パスワードの定期変更はもう求められていません｜10文字以上と、使い回しをやめること

本記事には広告・アフィリエイトリンクが含まれています。

結論：定期的に変えるより、使い回さないことです

総務省の見出しがそのまま結論になっています。

パスワードを複数のサービスで使い回さない（定期的な変更は不要）

そして理由まで書かれています。

むしろ定期的な変更をすることで、パスワードの作り方がパターン化し簡単なものになることや、使い回しをするようになることの方が問題となります。定期的に変更するよりも、機器やサービスの間で使い回しのない、固有のパスワードを設定することが求められます。

「3か月ごとに変える」という運用を続けている職場は、もう国の説明と違うことをしています。

1. 変更が必要なのは「流出したとき」です

実際にパスワードを破られアカウントが乗っ取られる等のサービス側から流出した事実がない場合は、パスワードを変更する必要はありません。

総務省は根拠として、2017年に米国国立標準技術研究所（NIST）から、サービスを提供する側がパスワードの定期的な変更を要求すべきではない旨が示されたこと、日本でも内閣サイバーセキュリティセンター（NISC）から、パスワードを定期変更する必要はなく、流出時に速やかに変更する旨が示されていることを挙げています。

2. 安全なパスワードの作り方

理想的には、最低でも10文字以上の文字数で構成されるある程度長いランダムな英数字の並びとし、パスワード内に数字や記号、アルファベット（大文字、小文字）が混ざっていることが好ましい

覚える必要があるパスワードについては、別の作り方が示されています。

覚えなければならないパスワードの場合は、無関係な（文章にならない）複数の英単語をつなげたり、その間に数字列を挟んだりしたものであれば、推測されにくく、覚えやすいパスワードを作ることができます。

記号だらけの短い文字列より、無関係な単語を並べた長いもののほうが現実的だ、ということです。

3. 危険なパスワードの一覧

分類例
IDと同じ文字列－
自分や家族の名前、電話番号、生年月日yamada、tanaka、taro、hanako／09011112222／19960628、h020315
住所・車のナンバーtokyo、kasumigaseki／3470、1297
辞書に載っているような一般的な英単語ひとつだけpassword、baseball、soccer、monkey、dragon
同じ文字の繰り返しやわかりやすい並びaaaa、0000／abcd、123456、abc123／asdf、qwerty
短すぎる文字列gf、ps

このほか、郵便番号、社員コード、他人に一度でも教えたことがあるパスワードなど、他人から類推しやすい情報やユーザIDと同じものは避ける、とされています。

4. 保管について4つの禁止事項

  1. パスワードは、同僚等の第三者に教えずに、秘密にすること
  2. パスワードを電子メールでやりとりしないこと
  3. パスワードのメモをディスプレイなど他人の目に触れる場所に貼ったりしないこと
  4. やむを得ずメモなどで記載した場合は、鍵のかかる机や金庫など安全な方法で保管すること

メールで送らないは、店舗で外部の業者とやり取りするときに破られがちです。

5. 管理ツールは推奨されています

各サービスで異なる充分に安全なパスワードを覚えておくのは大変なので、パスワードを覚える必要のない、パスワード管理ツールを使うことも推奨されます。スマートフォンやWebブラウザ標準機能、あるいは専用のアプリケーションのパスワード保存機能を活用しましょう。

ただし条件があります。

これらのツールやサービスは、マスターパスワード（覚えられる充分に安全なもの）や、利用デバイス（スマートフォンなど）のロック（生体認証など）で守る必要があります。

総務省は、近年はスマートフォンやWebブラウザの標準機能としてパスワード生成機能があるものもあるとして、その活用も挙げています。

6. 多要素認証の3つの要素

総務省のコラムです。多要素認証の要素は次の3つに分かれます。

  1. 知っているもの（知識要素）：パスワードなど
  2. 持っているもの（所持要素）：スマホなど
  3. 本人自身に関するもの（生体要素）：指紋、静脈、顔、虹彩など

これらのうち2つ以上の要素を組み合わせて認証します。「パスワード＋秘密の質問」は知識要素が2つなので、厳密には多要素とは言えない、という整理になります。

7. サロン・小規模事業者が先に手を付ける順番

  1. 予約システム、SNS、ネットバンキングのパスワードが使い回しになっていないか確認する
  2. 使い回していたものから固有のパスワードに変える
  3. 管理ツール（ブラウザ標準でも可）に入れ、端末のロックを生体認証にする
  4. 多要素認証が使えるサービスは有効にする
  5. スタッフと共有しているアカウントがあれば、共有をやめるか、共有専用のものに分ける

お客様の情報を扱う責任の話はサロンのSNSと顧客情報で整理しています。

8. パスワードが盗まれる経路

パスワードそのものが弱くなくても、フィッシングで入力してしまえば同じです。またマルウェアに感染すれば入力内容が取られることもあります。

作り方・保管・入力先の3つがそろって初めて守られます。パスワードの強度だけを気にしても足りません。

サイト運営でサーバーを選ぶ場合

以下は広告です。当サイトでは、これらのサービスのセキュリティ機能を検証したわけではありません。仕様・料金・キャンペーンは変更されることがあるため、必ず公式サイトで最新の内容をご確認ください。優劣を示すものではなく、選択肢として並べています。

WordPress以外の用途にも使う場合：ConoHa WING

WordPress専用として使う場合：XServer for WordPress

FAQ

パスワードは定期的に変えるべきですか。

総務省は「定期的な変更は不要」としています。流出した事実がない場合は変更する必要はありません。

何文字にすればよいですか。

最低でも10文字以上で、数字・記号・大文字小文字が混ざっていることが好ましいとされています。

覚えられません。

無関係な複数の英単語をつなげ、間に数字列を挟む作り方が示されています。パスワード管理ツールの利用も推奨されています。

ブラウザに保存しても大丈夫ですか。

総務省はWebブラウザ標準機能の活用も挙げていますが、マスターパスワードや端末のロック（生体認証など）で守る必要があるとしています。

二段階認証とは違いますか。

多要素認証は知識要素・所持要素・生体要素のうち2つ以上を組み合わせるものと説明されています。

参照した一次情報

  • 総務省「国民のためのサイバーセキュリティサイト｜推測できる簡単なパスワードを利用しないようにしよう」 soumu.go.jp
    2026年9月16日確認。安全なパスワードの条件（10文字以上、文字種の混在、単語をつなげる方法）、危険なパスワードの具体例、保管に関する4つの留意点、パスワード管理ツールとマスターパスワードに関する記述、使い回しをしないこと・定期的な変更は不要であることとその理由、NISTおよびNISCへの言及、多要素認証の3要素に関する引用はこのページに基づきます。

関連記事

この記事は当サイト運営者が執筆しました。情報セキュリティの専門家による記事ではありません。上記の確認日以降に総務省の記載が変わっている可能性があります。

コメント

タイトルとURLをコピーしました