自分ならこうすると思う

システム管理者が“暴君”になるとき - ITmedia
いや、笑い話じゃ済まない話ですよ、現実に起こったら。
確かに素人はガチガチに固めたがるんですが、それだと使い勝手（可用性）がガクンと低下してしまいますし、それだと「システムなんか使わん方がマシ（仕事が進められる）」という話にもなりかねませんね。

このケースの場合の解決策には色々考えられますが、自分なら……

• まずは使い勝手を損なわない程度のパスワードポリシーを設定……の前に、他の社員に軽く打診してみる（社内に「味方」を作っておく）。で、その結果を踏まえて事前周知・教育をしてから、やや緩めのパスワードポリシーを施す。
• それと平行して「パスワードを紙に書く」という人は絶対に現れるので、ハードウェアトークンやワンタイムパスワードによる認証を行う為の環境を整備するために、軍資金を出す権限がある人に対するプレゼン資料を用意し、ネゴを開始する。
• それと、既存の環境で情報漏えいが防ぐ事が出来る事（例えばファイルをアクセス権設定とか）を行い、少しずつセキュアな環境に慣らしていく。

……やっぱりいきなりやろうとすると拒否反応を起こす人が多くなってしまう訳（いなくなるという事はありませんが……）で、その辺はどうしても強いセキュリティを施す必要のある場所（例えばユーザサポートセンターのように大量の機微な個人情報を取り扱う場所とか）を除いては、じわじわと慣らしていく事が重要かと。

まぁ、正解は１つじゃないんで、その辺はシス管の「腕の見せ所」な訳ですな。