タイムアウトの平均について

2時間が長いとは思いませんが、中途半端だなとは思います。
セッションタイムアウト以前の問題として、そもそもログアウト機能はなんのためにあるのかというテーマに関して、以前ブログ記事を書きました。

ログアウト機能の目的と実現方法

ぶっちゃけて言えば、「ログアウト機能はなくても重大な問題ではない」というのが結論です。ログアウト機能がなくても大きな問題ではないと言っているわけですから、セッションタイムアウトが長いことも大きな問題ではありません。

現実問題として、最近の普及しているウェブサイトの多くは、twitterもgoogleもfacebookも基本的にはログイン状態を保持し続けます。そうしても、大きな問題ではないからです。
たとえば、離席中の操作をされるという点については、PCをロックすればよいことであり、PCのロックはウェブサイトを使わなくても元々必要なことです。であれば、PCもロックし、ウェブサイトもタイムアウトするのは対策が重複していることになります。デメリットがなければそれでもいいのですが、ユーザーの手間が増えるというデメリットがあります。

それでも、安全性が大幅に増すのであれば手間を惜しむなということになるわけですが、前述の記事で書いたように、そもそも大幅に安全性が増すわけではありません。

加えて、頻繁にログインを要求してしまうと、ユーザーは安易なパスワードをつけがちになります。これこそが警戒すべきことで、絶対に避けなければなりません。

そのような背景から、最近のウェブサイトはセッションタイムアウト時間が長いのだと思います。

ただし、利用時間が短いサイトであれば、タイムアウトを短くしてもよいでしょう。そのあたりは、利用シーンと合わせて考えればよいと思います。

セッション時間は正直、ケースバイケースです。

「ずっとログインしたままにできないのか？」
「ログインした状態をもっと長くしてほしい」

ログイン画面に「ログイン情報を保存する」のようなチェックボックス等実装してみては如何でしょうか。
情報を保存していいブラウザか否か等をお客様に委ねる事ができると思います。

120分

私的感覚ですが「長すぎる」ですね。
「ログインしてからタイムアウトするまでの時間」と書かれているので語弊ありそうですが、
正確には「ログイン後の無操作時間」ですよね。

PマークやISMSを取得している企業なんかですと「クリアデスククリアスクリーン」の方針に従い、PCのスクリーンセーバー起動までの時間が15分と設定されているところも多いでしょうから、
「無操作時間中に席を立ったときのリスク」に大変気を配っていることだと思います。それと同じですね。

ですので、そこはセキュリティリスクをきちんと理解してもらった上で設定した時間であることを分かってもらう必要があります。
この「無操作での自動ログアウト時間をどうするか」は要件定義時点で決めることも多いと思います。
また導入時に理解を得るための説明会・教育を行うところも多いと思います。