パスワードポリシーを決めようとすると、「何か月ごとに変えるか」「記号を必須にするか」から議論が始まりがちです。しかし、要件を厳しくするほど安全になるという考え方は見直されています。
この記事では、有効期限・複雑性要件・長さの決め方と、ポリシーだけでは対応しきれない領域を解説します。
定期変更を一律に義務づける運用の副作用
「90日ごとに変更」のようなパスワードの有効期限を一律にかけると、現場では次のことが起きやすくなります。
- 末尾の数字を1つ増やすだけの変更 — 規則性が読まれやすく、強度は上がらない
- 覚えきれないための使い回し — 社内と外部サービスで同じパスワードになる
- 付箋やメモへの記録 — 覚えられない要件は、物理的な記録を招く
- 問い合わせの増加 — 変更直後のロックアウトやリセット依頼が定期的に出る
こうした副作用から、定期変更を一律に求めない考え方が公的な指針になっています。
| 発信元 | 示している考え方 |
|---|---|
| 米国NIST（SP800-63B、2017年） | サービス提供側は定期的な変更を要求すべきではない |
| 総務省「国民のためのサイバーセキュリティサイト」 | 流出した事実がなければ変更は不要。パターン化や使い回しのほうが問題 |
| 内閣サイバーセキュリティセンター（NISC） | 定期変更は不要。流出時に速やかに変更する |
ではいつパスワードを変更すべきか
定期変更をやめても、変えなくてよいわけではありません。変える理由が生じたときに、確実に変える運用に切り替えます。
- 漏洩の兆候があったとき — 見覚えのないログイン通知や、他社からの流出の連絡（パスワード漏洩時の影響と初動対応）
- 共有アカウントの利用者が変わったとき — 退職・異動のタイミング（共有をやめる観点は共有アカウントの廃止）
- 初期パスワードから初めて使うとき — 発行時のものを使い続けない
複雑性要件の限界と長さという考え方
機械的に破られる仕組み（総当たり攻撃・辞書攻撃）を踏まえると、文字種と長さのどちらが効くかが見えてきます。
大文字・小文字・数字・記号をすべて必須にすると、「先頭を大文字、末尾に記号と数字」のような思いつきやすい形に収束しがちです。覚えられない文字列は、結局どこかに記録されます。
長さを優先する
定期変更をやめる設定の手順
方針を決めたら、設定も変えます。規程だけ変えると、期限切れの画面は出続けます。
Active Directory（ドメイン参加PC）
グループポリシーで期限をなくす
- 1
「グループ ポリシーの管理」
通常は Default Domain Policy を編集
- 2
パスワードのポリシーを開く
コンピューターの構成 → ポリシー → Windows の設定 → セキュリティの設定 → アカウント ポリシー
- 3
「パスワードの有効期間」を 0
0 は期限なし
今の値はPowerShellの Get-ADDefaultDomainPasswordPolicy で確認できます。部署ごとの細かい設定のパスワード ポリシーがあれば、そちらも見直します（Active Directoryのパスワードポリシーを確認するコマンド）。
ドメインに参加していないPC
PCごとに、管理者のコマンドプロンプトで net accounts /maxpwage:unlimited を実行します。net accounts だけなら、今の設定を確認できます。
Microsoft 365（Entra ID）
管理センターの「設定」→「組織設定」→「セキュリティとプライバシー」→「パスワードの有効期限ポリシー」で無期限にします。新しく契約した組織では、すでに無期限のこともあります。
期限を残す場合も、期限が切れる前に通知する設定をしておけば、期限切れで業務が止まる事故は避けられます。
社内と取引先への説明の仕方
止まりやすいのは設定より説明です。「弱めるのか」と聞かれたら、次の3点で答えられます。
- 公的な指針が変わっている：総務省・NISC・NISTが、定期変更は不要で流出時に変更する考え方を示しています。
- 取引先の基準でも求められていない：SCS評価制度の★3の要求事項に、定期変更の項目はありません。求められるのは、推測されやすいパスワードの禁止、長さ、使い回しの禁止、漏えい時に速やかに変える手順です（4-1-5、4-1-6）。詳しくはSCS評価制度とはで整理しています。
- 手間が減る：期限直後や連休明けに集中する「忘れました」が減ります（PCのログインパスワードを忘れた社員への対応）。
チェックシートで「定期的に変更していますか」と聞かれたら、「いいえ」だけで終わらせず、代わりにしていること（長さの基準、使い回しの禁止、漏えい時の手順）を書き添えます（セキュリティチェックシートの答え方）。
ポリシーとして決めておくべき項目
項目は絞ったほうが、現場で守られやすくなります。
- 最低の長さ — 数字の根拠も明記する
- 使い回しの禁止 — 特に社内と外部サービスの間
- 初期パスワードの扱い — 発行・受け渡し・初回変更
- 漏洩が疑われる場合の変更手順 — 誰に連絡し、どこまで変えるか
- 管理者アカウントの扱い — 一般利用者より厳しく分けて定める（管理者権限の棚卸しと権限管理）
ポリシーだけでは止められない領域
ここが最も重要な点です。ポリシーは推測されにくいパスワードを作らせる仕組みで、パスワードそのものが攻撃者に渡るケースには効きません。
- 他社サービスからの流出 — 別のサービスと同じパスワードなら、社内でも正しい文字列として通る（パスワード漏洩の事例）
- フィッシング — 本人が偽サイトに入力すれば、文字数も複雑さも関係ない
どちらも正しいパスワードが入力されています。対応するには、パスワード以外の要素を加えるしかありません。多要素認証の基本やWindows OSログインの2要素認証を、ポリシーの見直しとあわせて検討してください。
ポリシーを運用に落とすときの注意
決めた内容は、システムで強制できる範囲と運用ルールで補う範囲に分けます。
設定で固定するもの・手順で補うもの
システム設定で固定
- 最低文字数
- 履歴の再利用禁止
手順として文書化・周知
- 初期パスワードの受け渡し方法
- 漏洩時の連絡経路
確認項目の絞り方は中小企業向けセキュリティチェックリストを参照してください。
プライバシーマークを取得している場合、規程に何を書き、どの記録を残すかという観点が加わります。 JIS Q 15001のパスワード管理で具体的に扱っています。
規則を厳しくすると、紙に書き留める行為が増えます。この副作用と対処は パスワードを付箋で管理している状態の危険で扱っています。使い回しの有無を確認する手段は 使い回しを確認する方法を参照してください。
有効期限を設ける場合、期限切れに気づけない状態が業務を止めます。通知の設定は パスワードの有効期限が切れる前に通知する設定を参照してください。
入れたあと日々の仕事で変わること
パスワードポリシーを見直すと、担当者の仕事は「期限切れのたびに呼ばれる」から「漏洩が疑われたときに確実に変える」に移ります。そのとき役に立つのが、誰がいつどのPCにログインしたかの記録です。全PCのログイン記録を1か所で見られるようにしておけば、「このアカウント、最近おかしな使われ方をしていないか」をその場で確かめられ、取引先のチェックシートで聞かれたときも、記録をCSVで出して代わりにしていることを説明できます。
いまの運用を棚卸ししてみる
自社のパスワードポリシーが現在の考え方に沿っているか、またポリシー以外の対策がどこまで整っているかは、あわせて確認したい点です。applippliの無料棚卸しでは、10問・約3分で、自社のパスワード・アカウント管理の対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。