パスワードは何文字以上にすべきか(NIST・総務省・IPA の基準の違い)

パスワードの最小文字数は、指針によって 8 文字から 15 文字まで分かれます。値を比べるときは、二段階認証と組み合わせるかどうかと、文字の種類を混ぜる決まりがあるかどうかを合わせて見ます。ここでの二段階認証は、パスワードに加えて 2 つ目の確認を求める方式です。NIST の言う多要素認証にあたり、メールで届くコードは含みません。

指針ごとの文字数と文字の種類の決まり

NIST と厚労省は、二段階認証を使うかどうかで下限を分けています。方式の違いは二段階認証(二要素認証)とはにまとめています。

NIST SP 800-63B の決まり

NIST SP 800-63B は、米国国立標準技術研究所(NIST)が定める、ログインの本人確認のガイドラインです。現行版は 2025 年に出た Revision 4 で、パスワードの決まりは 3.1.1.2 節にあります。この節が求める相手は、パスワードを受け取って確かめる側と、ID を発行して管理する側です(原文では Verifiers and CSPs)。

長さの決まりは 2 段に分かれます。パスワードだけでログインさせるなら、15 文字以上を求めなければなりません(SHALL)。二段階認証の一部として使うなら短くしてもよい(MAY)ものの、8 文字以上は求めなければなりません(SHALL)。上限は、64 文字以上まで受け付けることを勧めています(SHOULD)。

文字の種類を混ぜさせる組み合わせの規則は、課してはならない(SHALL NOT)としています。同じ節が求めることには、ほかに次の 2 つもあります。1 つは、漏えい済みのパスワードやよく使われるパスワードの一覧(ブロックリスト)と照らし合わせることです(SHALL)。もう 1 つは、パスワード管理ツール(パスワードマネージャー)と自動入力の利用を認めることです(SHALL)。

前の版(2017 年)では、下限は一律に 8 文字(SHALL)で、組み合わせの規則は課すべきではない(SHOULD NOT)という推奨でした。Revision 4 は、パスワードだけの場合の下限を 15 文字に上げ、組み合わせの規則を禁止に強めました。

日本の公的機関の資料

総務省の「国民のためのサイバーセキュリティサイト」は、一般利用者向けのページで理想の長さを示しています。最低でも 10 文字以上のランダムな英数字の並びで、数字や記号、大文字・小文字が混ざっているのが好ましいとしています。覚えておく必要があるなら、関係のない単語をいくつかつなげ、間に数字を挟む作り方も示しています。

IPA の「中小企業の情報セキュリティ対策ガイドライン」第 4.0 版は、第 2 部でパスワードの対策例を挙げています。10 文字以上にすること、大文字・小文字・数字・記号を含めること、名前や電話番号、誕生日、簡単な英単語を使わないことです。

国家サイバー統括室の「インターネットの安全・安心ハンドブック」Ver 5.10 は、第 5 章でパスワードを扱います。ログイン用のパスワードには、英大文字・小文字・数字・記号を使った複雑さと、一定以上の長さが勧められるとしています。企業・従業員向けの講習テキストは、できるだけ長くし、使い回さないよう求めています。

厚労省の「医療情報システムの安全管理に関するガイドライン」第 7.0 版は、システム運用編 14.1.1 で桁数を示しています。二要素認証を使う場合は 8 桁以上で、英字と数字を混ぜます(大文字・小文字は問いません)。使わない場合は 13 桁以上です。医療機関での当てはめ方は厚労省ガイドライン(第 7.0 版)が求める認証・アクセス管理を自施設に当てはめるにまとめています。

記号を混ぜる決まりは今も要るか

IPA とハンドブックは記号を含めることを勧め、総務省は理想として挙げています。厚労省は英字と数字を混ぜるところまでです。一方、NIST が組み合わせの規則を禁じる理由は、同じ文書の付録 A「パスワードの強さ」に書かれています。

付録 A は、長さをパスワードの強さを決める主な要素の一つとしています。文字の種類を混ぜる規則については、利用者の作るパスワードが予想しやすい形にそろうと説明しています。例は、「password」を選ぶ人が、大文字と数字を求められると「Password1」を選びやすいというものです。記号も求められれば「Password1!」になります。また、複雑なパスワードほど覚えにくく、書き留めたり安全でない形で保管したりされやすいとも書いています。

記号を必須にする規則をやめるなら、NIST が同じ節で求める長さと、漏えい済みの一覧との照合を合わせて取り入れます。規程にどう書くかはパスワード管理規程のテンプレートと書き方で扱っています。

文字数を決める前に分けて考えること

社内システムの設定か、従業員のルールか

社内システムのログインの設定を決めるとき、会社はパスワードを受け取って確かめる側にいます。そのため、NIST の 3.1.1.2 節の決まりは、その設定にそのまま当てはめられると読めます。外部のサービスでは、最小文字数や文字の種類はそのサービスが決めます。会社が決められるのは、従業員がそこで作るパスワードについての社内ルールです。

二段階認証を使えるか

NIST と厚労省の下限は二段階認証の有無で変わるため、先に二段階認証を使えるかを確かめます。共有アカウントでは、二段階目のコードが 1 人のスマホにしか出ず、ほかの担当者が使えないことがあります。そのため二段階認証を切って運用しているなら、パスワードだけのログインになり、NIST の基準では 15 文字以上です。

人が覚えて入力するか

総務省は、サービスごとに違う安全なパスワードを覚えるのは大変だとして、パスワード管理ツールの利用を勧めています。共有アカウントでは、使う全員が同じ長い文字列を知り、それぞれが入力します。しかも、長さが守るのは推測に対してであり、すでにパスワードを知っている人に対してではありません。担当者が辞めたあとの扱いはパスワードの定期変更はもう不要か(NIST SP 800-63B の考え方)にまとめています。

決め方の一例

社内システムの設定なら、NIST に合わせます。15 文字以上、二段階認証を使うなら 8 文字以上とし、漏えい済みの一覧との照合を加えます。従業員のルールなら、NIST と IPA のどちらかに合わせ、両方を重ねて課さないようにします。NIST は文字の種類の規則を禁じ、IPA は勧めているので、両方には同時に合わせられないからです。