最近では定期パスワード変更の運用が、運用上忘れるリスクの方が高いということで採用されることも減っているそうですが
私は違うと思います。
定期パスワード変更をつかうことである一定程度のセキュリティレベルが向上すると思っています。
流出してからでは遅いので。
定期パスワード変更によってパスワードが変わったことよりもパスワードを変えていないアカウントを認知し、未使用アカウント等を明らかにすることも
重要ではないかと思っています。
通常使われていないアカウントを使って情報を持っていかれるケースも多いと思うので。
必ず変更しないとシステムを使えないような仕組みや使用しなくなったものは必ず無効や削除する運用を取り入れてリスクを減らしましょう。
ただ、利用者からするとまたパスワード変更かよ。あれ？パスワード忘れてログインできない。このシステム使いたくない。
パスワードの末尾に連番を付けかえて設定し、あまり意味ないじゃんという声があるのも十分理解できます・・・・。
こういうのはやはりGoogleの認証の仕組みが参考になります。（普通のシステムではなかなか導入できませんが）