この他人に推測され難い無意味でランダムな文字列をパスワードとして採用すべきという最も基本的な注意事項であるが、セキュリティ意識の低い一般の人にとっては必ずしも容易ではない。実は一般の人にとって一番の不安はパスワードを忘れてしまう事なのである。これが推測され難い無意味な、そしてランダムな文字列を使うことへの阻害要因になっている。

当初、このパスワードの他人による推測を防ぐために、そしてパスワードへの注意喚起、パスワードの設定を意識させることを目的に、パスワードを定期的に更新することが推奨され、実際に、特に高いセキュリティが求められる銀行や証券会社、それにネット通販等、資産や取引に関わるサイトへアクセスする際の認証に用いられるパスワードには定期更新が強く求められた。

パスワードの定期変更が推奨される最も大きな理由は、かつてアメリカ国立標準技術研究所（NIST)がパスワードの定期変更を推奨していたためである。NISTとはアメリカの技術や産業の規格や利用について、その要件等を定める機関であり、そこで決められたことは米国での利用基準となっている。日本政府でも、それに準じて、例えば総務省ではパスワードの利用に関し、「パスワードの定期変更」を推奨していたのである。もちろん、それだけではなく、第一にパスワードへの関心を高めるため、第二には、もしそのパスワードが洩れていた、あるいは推測されていたとしても、利用期間における制限から限定的な被害に収まるだろうという期待からである。

NISTでは最近になって、パスワードの定期変更を推奨することはなくなり、それどころか、一昨年の6月には、「一般には、パスワードの定期変更を求めてはいけない」という、今までと真逆の推奨が提示された。それにともなって今年の3月には、総務省が「パスワードの定期変更は不要」との発表を行った。なぜパスワードの定期変更が勧められないのか。

パスワードの定期変更の目的はパスワードが推測される可能性を低減させるため、そして万が一に、パスワードが洩れたとしても、その被害を最小化するためであった。しかし、先に説明したようにパスワードの安全性は、もともと他人に推測されない無意味でランダムなパスワードに設定していることを仮定していたのである。しかるにパスワードの定期変更を強いることによって、この仮定が崩れる傾向が判明したのである。つまり定期変更する際にも、変更前のパスワードと、変更後のパスワードは当然、無相関、つまり改めて無意味でランダムな文字列をパスワードとして設定しなければならない。ところが頻繁な変更を強いるがゆえに、そして多数のパスワードを扱う必要から、それぞれ定期変更を強いられることで手間が倍増し、安易な変更になる場合が多いのである。例えば、先のパスワードを規則的に変更するために、末尾の番号を1づつ加えたり、他のサービスのパスワードを順々に使いまわしたりすることが判明したのである。言わば、パスワードの本質において、枝葉を気にするあまり、本質を見失っていたのである。