根強く残る「パスワードの定期変更」と「記号・英数混在の強制」の信仰！ 事故を防ぐ現在のパスワード運用ルールとは？

1. 未だに根強い「パスワード定期変更」「複雑性強要」の呪縛 

「パスワードは3か月ごとに必ず変更させる」「大文字・小文字・数字・記号をすべて混ぜて8文字以上にする」――貴社の社内規則には、まだこのような条文が残っていませんか？ 

かつて推奨されていたこれらのルールですが、現在では米国NIST（国立標準技術研究所）の標準ガイドラインの変更を契機に、IPA（情報処理推進機構）においても明確に見直しされています。 

2. 古いルールが引き起こす「パスワード作成の法則化」とセキュリティ低下 

なぜ定期変更や過度な記号強要が「NG」とされたのでしょうか。そこには人間の心理に起因する明確な理由があります。 

・パターン化と推測の容易化： 定期的な変更を強要されると、社員は新しいパスワードを覚えるのが面倒になり、「Password1!」→「Password2!」→「Password3!」のように末尾の数字や記号を1文字変えるだけの運用に走ります。これは攻撃者にとって極めて推測しやすいパターンです。 

・付箋メモや外部保存の横行： 複雑でコロコロ変わるパスワードを記憶しきれず、PCモニターの横やキーボードの下にメモを貼ったり、私用のメモアプリに平文で保存したりする社員が急増します。 

・使い回しの誘発： 複数の社内システムやWebサービスで同じパスワードを使い回すようになり、1箇所で漏洩が起きると全システムへ不正アクセスされる危険性が跳ね上がります。 

安全性を高めるために作ったはずのルールが、結果として社内のセキュリティレベルを著しく低下させているのが現実です。 

３．そもそもパスワードは強い認証ではない

NISTの文章内で、パスワードに関連する攻撃の多くは、パスワードそのものが盗まれてしまう（悪意のあるサイトにユーザーが入力してしまう、悪意のある人にユーザーが教えてしまう等）ので、そういった類の攻撃を考えてしまうとパスワード自体をいくら強くしても関係ないという記載もあります。

元も子もない話でもありますが、事実です。

４．それでも最もメジャーな認証の仕組み

パスワードは強い認証ではないと声高に叫んだところで、世の中ではその利便性などから最も広く使われている認証の仕組みです。

もっと強い認証の仕組みが広く普及することは望むべきところですが、現実問題としてパスワードをどう守るかということはセキュリティ上考えなくてはなりません。

５. IPA基準に沿ったパスワードポリシー 

IPAのガイドライン上の基準はNISTより少し緩めですが、まずはIPAの基準に沿ったパスワードポリシーに変えていくべきでしょう。 

・原則として「定期変更は不要」： 流出の兆候がない限り、定期的・機械的なパスワード変更は求めません。変更に伴う社員の負担と推測リスクを排除します。 

・「文字数（長さ）」の重視： 短く複雑なパスワードよりも、「長くて推測されにくいパスワード（一般アカウントは8文字以上、管理者権限アカウントは12文字以上推奨）」を設定させます。 

・使い回し・使い回し共有の禁止： 他サービスとの使い回しや、IDと同一のパスワード設定、第三者とのアカウント共有を厳重に禁止します。 

・多要素認証（MFA）の原則利用： 業務で利用するシステム・サービスや社外からのリモートアクセス時には、パスワードだけでなく「多要素認証（MFA / 二段階認証）」の導入を原則利用します。 

時代遅れのパスワードルールで社員に不必要な負担を強いるのは今日で終わりにしましょう。とはいえ、社内の情報セキュリティルールを修正するのには内製にしても外注にしても多大なコストがかかります。

現在ココナラにて24時間以内即納の『社内情報セキュリティ規則作成代行サービス』を提供しております。

2026年12月31日までは50％OFFの10,000円の特価です。

関連記事：「生成AI・クラウドはすべて事前承認」…その規則、現場で無視（＆管理者も放置）されていませんか？

「生成AI・クラウドはすべて事前承認」…その規則、現場で無視（＆管理者も放置）されていませんか？

関連記事：うちのセキュリティ規程、飾りになっていませんか？ 現場の「形骸化度」を測る3つのチェックリストと実効的ルールの整え方

うちのセキュリティ規程、飾りになっていませんか？ 現場の「形骸化度」を測る3つのチェックリストと実効的ルールの整え方