パスワードの定期変更はもう不要か(NIST SP 800-63B の考え方)

パスワードの定期変更を続けるかどうかは、そのパスワードを誰が知っているかで答えが分かれます。NIST SP 800-63B と日本の公的機関の資料が定期変更を不要としているのは、本人だけが使うパスワードについてです。複数人で使う共有アカウントには、その前提がありません。

NIST SP 800-63B は何を求めているか

NIST SP 800-63B は、米国国立標準技術研究所(NIST)が定める、ログインの本人確認についてのガイドラインです。現行版は Revision 4(2025 年)です。定期変更の扱いは 3.1.1.2 節にあります。この節が求める相手は、パスワードを受け取って確かめる側と、ID を発行して管理する側(原文では Verifiers and CSPs)です。

この節が求める相手はサービスを提供する側です。この点は、規程に引くときに確かめておく必要があります。この節は、サービスを提供する側に、利用者へ定期変更を強いる設計をやめるよう求めるものです。社内規程で従業員に定期変更を課している会社がこの節を根拠に規程を改めるのは、同じ考え方を自社に当てはめる判断です。NIST が社内規程を直接扱っているわけではありません。

もう 1 つ、同じ文書の冒頭(1 節)には、利用者の責任が書かれています。利用者は自分のログインの秘密を守り、他人に教えない(credential sharing をしない)責任を負う、という内容です。定期変更を不要とする定めは、この前提の上に置かれていると読めます。

日本の公的機関はどう言っているか

総務省の「国民のためのサイバーセキュリティサイト」にある「安全なパスワードの設定・管理」は、まず経緯を書いています。これまでは定期変更が推奨されていたが、2017 年に NIST から、サービスを提供する側が定期変更を求めるべきではない旨が示された、という経緯です。そのうえで、パスワードを破られてアカウントが乗っ取られるなど、サービス側から流出した事実がない場合は変更する必要はない、としています。代わりに求めているのは 3 つです。機器やサービスの間で使い回しのないパスワードを設定すること、流出時にすぐ変更すること、パスワードを同僚などの第三者に教えずに秘密にすることです。

IPA の資料は 2 つ確認しました。「不正ログイン対策特集ページ」は、できるだけ長く、複雑で、使い回さないパスワードと、2 つ以上の方法でログインを確かめること(多要素認証)を勧めています。定期変更についての記述はありません。「情報セキュリティ 10 大脅威 2025」の解説資料「セキュリティ対策の基本と共通対策」(2025 年 2 月、二版 3 月)は、保管・運用の項目に「パスワードの定期的な見直しをする」を挙げています。ただし、変更を指示している場面は不正ログインされたときに限られ、見直しの内容は書かれていません。不正ログインされた場合はすぐに変更し、使い回していれば他のサービスも合わせて変更するとしています。

3 つの資料が、定期変更をどう扱い、どんなときに変更を求めているかを並べます。

なぜ定期変更をやめられるのか

定期変更が守っていたのは、パスワードが本人以外に知られたことに気づかないまま使われ続ける期間です。90 日ごとに変えれば、気づかない漏えいがあっても最長 90 日で無効になります。この効果が意味を持つのは、漏えいに気づく手段がほかにないときに限られます。

3 つの資料が共通して置き換え先にしているのは、漏えいの証拠で変える運用です。サービスからの漏えい通知、ログイン通知、漏えいチェックのサイト、ログイン記録の確認で気づける場合があります。それなら、気づいた時点で変えるほうが、定期の期限を待つより早く無効にできます。その間の防御は、使い回さない長いパスワードと二段階認証が受け持ちます。総務省の資料が、定期的に変更するよりも使い回しのないパスワードを求めているのはこの理由です。

共有アカウントでは前提が当てはまらない

定期変更を不要とする根拠は、「パスワードを知っているのは本人だけ」と「本人以外に知られたら証拠が残る」の 2 つでした。共有アカウントでは、どちらも成り立ちません。

第 1 に、知っている人が最初から複数います。NIST の基準は、利用者が秘密を他人に教えないことを前提にしていますが、共有アカウントは教えることを前提にした運用です。第 2 に、知っている人が入れ替わります。担当者が退職・異動しても、その人の記憶からパスワードは消えません。元担当者がログインできる状態は、個人アカウントで言えばパスワードが第三者に知られた状態に当たると読めますが、漏えいの証拠としては残りません。通知が届いても、それが現担当者の操作か元担当者の操作かを区別できず、サービスの記録にもアカウントの名前しか残らないからです。

したがって共有アカウントでは、定期変更をやめる代わりに「証拠があったら変える」に切り替えることができません。変更が要るのは、知っている人の範囲が変わったとき、つまり退職・異動・委託の終了のたびです。IPA の「中小企業の情報セキュリティ対策ガイドライン」第 4.0 版(2026 年 3 月)も、従業員の異動や退職にともなう権限の変更・削除漏れを防ぐルールを定めるよう求めています。共有 ID はなるべく使わず、やむを得ず使う場合は、使った人を特定できる仕組みを整えるともしています。

変えたパスワードを残る全員に配り直す以上、知っている人の範囲は縮まらず、次の退職でまた同じ作業が要ります。定期変更をやめても、この作業は残ります。

定期変更をやめる条件

条件を個人アカウントと共有アカウントに分けて並べます。

表の右列に「成り立たない」が並ぶ限り、共有アカウントの定期変更をやめる根拠はありません。右列の条件を満たす方法の選択肢は共有アカウントの管理にまとめています。二段階目を複数人で使うときの問題は二段階認証(二要素認証)とはで扱います。