小さな会社のパスワードのルール｜「定期的に変更」はもう不要？米国NISTの2025年版でわかったこと
「パスワードは8文字以上、大文字・数字・記号を入れて、90日ごとに変更」。こんなルールを、今も使っていませんか。
アメリカの国立標準技術研究所（NIST）が出している、パスワードについてのよく知られた指針があります。その最新版 SP 800-63B-4 が 2025年7月 に確定し、昔のルールとはかなり違う内容になっています。
この記事でわかること：
- 2025年版の指針が、パスワードに求めていること
- やめるように書かれている、昔のルール
- 小さな会社がそのまま使える、社内ルールの例
NISTの指針は、もともとアメリカの政府機関のシステム向けです。日本の会社に守る義務があるものではありませんが、パスワードの考え方の手本として広く参考にされています。
2025年版のおもなルール（SP 800-63B-4 の 3.1.1）
| こと | 指針の内容 |
|---|---|
| 最低の長さ | パスワードだけでログインする場合は 15文字以上。ほかの確認（多要素認証）と組み合わせるなら 8文字以上 |
| 最大の長さ | 64文字以上まで入れられるようにする |
| 使える文字 | 英数字・記号・スペースを受け付ける。Unicode（日本語など）も受け付けるのが望ましい |
| 文字の種類の強制 | 大文字・数字・記号を必ず混ぜさせる、というルールは課さない |
| 定期的な変更 | 決まった期間ごとの変更は求めない。ただし、漏れた形跡があればすぐ変更させる |
| よくあるパスワードの拒否 | よく使われる・予想しやすい・漏れたことがあるパスワードの一覧と照らし、当てはまれば断る |
| パスワード管理ツール | パスワード管理ツールや自動入力を使えるようにする。貼り付けもできるようにするのが望ましい |
| ヒント・秘密の質問 | パスワードのヒントや、「ペットの名前は？」のような秘密の質問は使わない |
| 失敗の回数 | ログインの失敗が続いたら、回数を制限する |
| 表示ボタン | 入力中のパスワードを表示できるようにする |
指針の原文では、文字の種類のルールも定期的な変更も、"SHALL NOT"（してはならない）と書かれています。
昔のルールがやめられた理由
- 記号や大文字を強制すると、
Summer2026!のような、ルールは満たすけれど推測しやすいパスワードが増えます。 - 90日ごとに変えさせると、
Summer2026!→Autumn2026!のような小さな書きかえや、紙へのメモが増えます。 - 長さのほうが強さに効きます。いくつかの単語をつなげた長いパスワード（パスフレーズ）は、短くて複雑な文字列より覚えやすくもあります。
指針は、力を入れるところを「長いパスワード」「危ないパスワードを断る」「パスワード管理ツール」「多要素認証」に移しています。
社内ルールの例（そのまま使えます）
自社のサービスに合わせて直してください。クラウドのサービスでは細かく設定できないことも多いので、そのときは一番近い設定を選びます。
- 多要素認証（2段階認証）をオンにする。メール、クラウドのファイル置き場、会計、ネットバンキングから先に
- 長さ：15文字以上。多要素認証をオンにしているサービスは8文字以上でもよい。単語をつなげたパスフレーズも歓迎
- 記号の強制と、定期的な変更はしない。ただし、漏れたかもしれないとき（漏えいの知らせ、偽メールに入力した、端末をなくした、知っている人が辞めた）はすぐ変える
- 使い回さない：サービスごとに別のパスワード
- 会社でパスワード管理ツールを使う。自動入力と貼り付けを許す
- よくあるパスワードは使わない：会社名・年・「password」の変形などは避ける
- ログインの共有をしない：一人ひとりのアカウントを作れるなら作る。辞めた人のアクセスはその日のうちに止める
- 秘密の質問に本当の答えを入れない。必ず設定するサービスなら、ランダムな答えを作ってパスワード管理ツールに保存する
かんたんチェック
- メールとクラウドのファイル置き場で、多要素認証がオンになっている
- すべてのアカウントで、パスワードが別々
- 会社でパスワード管理ツールを使っている
- 期間を決めたパスワード変更を、誰にも強制していない
- 「パスワードが漏れたかも」のときの手順が、紙1枚でも書いてある
- 人が辞めた日に、その人のアクセスを止めている
パスワードの使い回しを点検するツール
ブラウザやパスワード管理アプリから書き出したパスワードの一覧（CSV）を入れると、使い回し・弱いもの（短い、よく使われる など）・末尾だけ変えた似たパスワードを一覧にする点検ツールを作りました。ブラウザだけで動き、パスワードは外部に送信されません。調べ終わったら、書き出したCSVはすぐに削除してください。
この記事の下の「あわせて使える無料ツール」から開けます。
まとめ
- NIST SP 800-63B-4（2025年7月）：パスワードだけなら 15文字以上、多要素認証と組み合わせるなら 8文字以上
- 記号の強制と、期間を決めた変更はやめる
- よくあるパスワードの拒否、パスワード管理ツール、多要素認証、漏れたときの変更を足す
- アメリカの政府向けの指針だが、小さな会社のルールづくりの手本として使える
出典：
- NIST SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management（3.1.1 Passwords）
- NIST CSRC 公開情報（SP 800-63B-4 Final）
※この記事は、AIが下書きを作り、NISTの原文で確認して公開しています（2026年10月21日）。一般的な情報で、法律やコンプライアンスの助言ではありません。
新しい無料ツールや記事を、LINEでお知らせします
「ツール」「お金」「スマホ」と送ると、合うツールの案内が自動で届きます。