そもそもパスワードは何のためにあるかと言うと、あなたがあなたであることを証明するための認証の要素の1つです。
IDと一緒に用いられることが多いと思います。
色々なサイトを利用していると、そのサイトごとにIDとパスワードを設定しなければならず、その数が多くなってくると、簡単に覚えられるものや、すべてのサイトで同じパスワードを使うようにしてしまうことをついやってしまいがちなのですが、そこにセキュリティ上のリスクが潜んでいます。
現在、適切なパスワードの設定・管理には、以下の3つの要素があるとされています。
総務省提供の「国民のための情報セキュリティサイト」より
http://www.soumu.go.jp/main_sosiki/joho_tsusin/security/basic/privacy/01-2.html
１．安全なパスワードの設定
２．パスワードの保管方法
３．パスワードを複数のサービスで使い回さない（定期的な変更は不要）
１については、名前や生年月日、辞書に載っている英単語、安易な文字列（123456など）をパスワードとして使ってはいけませんということです。
理想のパスワードとしては、アルファベットの大文字と小文字、数字、記号を組み合わせた10文字以上の文字列とすることがよいとされています（下述のNICTでは、8文字以上で、設定時に異なる文字種指定をサービス提供側が強制するべきではないとしていますが...）。アルファベットの文字列については日本語の単語をアルファベット表記したものを複数個組み合わせて使うのも良いかもしれません。
２については、パスワードを付箋紙に書いて貼っておくというのはもってのほか、他の人に漏れないようにきちんと保管しましょうということです。パスワードをメールやチャットで送るのも危険です。
３の「使い回し」については、冒頭でも書きましたようについついやってしまいがちですが、パスワードが悪意を持った人に漏れてしまうと、そのサイトだけなく他のサイトも簡単にログインされてしまうリスクが高まります。最近では、メールアドレスをログインIDとして利用するサービスが多くなってきましたが、例えばメールのパスワードをすべてのサイトで使いまわしていたとすると、そのメールパスワードが何らかの理由で外部に漏れてしまい、他のサイトも次々と不正にログインされてしまうというのはよく聞く話です。
怖いのは、「何らかの理由で外部に漏れてしまう」というその理由です。たとえば、サービスプロバイダー側で情報漏えいが発生した場合などは、自分でいくらきちんと管理していてもパスワード漏洩を防ぐことができません。２次３次の被害を防ぐためにも、パスワードの使い回しはやめておくべきなのです。
このパスワードのセキュリティに対する考え方は時代とともに変化しています。
技術だったり、その時点までの傾向分析だったりが理由で。
３に書いた「（定期的な変更は不要）」もその１つで、かつては定期的な変更が安全対策の１つと考えられていましたが、これまでのセキュリティインシデント（事故）の解析の結果などから、パスワードの定期的な変更はむしろリスクであるというガイドラインが、昨年、専門機関（NIST）から発表されたことを受けて、現在では、総務省でもこのような表現に変更しています。NISTは、ログインサービスを提供するサービスに向けても、定期的な変更を強制することはやめるべきという指針も出していますので、今後、各種のサービスでパスワードの定期的な変更を強制されることは少なくなるかもしれません。
DRAFT NIST Special Publication 800-63B（日本語翻訳版）の5.1.1.2のあたり
なお、このレポートには、サービス提供側に、パスワードに異なる文字種の組み合わせ要求すべきではないことや、パスワードを忘れた場合などに回復の手段としてよく使われる「パスワードヒント」の利用もやめるべきとしています。
現状では、サービス提供側のルールに従わなければならない部分も多いですが、上記の基本的な考えを理解して安全なパスワードの利用に努めましょう。
それから、この記事でも書きましたが、ウェブメールではなく、メールソフトでメールを利用する際は、暗号化された通信の仕組みを利用するようにすることも大切です。野良Wi-Fiの利用時など、思わぬところで通信内容を盗み見られてしまうときにパスワードが漏洩することを防ぐためにも。
ぐっどらっこ