パスワードポリシーとは

この記事は約 2 分で読めます

パスワードポリシー (Password Policy) とは、組織やサービスにおけるパスワードの作成・管理に関するルールや基準のことです。最小文字数、文字種の要件、有効期限、履歴管理などが含まれます。 NIST (米国国立標準技術研究所) の最新ガイドライン SP 800-63B では、定期的な変更の強制よりもパスワードの長さとランダム性を重視する方向に転換しています。

現場での使用例

「 NIST SP 800-63B に準拠してパスワードポリシーを改定し、定期変更を廃止して最低 15 文字のランダム生成を推奨に切り替えました。ヘルプデスクへのパスワードリセット依頼が月 200 件から 80 件に減少しています。」

現代のパスワードポリシーと NIST ガイドライン

NIST SP 800-63B (2024 年改訂版) では、最低 8 文字以上 (推奨は 15 文字以上) のパスワードを求め、定期的な変更の強制は推奨しないとしています。 2025 年現在、多くの企業がこのガイドラインに準拠したポリシー改定を進めています。従来の「 90 日ごとに変更」というルールは、ユーザーが末尾の数字を変えるだけの弱いパスワードを生む原因となっていました。現在は、漏洩が確認された場合にのみ変更を求める方針が主流です。また、漏洩パスワードのブラックリスト照合も推奨されており、「 password123 」のような既知の危険なパスワードを事前にブロックできます。パスワードポリシーの書籍 (Amazon)で最新の基準を学べます。

企業での導入シナリオ

ある中堅企業では、従来の「 8 文字以上、大文字小文字数字記号必須、 90 日変更」というポリシーから、「 15 文字以上、ランダム生成推奨、漏洩時のみ変更」に移行した結果、ヘルプデスクへのパスワードリセット依頼が 60% 減少しました。ポリシー策定時には、パスワードマネージャーの全社導入とセットで検討することが重要です。企業のパスワードポリシー設計では、業種別の具体的な設定例を解説しています。

効果的なパスワード運用

ランダムに生成したパスワードは、現代のパスワードポリシーの要件を十分に満たします。クレデンシャルスタッフィング対策として、サービスごとに異なるパスワードを使い分けることが不可欠です。パスワードマネージャーと組み合わせれば、長くランダムなパスワードの管理も負担になりません。よくある誤解として「複雑なパスワード = 安全」がありますが、「 P@ssw0rd!」のような予測可能な置換は辞書攻撃で容易に突破されます。真に重要なのは十分な長さとランダム性です。情報セキュリティ管理の入門書 (Amazon)も参考になります。