複雑なパスワードはユーザーの負担になるだけでセキュリティー向上にはつながらないとして、パスワードポリシーの緩和とシステム側での対応強化を推奨するガイダンスを英政府通信本部(GCHQ)が発表している。ガイダンスはGCHQの電子通信安全局(CESG)が国家インフラストラクチャー防護センター(CPNI)とともに作成したもの(Password guidance: simplifying your approach、 CESGのブログ記事、 The Independentの記事、 BetaNewsの記事)。

ユーザーの負担を軽減するための措置としては、保護の必要な場面でのみパスワードを使用すること、安全なパスワード管理手段の提供、パスワード変更を強制するのは不正ログインが疑われる場合などに限ること、ユーザー間でのパスワード共有を禁じ、ハードウェアトークンなどによるアクセスコントロール手段の導入を検討することなどが挙げられている。パスワード管理ソフトウェアを使用する場合は攻撃者のターゲットになりやすい点にも注意すべきとしている。

ユーザーにパスワードを作成させる場合、推測しにくいパスワードを選択するための指導を行い、よく使われるパスワードはブラックリストにより禁止することを推奨。一方、機械的にパスワードを生成する場合はランダムな4つの単語の組み合わせや、子音-母音-子音を繰り返した構造を持つパスワードを推奨し、複数の候補を提示してユーザーが覚えやすいものを選択できるようにすべきとのこと。ユーザー生成・機械生成いずれの場合も、パスワードを職場と自宅で共有しないことが重要だとしている。

このほか、出荷時にデフォルトパスワードが設定されている場合はデプロイ前に変更すること、管理者やリモートユーザーにはより高度なセキュリティ対策を行うこと、怪しいログイン試行を監視してロックアウトなどの措置を行うこと、パスワードを平文で保存しないことなどが推奨されている。