この記事の要点
- 米国のNISTのSP 800-63B-4（2025年7月）は、定期的な変更を求めないこととし、漏えいの証拠がある場合に変更を求めるとしています。
- 総務省の案内も、定期的に変えるより、機器やサービスの間で使い回さない固有のパスワードを設定することが求められるとしています。
- 決まりは、長さ、使い回しの禁止、漏れたときの変更、多要素認証、パスキーへの移行の順に見直すと、守りやすく効き目のあるものになります。
パスワードの決まりを見直すときに大切なのは、定期的に変えさせることよりも、十分な長さにすること、ほかのサービスと使い回さないこと、漏れたときにすぐ変えること、そして多要素認証と組み合わせることです。「90日ごとに変更」「大文字・小文字・数字・記号をすべて含める」といった以前からの決まりは、覚えにくく、似たパスワードの使い回しやメモ書きを生みやすいと考えられます。公的な基準と案内をもとに、見直しの考え方を説明します。
公的な基準は、どう変わったのですか
米国の国立標準技術研究所（NIST）が定めるデジタルアイデンティティの指針「SP 800-63B-4」は、2025年7月に最終版が公開されました。この指針は、パスワードの定期的な変更を求めないこととし、変更を求めるのは漏えいなどの証拠がある場合としています。
国内では、総務省の「国民のためのサイバーセキュリティサイト」が、漏えいの証拠がなければパスワードを変更する必要はないとし、定期的に変更するよりも、機器やサービスの間で使い回しのない固有のパスワードを設定することが求められると案内しています。
出典：安全なパスワードの設定・管理（総務省 国民のためのサイバーセキュリティサイト）
NISTの指針が求めていること
NIST SP 800-63B-4のパスワードの要件は、長さを重んじ、文字の種類の混ぜ方の強制や定期的な変更はやめる、という考え方です。
| 項目 | NIST SP 800-63B-4 の要件 |
|---|---|
| 長さ（パスワードだけで認証する場合） | 15文字以上 |
| 長さ（多要素認証の一部として使う場合） | 8文字以上 |
| 文字の種類の混ぜ方 | 種類を混ぜるなどの組み立ての決まりを課さない |
| 定期的な変更 | 求めない（漏えいの証拠がある場合は変更を求める） |
| 使えないパスワードの一覧 | よく使われる、推測しやすい、漏えいしたパスワードの一覧と照らし合わせる |
出典：NIST SP 800-63B-4 Authenticators（NIST）
この要件は、主に利用者のパスワードを確かめる側（サービスやシステムを提供する側）に向けたものです。社内の決まりを考えるときは、自社で選べることと、使っているサービスの設定で決まることを分けて考えます。
なぜ、定期変更をやめるのですか
定期的な変更を強いると、利用者が覚えやすさを優先して、前のパスワードの末尾の数字だけを変えるといった、推測されやすい変え方をしがちだからです。変えたつもりでも、守りはあまり強くなりません。
一方で、攻撃者がよく使う手口には、ほかのサービスから漏れたIDとパスワードの組み合わせを使ってログインを試すパスワードリスト攻撃があります。この手口には、定期的な変更よりも、サービスごとに違うパスワードを使うことが効きます。
社内の決まりを、どう見直せばよいですか
見直しは、長さを決める、使い回しを禁じる、漏れたときにすぐ変える、多要素認証と組み合わせる、パスキーへの移行を考える、の5つの順で考えると進めやすくなります。
1. 長さを決める
パスワードだけでログインするシステムは15文字以上を目安にします。総務省の案内は、覚える必要のあるパスワードについて、関係のない複数の単語を組み合わせる方法を紹介しています。ブラウザやスマートフォンのパスワードを作る機能を使うのも一つの方法です。
2. 使い回しを禁じる
会社のパスワードを、個人で使うサービスや、ほかの社内システムと同じにしないことを決まりにします。数が増えて覚えきれない場合に備えて、会社として認めるパスワード管理のソフトを決めておくと、メモ書きや表計算のファイルでの管理を減らせます。
3. 漏れたときにすぐ変える
定期的な変更をやめる代わりに、漏えいが疑われるときにすぐ変える手順を決めます。不審なログインの通知が届いた、使っているサービスで漏えいが公表された、パソコンが感染した、といった場面を具体的に挙げ、報告先と変更の手順を書きます。
4. 多要素認証と組み合わせる
パスワードだけに頼らず、多要素認証を設定します。社外からつなげる入り口と、管理者のアカウントから始めるのが現実的です。広げ方は多要素認証を社内に広げる進め方で説明しています。
5. パスキーへの移行を考える
使っているサービスが対応していれば、パスキーを取り入れることも考えます。FIDO Allianceは、パスキーを、パソコンやスマートフォンのロックを解除するのと同じ指紋や顔、PINでサインインを承認する仕組みで、パスワードとは違ってフィッシングに強いと説明しています。
システムを作る・選ぶときに確かめること
自社でシステムを作る場合や、サービスを選ぶ場合は、パスワードを確かめる側の作りも確かめます。開発を頼む会社には、次のような点を要件として伝えておくとよいでしょう。
- 長いパスワード（スペースを含むものも）を受け付けるか
- 文字の種類の混ぜ方を強制していないか、定期的な変更を強制していないか
- よく使われるパスワードや、漏えいしたパスワードを登録させない仕組みがあるか
- ログインの失敗が続いたときに、試行を遅らせる・止めるなどの対策があるか
- 多要素認証やパスキー、会社のIDでまとめてログインするSSOに対応しているか
- パスワードを、元に戻せない形で保存しているか
Webのシステムで気をつけたい点は、Webシステムのセキュリティ対策の基本でも説明しています。
管理者のアカウントは、別に考える
システムの管理者や、強い権限を持つアカウントは、ふつうの社員のアカウントとは別の決まりにします。総務省の案内は、システム管理者のアカウントや特権を持つアカウントは、多くの権限を持つため格好の標的になると説明しています。
出典：アカウント管理（総務省 国民のためのサイバーセキュリティサイト）
管理者のアカウントは、ふだんの作業用のアカウントと分け、多要素認証を設定し、誰が持っているかを定期的に確かめます。確かめ方は、アクセス権の棚卸しと特権IDの管理で説明しています。
当社のご支援
アメリア・テクノロジーのセキュリティ診断と対策では、パスワードやアカウントの決まりの見直し、社内の規程づくり、社員向けの説明をご支援しています。システムを作る場合は、Webシステム開発で、認証の作りを要件の段階から一緒に決めます。まずは無料のセキュリティの自己診断で、自社の状況をおおまかに確かめることもできます。
- パスワード
- 多要素認証
- パスキー
- 認証
この記事に出てくる用語
このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。