1. NIST SP 800-63Bとは何か
NIST（米国国立標準技術研究所）は、米国政府機関の技術標準を定める機関ですが、そのガイドラインは世界中のセキュリティ設計の事実上の指針として参照されています。中でも認証の分野で最も重要なのが、「SP 800-63B」という文書です。
SP 800-63Bは、NISTが公表する「デジタルアイデンティティ・ガイドライン（SP 800-63シリーズ）」の一部で、認証（本人であることの確認）に特化した要件を定めています。どんな認証方式が、どの程度の強度を持つのか。どういう場面で、どのレベルの認証を使うべきか。こうした問いに、体系的な答えを与えてくれます。2025年には、最新版である「SP 800-63B-4」（Revision 4）が公表され、フィッシング耐性認証やパスキー（FIDO）への対応など、現代の脅威と技術を反映した内容へと更新されました。本記事では、この最新のNISTガイドラインが推奨する認証の考え方を解説します。
なぜ日本企業もNISTを知るべきなのか
NISTは米国の機関ですが、そのガイドラインは国際的に広く参照され、日本の各種セキュリティ基準やガイドラインの下敷きにもなっています。取引先（特に米国企業や、それとつながる企業）から「NISTに沿った認証か」を問われる場面も増えています。NISTの考え方を理解することは、世界標準の認証設計を理解することとほぼ同義なのです。
2. 認証保証レベル（AAL）——3段階の考え方
SP 800-63Bの中核となるのが、認証保証レベル（AAL：Authentication Assurance Level）という考え方です。これは、「その認証が、どれだけ確実に本人を証明できるか」を3段階で表したものです。守りたいものの重要度に応じて、適切なAALを選ぶ、という発想です。
| レベル | 概要 | 典型的な認証方式 |
|---|---|---|
| AAL1 | ある程度の確からしさ。単一要素でも可 | パスワードのみ など |
| AAL2 | 高い確からしさ。2つの異なる要素による認証が必要 | パスワード＋ワンタイムパスワード、パスキー など |
| AAL3 | 非常に高い確からしさ。公開鍵暗号を用いたハードウェアベースの認証 | セキュリティキー、スマートカード（FIDO/PKI） |
重要なのは、AALが上がるほど、認証は強固になるが、その分、なりすましやフィッシングへの耐性が求められるという点です。AAL1はパスワードだけでも成立しますが、これは弱い認証であり、重要なシステムには不十分です。AAL2は2要素認証が必要、AAL3は最も強く、公開鍵暗号を使ったハードウェア認証器（セキュリティキーやスマートカードなど）が必要になります。守るべきものの重要度に応じて、目指すべきレベルを決めるのが、NIST流の認証設計です。
3. AAL2以上で求められるフィッシング耐性
最新のSP 800-63B-4で特に強調されているのが、フィッシング耐性です。フィッシング（偽サイトで認証情報を盗む攻撃）は、現代の認証を脅かす最大の脅威の1つです。これに対し、最新のNISTガイドラインは、AAL2以上でフィッシング耐性のある認証の選択肢を提供することを求め、最高位のAAL3ではフィッシングに耐性のあるハードウェア認証器を要件としています。
では、フィッシング耐性のある認証とは何でしょうか。それは、偽サイトにアクセスしても認証が成立しない仕組みを持つ認証です。具体的には、FIDO2/パスキーや、公開鍵暗号を使うスマートカードなどが該当します。これらは、認証が正規のドメインに暗号的に紐づいているため、偽サイトでは反応せず、フィッシングによる認証情報の窃取が原理的に成立しません。
一方、SMSで送られるワンタイムパスワードや、認証アプリのコード入力、プッシュ承認などは、2要素認証ではあっても、フィッシング（特にリアルタイムの中継攻撃）で突破されうるため、フィッシング耐性の観点では最上位とはみなされません。NISTが最新版でパスキー（FIDO）を明確に位置づけたことは、「これからの認証はフィッシング耐性が前提」という方向性を、世界標準として示したものと言えます。
「2要素にした」だけでは、NISTの上位レベルに届かない
多要素認証を導入していても、その方式がSMSやワンタイムパスワードだけだと、フィッシングやリアルタイム中継攻撃に対しては万全ではありません。NISTの最新ガイドラインは、この現実を踏まえ、フィッシング耐性のある認証（FIDO2/パスキー等）を上位に位置づけています。「多要素にしたか」だけでなく「フィッシング耐性があるか」——これが、世界標準に沿った認証を考えるうえでの分岐点です。
