--- title: "パスワードの決まりを見直す。定期変更より大切なこと｜アメリア・テクノロジー株式会社" url: https://www.ameliatechnology.co.jp/blog/password-policy-update/ description: "パスワードは、定期的に変えさせるより、長く、使い回さず、漏れたときにすぐ変えることが大切です。NIST SP 800-63B-4と総務省の案内をもとに、長さ・定期変更・使い回し・多要素認証・パスキーの観点から、決まりの見直し方を説明します。" updated: 2026-11-12 publisher: "アメリア・テクノロジー株式会社" --- # パスワードの決まりを見直す。定期変更より大切なこと パスワードは、定期的に変えさせるより、長く、使い回さず、漏れたときにすぐ変えることが大切です。NIST SP 800-63B-4と総務省の案内をもとに、長さ・定期変更・使い回し・多要素認証・パスキーの観点から、決まりの見直し方を説明します。 2026.11.12 [Webとシステム開発](https://www.ameliatechnology.co.jp/blog/category/web/) 執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO） Webとシステム開発（WEB & SYSTEMS）のコラム ## この記事の要点 - 米国のNISTのSP 800-63B-4（2025年7月）は、定期的な変更を求めないこととし、漏えいの証拠がある場合に変更を求めるとしています。 - 総務省の案内も、定期的に変えるより、機器やサービスの間で使い回さない固有のパスワードを設定することが求められるとしています。 - 決まりは、長さ、使い回しの禁止、漏れたときの変更、多要素認証、パスキーへの移行の順に見直すと、守りやすく効き目のあるものになります。 パスワードの決まりを見直すときに大切なのは、定期的に変えさせることよりも、十分な長さにすること、ほかのサービスと使い回さないこと、漏れたときにすぐ変えること、そして多要素認証と組み合わせることです。「90日ごとに変更」「大文字・小文字・数字・記号をすべて含める」といった以前からの決まりは、覚えにくく、似たパスワードの使い回しやメモ書きを生みやすいと考えられます。公的な基準と案内をもとに、見直しの考え方を説明します。 ## 公的な基準は、どう変わったのですか 米国の国立標準技術研究所（NIST）が定めるデジタルアイデンティティの指針「SP 800-63B-4」は、2025年7月に最終版が公開されました。この指針は、パスワードの定期的な変更を求めないこととし、変更を求めるのは漏えいなどの証拠がある場合としています。 出典：[NIST SP 800-63B-4 Digital Identity Guidelines: Authentication and Authenticator Management（NIST、2025年7月）](https://csrc.nist.gov/pubs/sp/800/63/B/4/final) 国内では、総務省の「国民のためのサイバーセキュリティサイト」が、漏えいの証拠がなければパスワードを変更する必要はないとし、定期的に変更するよりも、機器やサービスの間で使い回しのない固有のパスワードを設定することが求められると案内しています。 出典：[安全なパスワードの設定・管理（総務省国民のためのサイバーセキュリティサイト）](https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/business/staff/06/) ## NISTの指針が求めていること NIST SP 800-63B-4のパスワードの要件は、長さを重んじ、文字の種類の混ぜ方の強制や定期的な変更はやめる、という考え方です。 | 項目 | NIST SP 800-63B-4 の要件 | |---|---| | 長さ（パスワードだけで認証する場合） | 15文字以上 | | 長さ（多要素認証の一部として使う場合） | 8文字以上 | | 文字の種類の混ぜ方 | 種類を混ぜるなどの組み立ての決まりを課さない | | 定期的な変更 | 求めない（漏えいの証拠がある場合は変更を求める） | | 使えないパスワードの一覧 | よく使われる、推測しやすい、漏えいしたパスワードの一覧と照らし合わせる | 出典：[NIST SP 800-63B-4 Authenticators（NIST）](https://pages.nist.gov/800-63-4/sp800-63b/authenticators) この要件は、主に利用者のパスワードを確かめる側（サービスやシステムを提供する側）に向けたものです。社内の決まりを考えるときは、自社で選べることと、使っているサービスの設定で決まることを分けて考えます。 ## なぜ、定期変更をやめるのですか 定期的な変更を強いると、利用者が覚えやすさを優先して、前のパスワードの末尾の数字だけを変えるといった、推測されやすい変え方をしがちだからです。変えたつもりでも、守りはあまり強くなりません。 一方で、攻撃者がよく使う手口には、ほかのサービスから漏れたIDとパスワードの組み合わせを使ってログインを試す[パスワードリスト攻撃](https://www.ameliatechnology.co.jp/glossary/credential-stuffing/)があります。この手口には、定期的な変更よりも、サービスごとに違うパスワードを使うことが効きます。 ## 社内の決まりを、どう見直せばよいですか 見直しは、長さを決める、使い回しを禁じる、漏れたときにすぐ変える、多要素認証と組み合わせる、パスキーへの移行を考える、の5つの順で考えると進めやすくなります。 ### 1. 長さを決める パスワードだけでログインするシステムは15文字以上を目安にします。総務省の案内は、覚える必要のあるパスワードについて、関係のない複数の単語を組み合わせる方法を紹介しています。ブラウザやスマートフォンのパスワードを作る機能を使うのも一つの方法です。 ### 2. 使い回しを禁じる 会社のパスワードを、個人で使うサービスや、ほかの社内システムと同じにしないことを決まりにします。数が増えて覚えきれない場合に備えて、会社として認めるパスワード管理のソフトを決めておくと、メモ書きや表計算のファイルでの管理を減らせます。 ### 3. 漏れたときにすぐ変える 定期的な変更をやめる代わりに、漏えいが疑われるときにすぐ変える手順を決めます。不審なログインの通知が届いた、使っているサービスで漏えいが公表された、パソコンが感染した、といった場面を具体的に挙げ、報告先と変更の手順を書きます。 ### 4. 多要素認証と組み合わせる パスワードだけに頼らず、[多要素認証](https://www.ameliatechnology.co.jp/glossary/mfa/)を設定します。社外からつなげる入り口と、管理者のアカウントから始めるのが現実的です。広げ方は[多要素認証を社内に広げる進め方](https://www.ameliatechnology.co.jp/blog/mfa-rollout/)で説明しています。 ### 5. パスキーへの移行を考える 使っているサービスが対応していれば、[パスキー](https://www.ameliatechnology.co.jp/glossary/passkey/)を取り入れることも考えます。FIDO Allianceは、パスキーを、パソコンやスマートフォンのロックを解除するのと同じ指紋や顔、PINでサインインを承認する仕組みで、パスワードとは違ってフィッシングに強いと説明しています。 出典：[パスキー（FIDO Alliance）](https://fidoalliance.org/passkeys/?lang=ja) ## システムを作る・選ぶときに確かめること 自社でシステムを作る場合や、サービスを選ぶ場合は、パスワードを確かめる側の作りも確かめます。開発を頼む会社には、次のような点を要件として伝えておくとよいでしょう。 - 長いパスワード（スペースを含むものも）を受け付けるか - 文字の種類の混ぜ方を強制していないか、定期的な変更を強制していないか - よく使われるパスワードや、漏えいしたパスワードを登録させない仕組みがあるか - ログインの失敗が続いたときに、試行を遅らせる・止めるなどの対策があるか - 多要素認証やパスキー、会社のIDでまとめてログインする[SSO](https://www.ameliatechnology.co.jp/glossary/sso/)に対応しているか - パスワードを、元に戻せない形で保存しているか Webのシステムで気をつけたい点は、[Webシステムのセキュリティ対策の基本](https://www.ameliatechnology.co.jp/blog/web-security-basics/)でも説明しています。 ## 管理者のアカウントは、別に考える システムの管理者や、強い権限を持つアカウントは、ふつうの社員のアカウントとは別の決まりにします。総務省の案内は、システム管理者のアカウントや特権を持つアカウントは、多くの権限を持つため格好の標的になると説明しています。 出典：[アカウント管理（総務省国民のためのサイバーセキュリティサイト）](https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/business/admin/10/) 管理者のアカウントは、ふだんの作業用のアカウントと分け、多要素認証を設定し、誰が持っているかを定期的に確かめます。確かめ方は、[アクセス権の棚卸しと特権IDの管理](https://www.ameliatechnology.co.jp/blog/access-review-privileged-id/)で説明しています。 ## 当社のご支援 アメリア・テクノロジーの[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)では、パスワードやアカウントの決まりの見直し、社内の規程づくり、社員向けの説明をご支援しています。システムを作る場合は、[Webシステム開発](https://www.ameliatechnology.co.jp/service/web-system/)で、認証の作りを要件の段階から一緒に決めます。まずは無料の[セキュリティの自己診断](https://www.ameliatechnology.co.jp/diagnosis/security/)で、自社の状況をおおまかに確かめることもできます。 - パスワード - 多要素認証 - パスキー - 認証 ## この記事に出てくる用語 - [多要素認証（MFA）](https://www.ameliatechnology.co.jp/glossary/mfa/) - [パスワードリスト攻撃](https://www.ameliatechnology.co.jp/glossary/credential-stuffing/) - [パスキー](https://www.ameliatechnology.co.jp/glossary/passkey/) - [ブラウザ](https://www.ameliatechnology.co.jp/glossary/browser/) - [フィッシング](https://www.ameliatechnology.co.jp/glossary/phishing/) - [シングルサインオン（SSO）](https://www.ameliatechnology.co.jp/glossary/sso/) - [情報セキュリティ](https://www.ameliatechnology.co.jp/glossary/information-security/) - [アクセス権の棚卸し](https://www.ameliatechnology.co.jp/glossary/access-review/) この記事を書いた人 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。 このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。 ## あわせて読みたい - [ゼロトラストの考え方と、中小企業の始め方](https://www.ameliatechnology.co.jp/blog/zero-trust-for-smb/) - [Webアクセシビリティの対応。合理的配慮の義務化と進め方](https://www.ameliatechnology.co.jp/blog/web-accessibility-obligation/) - [発注者が知っておきたいテストの種類と確かめ方](https://www.ameliatechnology.co.jp/blog/testing-for-buyers/) [Webとシステム開発のコラムを見る](https://www.ameliatechnology.co.jp/blog/category/web/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/) ## 次の一歩 ### 業務で使うWebシステムをつくる 社内で使う業務システムやWebサービスを、要件定義から設計・開発・テスト、公開した後の運用まで受け持ちます。 [Webシステム開発を見る](https://www.ameliatechnology.co.jp/service/web-system/) ### まずは30分、オンラインで話してみる 何に使うかが決まっていない段階でも構いません。30分のオンライン相談は無料です。 [無料で相談する](https://www.ameliatechnology.co.jp/contact/) ## ご関心に合わせて、お選びください。 [情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) --- 出典：アメリア・テクノロジー株式会社「パスワードの決まりを見直す。定期変更より大切なこと｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/password-policy-update/