメモに残さないように、との指示はネットワーク経由での脅威に比べて、現実社会での脅威、つまりメモの窃盗や紛失の危険性が高く、それが悪用される特定のサーバでのみパスワードが使われる時代での事でした。現在、特に一般の人にとっては、特定されての窃盗や紛失、およびそれが悪用される脅威に比べて、圧倒的にネットワーク経由での脅威が深刻なのです。したがって、パスワードをメモに残さないという過去の常識は、すでに現在の非常識となっているのです。IPAの呼びかけでも、その対策としては以下を上げています。

この紙のメモ以外にも、パスワード管理システムの利用や暗号化された電子ファイルとしての記録が推奨されています。しかし、大多数のセリュリティ意識が極めて低い一般の人にとっては、四の五の言わずに、「一覧表として保持することが現実的な解」であることをさらに単純化して、二つのメモにID（アカウント名）とパスワードを列記し、一つを金庫にしまい、もう一つを肌身離さない手帳に書いて、あるいは肌身離さないスマホや携帯電話の裏に貼付けて利用すれば良いのではないでしょうか。もちろん、これはパスワードのみでセキュリティを確保するという仮定の場合です。当然の事ですが、可能ならば指紋等の生体認証を加えた２要素認証や、トークンやスマホ、あるいは携帯電話によるワンタイムパスワード等の２経路認証を利用するに超した事はありません。