NIST準拠のフィッシング耐性認証へ
AAL2/3が求めるフィッシング耐性認証を、自社に無理なく導入する。Net Peaceが、世界標準に沿った認証基盤づくりを支援します。
4. パスワードの新常識——「定期変更の強制」はもう推奨されない
NISTガイドラインが世界に大きな影響を与えたテーマの1つが、パスワードポリシー（記憶シークレットの扱い）です。かつて常識とされていたルールの多くを、NISTは覆しました。
- 定期的な変更の強制は推奨しない：「90日ごとにパスワードを変える」といった定期変更の強制は、かえって単純なパスワードや使い回しを招くとして、NISTは推奨していない。変更は、漏えいの兆候があった場合などに行うべき、という考え方。
- 複雑さの過度な要求より、長さを重視：「記号・数字・大文字を必ず含める」といった複雑さの強制よりも、十分な長さ（長いパスフレーズなど）のほうが、覚えやすく強い。
- 漏えいリストとの照合を推奨：過去に漏えいした既知のパスワードや、よくある弱いパスワードは、使わせないようにチェックすることが推奨される。
- ヒントや秘密の質問は避ける：推測されやすい「秘密の質問」などは、認証手段として不適切とされる。
これらは、長年信じられてきた「パスワードは複雑にして定期的に変える」という常識が、実は逆効果だったことを示しています。人間は、複雑なパスワードを頻繁に変えることを求められると、「Password1」「Password2」のような単純な変形や、使い回しに走ってしまうからです。NISTは、人間の行動を踏まえた、現実的で効果のあるパスワードポリシーを示したのです。
究極の答えは「パスワードを使わない」
NISTがパスワードポリシーを現実的なものに見直した一方で、より根本的な方向性も示しています。それは、フィッシング耐性のあるパスワードレス認証（FIDO2/パスキー）への移行です。パスワードそのものをなくせば、定期変更も、複雑さも、漏えいリスクも、まとめて解消できます。パスワードポリシーの最適化は重要ですが、その先には「パスワードからの卒業」がある——これがNISTの示す方向性です。
5. 日本企業はNISTをどう活かすか
では、日本企業はこのNISTガイドラインを、どう活かせばよいでしょうか。実務的なポイントを整理します。
- 守るべきものに応じてAALを決める：すべてを最高レベルにする必要はない。重要なシステム・データほど高いAAL（AAL2以上、特権的なものはAAL3）を目指し、リスクに応じて設計する。
- 重要システムはフィッシング耐性認証へ：特権アクセスや機密データへのアクセスは、フィッシング耐性のある認証（FIDO2/パスキー）を目指す。世界標準の方向性に沿う。
- パスワードポリシーを見直す：「定期変更の強制」など、古い常識に基づくルールを見直す。長さ重視・漏えいリスト照合へ。現場の負担を減らしつつ、実効性を高める。
- 取引先要求への備えにする：NISTに沿った認証は、取引先からのセキュリティ要求に応えるうえでの共通言語になる。世界標準に沿っておくことが、ビジネス上の信頼にもつながる。
NISTのガイドラインは、細かな要件まで定めた膨大な文書ですが、そのエッセンスはシンプルです。「リスクに応じた強さの認証を選び、フィッシング耐性を重視し、パスワードの古い常識から脱却する」——この方向性を押さえておけば、世界標準に沿った認証設計の大枠を外すことはありません。
6. 世界標準に沿った認証へ
NIST SP 800-63Bは、認証の世界標準とも言えるガイドラインです。その最新版が示す方向性は明確です。認証保証レベル（AAL）に応じてリスクベースで設計すること。上位レベルではフィッシング耐性を必須とすること。そして、パスワードの古い常識（定期変更の強制など）から脱却し、最終的にはパスワードレスへ向かうこと——。
これらは、米国政府機関のためだけの話ではありません。攻撃が高度化し、フィッシングが猛威をふるう今、あらゆる組織にとって意味を持つ、認証の進むべき道筋です。とりわけ、盗まれやすいパスワードだけに頼った認証や、SMS認証で満足している状態は、世界標準から見れば見直しの時期に来ています。
自社の認証が、NISTが示すこの方向性に沿っているか——守るべきものに応じた強さになっているか、重要なアクセスにフィッシング耐性があるか、パスワードの運用は現実的か。一度この観点から点検してみることをおすすめします。世界標準に沿った認証へと歩みを進めることが、これからの脅威に対する確かな備えになります。そして、その到達点にあるのが、パスワードに頼らないフィッシング耐性のある認証基盤です。