米セキュリティ指針で「パスワードの定期変更」「秘密の質問」が否定されているようです。

パスワードの定期変更強制が否定されている理由は、変更したとしてもこれまでのパスワードが「hoge」だと「hoge1」にするだけだからです。

これには頷けます（私はそのようにはしませんが）。変更をお勧めするくらいが良い気がします。

秘密の質問は理由は書いていなかったのですが、以前秘密の質問の問題点として、その人のSNSなどを見れば答えが分かってしまう点があげられていました。

これは質問も一緒に設定するようにすれば解決すると思います。質問をちゃんと考えて決めれば、自分以外には答えられずかつ自分は絶対に答えられる質問は何個も作れます。

ただ、ちゃんとそのような質問を設定するような人なら、元のパスワードを忘れることもないかも知れませんが。