Microsoftの最高情報セキュリティ責任者（CISO）であるBret Arsenault氏は、同社に勤めて31年になるが、大勢の人から歓声を浴びた経験が1度だけあるという。それは、71日ごとのパスワード変更を義務づける社内ポリシーを廃止したときだ。
Arsenault氏は、米ZDNetの取材に対して「それはセキュリティ担当者として、経営幹部として私が喝采を浴びた初めての経験だった」と話す。「私たちは、パスワード自体をなくしたことで、Microsoft社内のパスワードのローテーションをなくすのだと説明した」
Arsenault氏は、MicrosoftのCISOとして、同社の製品と16万人の従業員に使われている社内ネットワークの両方を守る責任を負っている。ベンダーまで含めれば、世界で24万人分のアカウントの責任を負っていることになる。パスワードを廃止し、多要素認証（MFA）などのより良い選択肢に置き換えることは、同氏のやるべきことリストの上位に位置している。
Microsoftはパスワードに関するポリシーを段階的に改訂してきた。2019年1月には、テレメトリーで効果を検証しながら、パスワードの有効期限を1年間に変更した。2020年1月には、その結果に基づいて、パスワードの期限を無期限にした。
また2019年には、顧客に対してパスワードの有効期限を60日間に定める方針を推奨するのをやめる方針を示した。これは、ユーザーが既存のパスワードに小さな変更を加えるだけになったり、新しい優れたパスワードを忘れてしまう傾向があったためだ。
Arsenault氏は、あらゆる場面にMFAを導入すべきだと主張する代わりに、この変化をパスワードをなくすための試みの一環として説明した。
「パスワードが好きな人などいない。あなたも、ユーザーも、IT部門もみんなパスワードを嫌っている。パスワードが好きなのは犯罪者だけだ。サイバー犯罪者はパスワードが大好きだ」と同氏は言う。
Arsenault氏は、「私たちはあらゆるところにMFAを導入することをモットーとしていたが、今にして思えば、それはセキュリティの目標としては正しいが、アプローチとしては間違っていた。追求すべきはユーザー目線での成果であり、目指すべきはユーザーに『パスワードをなくしたい』と思わせることだった。しかし、物事をどう表現するかは重要なことだ。この単なる表現の変化によって、文化が変わり、実現しようとしていることに対する見方が変わった。さらに重要なのは、それによって私たちが作る製品の設計が変わったことだ。『Windows Hello for Business』はその好例だといえる」と述べた。
「パスワードをなくして何らかの生体認証を使えば、認証は素早く行えるようになり、ユーザー体験も改善される」と同氏は話す。
