パスワード管理の旧常識と新常識

2026年9月3日

パスワード管理、社員に強制せず安全を保つ方法

セキュリティー

「3か月ごとに変更してください」「大文字・小文字・記号を混ぜてください」――こうした強制ルールが、実はパスワードを弱くしているとしたら？　米国の公的ガイドラインも日本の総務省も、いまや「定期変更の強制はしない」方向に舵を切っています。この記事では、社員に負担を強いる代わりに「仕組み」で安全を保つ、最新のパスワード管理を中小企業向けに解説します。

「強制するほど危なくなる」というパラドックス

パスワードのルールを厳しくすると、社員はルールに従うためにこう行動します。定期変更を強制されれば、「Sakura2025→Sakura2026」のように末尾だけ変える。複雑な文字を強制されれば、覚えられないので付箋に書いてモニターに貼る。サービスごとに違うパスワードを求められれば、結局ぜんぶ同じにする。厳しくしたはずのルールが、推測しやすく・盗み見られやすく・使い回されるパスワードを量産してしまうのです。

攻撃者は、実はパスワードを「当てて」いません。今日の主流は、どこかのサービスから漏えいしたIDとパスワードの組を、他のサービスで機械的に試す「リスト型攻撃」です。つまり最大のリスクは「短いパスワード」より「使い回されたパスワード」。この前提が分かると、対策の優先順位は大きく変わります。
攻撃側の最新動向は「中小企業を狙うサイバー攻撃の最新動向（2026年版）」もご覧ください。

公式ガイドラインは、すでに方針転換している

「強制しない」は手抜きではありません。最新の公式基準そのものです。

米国の国立標準技術研究所（NIST）が定める電子認証ガイドライン「SP 800-63B」は、2025年に更新された最新版（第4版）で、パスワードの定期変更を強制しないこと、文字種の混合（複雑性）を強制しないことを明確にしました。代わりに推奨されるのは、長さを重視すること、漏えいが判明したときに速やかに変更すること、漏えい済みパスワードのリストと照合してそれらを使わせないことです。米国政府機関向けの基準ですが、世界中の企業がパスワードポリシーの参照基準にしています。

日本でも、総務省の「国民のためのサイバーセキュリティサイト」が、強固なパスワードの設定と多要素認証の活用を基本原則として案内し、定期的な変更は不要（流出時に速やかに変更すればよい）という考え方を示してきました。IPAが2026年3月に公開した「中小企業の情報セキュリティ対策ガイドライン」第4.0版でも、パスワード管理は基本の「情報セキュリティ6か条」の一つに位置づけられています。

図1：NISTの最新版や総務省の案内が示す、パスワード管理の新常識

強制せず安全を保つ、4つの仕組み

ポイントは、社員に課す「覚えるルール」を最小限にして、残りを仕組みに肩代わりさせることです。

ルールは2つだけにする：「長くする」「使い回さない」
細かい文字種ルールをやめ、「3つの単語をつなげるなど、長めの文にする（パスフレーズ）」「仕事のパスワードを私用サービスと使い回さない」の2点だけを求めます。ルールが減るほど、守られる率は上がります。守られるルールの設計は「社員のIT利用ルール、守ってもらえるルールの作り方」の考え方がそのまま使えます。
パスワード管理ツールを会社として用意する
「サービスごとに別のパスワード」を人間の記憶で実現するのは不可能です。会社がパスワード管理ツールを導入し、社員は「ツールを開くための1本」だけ覚えればよい状態にします。共有アカウントのパスワードもツール上で管理すれば、退職時の変更漏れも防ぎやすくなります（「退職者のアカウント管理、見落としがちな5つのチェック項目」）。
多要素認証（MFA）を「既定」にする
パスワードが漏れても、スマホでの承認や生体認証というもう1つの鍵がなければ入れない状態を作ります。主要なクラウドサービスなら追加費用なしで設定でき、社員の負担は初回設定とログイン時のワンタップ程度。負担の小ささに対して効果が最も大きい対策です。
パスキーへ段階的に移行する
パスキーは、パスワードの代わりに端末の生体認証（指紋・顔）でログインする仕組みで、主要なOSやサービスで対応が広がっています。覚えるものがなく、偽サイトに入力してしまう心配もない（フィッシングに強い）のが特長です。対応済みのサービスから順に切り替えていけば、「パスワードを管理する」という仕事そのものを減らせます。

図2：強制ルールをやめ、4つの仕組みに肩代わりさせる

導入時のつまずきを避ける3つのコツ

1つめ：やめることを先に宣言する。「今後、定期変更のお願いは廃止します」から始めると、社員は新しい仕組みを「負担の追加」ではなく「負担の交換」として受け取れます。方針転換の理由（公式基準が変わったこと）もセットで伝えましょう。

2つめ：管理者アカウントから始める。多要素認証もパスワード管理ツールも、まず被害が最大になる管理者アカウントに適用し、次に全社員へ広げます。段階を踏めば、問い合わせ対応に追われることもありません。

3つめ：例外を放置しない。多要素認証に対応していない古いシステムや、退職者しかパスワードを知らない共有アカウントは、仕組みの「穴」になります。内部起因の漏えいの実態は「中小企業の情報漏洩、原因の8割は内部から」で解説したとおりで、こうした例外の放置が事故の入口になります。どのシステムとアカウントが社内にあるかを棚卸しし、例外には個別の手当てを決めておきましょう。

社員に強いるべきなのは「複雑なパスワードを覚える努力」ではなく、
「用意された仕組みを使うこと」だけです。