WEBサーバーのパスワード変更

LinuxのWEBサーバーを運用しています。私の会社では、パスワード(担当者IDとROOT）の変更を毎月1回行っています。 パスワードは１３桁以上、乱数を発生させて英字（大文字、小文字）数字の組み合わせで作っています。 安全性の高いパスワードの作成基準は、桁数が長いことと、意味づけなどがないことですので、基準は満たしていると思いますが、パスワードの変更頻度については基準（考え方）がよくわかりません。 変更頻度についての考え方と、具体的に何日おきに変更しているのか教えていただきたく思います。 よろしくお願いします。