パスワードポリシーとは

この記事は約 2 分で読めます

パスワードポリシー (Password Policy) とは、組織やサービスにおけるパスワードの作成・管理に関するルールや基準のことです。最小文字数、文字種の要件、有効期限、履歴管理などが含まれます。 NIST (米国国立標準技術研究所) の最新ガイドライン SP 800-63B では、定期的な変更の強制よりもパスワードの長さとランダム性を重視する方向に転換しています。

ルールの厳しさが安全に直結しない理由

パスワードポリシーの難しさは、ルールが直接生み出すのがパスワードそのものではなく、ルールに従う利用者の行動だという点にあります。要件を課されると、人は覚えられる範囲で最も楽な形でそれを満たそうとするため、先頭だけ大文字にする、末尾に記号を足す、変更のたびに数字を 1 つ進めるといった、多くの利用者に共通する予測しやすいパターンが生まれます。攻撃者はまさにこうした傾向を前提に攻撃を組み立てるため、書類上は厳格なポリシーでも、その下で実際に作られるパスワードが弱ければ守りにはなりません。ポリシーを評価する基準は要件の厳しさではなく、そのルールの下で利用者が実際にどんなパスワードを作り、無理なく守り続けられるかに置く必要があります。近年のガイドラインが記憶に頼る要件を減らす方向に進んでいるのは、この構造を踏まえたものです。

現代のパスワードポリシーと NIST ガイドライン

NIST SP 800-63B (2024 年改訂版) では、最低 8 文字以上 (推奨は 15 文字以上) のパスワードを求め、定期的な変更の強制は推奨しないとしています。 2025 年時点で、多くの企業がこのガイドラインに準拠したポリシー改定を進めています。従来の「 90 日ごとに変更」というルールは、ユーザーが末尾の数字を変えるだけの弱いパスワードを生む原因となっていました。定期変更の強制に代えて、漏洩が確認された場合に変更を求める設計がとられます。また、漏洩パスワードのブラックリスト照合も推奨されており、「 password123 」のような既知の危険なパスワードを事前にブロックできます。

企業でポリシーを見直すときの順序

組織で見直す場合は、要件を書き換える前に生成と保管の手段を配ることが順序として重要です。ポリシーが実際に働くのは文書の上ではなく、利用者が日々パスワードを作って入力する場面だからです。長さを求める要件は、記憶に頼る限り負担として跳ね返り、控えを紙に書き写す、似た文字列を使い回すといった回避策を生みます。生成と保管を道具に任せられる状態を先に整えておけば、要件を強めても覚える量は増えず、リセット窓口への問い合わせも積み上がりません。ポリシー策定時には、パスワードマネージャー の全社導入とセットで検討することが重要です。企業のパスワードポリシー設計 では、業種別の具体的な設定例を解説しています。

効果的なパスワード運用

ランダムに生成したパスワードは、現代のパスワードポリシーの要件を十分に満たします。クレデンシャルスタッフィング対策として、サービスごとに異なるパスワードを使い分けることが不可欠です。パスワードマネージャーと組み合わせれば、長くランダムなパスワードの管理も負担になりません。よくある誤解として「複雑なパスワード = 安全」がありますが、「 P@ssw0rd!」のような予測可能な置換は辞書攻撃で容易に突破されます。真に重要なのは十分な長さとランダム性です。