1. 結論：パスワードの定期変更は必要か
「パスワードは定期的に（例えば90日ごとに）変更しなければならない」——長年、多くの企業でこれが常識とされ、ルールとして運用されてきました。しかし、この常識は、いまや大きく見直されています。結論からお答えします。
現在の主要なガイドラインでは、パスワードの定期変更の強制は推奨されていません。米国NISTのガイドラインは、意味もなく定期的にパスワードを変えさせることは、かえって安全性を下げるとして、推奨から外しました。変更すべきなのは、「定期的に」ではなく、「漏えいの兆候があったときなど、必要が生じたとき」だという考え方に転換したのです。
長年の常識を覆すこの変化には、明確な理由があります。そして、その先には、パスワードにまつわる悩みそのものを解消する答えがあります。順に見ていきましょう。
2. なぜ定期変更が推奨されなくなったのか
定期変更の強制が推奨されなくなった理由は、「人間の実際の行動」にあります。よかれと思って課したルールが、逆効果を生んでいたのです。
90日ごとにパスワードを変えるよう強制されると、人はどうするでしょうか。多くの人は、覚えられないため、「Password1」→「Password2」→「Password3」のように、わずかな変更で済ませます。あるいは、忘れないようにメモに書いたり、他のサービスと同じパスワードを使い回したりします。つまり、定期変更の強制は、単純で推測されやすいパスワードや、危険な使い回しを招いていたのです。
さらに、そもそも定期変更には、期待されたほどの効果がないことも分かってきました。もしパスワードが漏れていた場合、攻撃者はそれを即座に悪用します。90日後の変更を待ってはくれません。つまり、定期変更は「漏れたパスワードを無効にする」効果が薄く、一方で「人々に弱いパスワードを作らせる」害があった——だから推奨されなくなったのです。
「良かれと思ったルール」が、逆効果になっていた
パスワードの定期変更は、セキュリティのために良かれと思って広く導入されてきました。しかし実際には、利用者に弱いパスワードや使い回しを強いる結果になっていました。セキュリティ対策は、「人間が実際どう行動するか」を踏まえないと、逆効果になりうる——定期変更の見直しは、その典型的な教訓です。もし自社にまだ「定期変更の強制」ルールが残っているなら、見直しを検討する価値があります。
3. では、何をすべきか
定期変更をやめるとして、では、パスワードを守るために何をすべきでしょうか。現在のガイドラインが示す、効果のある対策は次のとおりです。
- 十分な長さにする：複雑さを強制するより、長いパスフレーズを使う。覚えやすく、かつ機械的な解読に強い。
- 使い回さない：サービスごとに異なるパスワードを使う。1箇所の漏えいが全体に波及するのを防ぐ。最も重要な対策の1つ。
- 漏えい時に変更する：定期的にではなく、漏えいの兆候があったときや、既知の漏えいリストに含まれるパスワードを使っていた場合に変更する。
- 漏えいリストと照合する：過去に漏えいした既知のパスワードや、よくある弱いパスワードを使わせないようにチェックする。
- 多要素認証を併用する：パスワードだけに頼らず、もう1つの認証要素を加える。パスワードが漏れても、それだけでは突破されないようにする。
これらは、いずれも「人間に無理を強いず、実際に効果のある」対策です。定期変更という、手間ばかりかかって逆効果な習慣をやめ、これらの実効的な対策に切り替えることが、現在のパスワード管理の考え方です。しかし——ここまで読んで、こう思われたかもしれません。「そもそもパスワードって、悩みが多すぎないか？」と。その直感は、正しいのです。
古いパスワードルール、見直しませんか？
定期変更の強制をやめ、パスワードに頼らない認証へ。Net Peaceが、現代のガイドラインに沿った認証への移行を支援します。
4. 最終的な答え——パスワードレスへ
定期変更をやめ、長さを重視し、使い回しを避け、漏えいを監視し、多要素認証を加える——これらは確かに効果のある対策です。しかし、よく考えると、これらはすべて「パスワードという厄介なものを、なんとか安全に扱おう」とする努力です。文字数に悩み、使い回しに気をつけ、漏えいに怯える。パスワードを使い続ける限り、この悩みは尽きません。
ならば、発想を変えてみてはどうでしょう。パスワードそのものをなくせば、これらの悩みはすべて消えます。定期変更するかどうかも、何文字にするかも、使い回していないかも——パスワードがなければ、悩む必要がありません。
これが、世界のセキュリティガイドラインが向かう最終的な答えです。米国NISTの最新ガイドラインは、フィッシングにも強いパスワードレス認証（FIDO2/パスキー）を明確に位置づけました。パスワードレス認証では、パスワードの代わりに、端末に安全に保管された鍵と、生体認証やPINで本人確認を行います。覚えるパスワードがないため、定期変更も、文字数の悩みも、使い回しも、そして漏えいの心配も、根本から不要になるのです。「パスワードは定期変更すべきか」という問いの、時代の最終的な答えは、「そもそもパスワードを使わないこと」なのです。
5. まとめ
「パスワードは定期変更すべきか」という質問に、あらためて答えます。現在のガイドラインでは、定期変更の強制は推奨されていません。意味のない定期変更は、かえって弱いパスワードや使い回しを招くからです。代わりに、十分な長さ、使い回しの回避、漏えい時の変更、多要素認証といった、実効的な対策に切り替えるべきです。もし自社に「90日ごとの変更」ルールが残っているなら、見直しの好機です。
そして、より本質的な答えは、その先にあります。パスワードを安全に扱おうと努力し続けるのではなく、パスワードそのものをなくす（パスワードレス化する）こと。それが、定期変更をはじめとするパスワードのあらゆる悩みを、根本から解消する道です。世界のガイドラインが示す方向は明確に、パスワードレスへと向かっています。定期変更ルールの見直しをきっかけに、パスワードに頼らない認証への移行を検討してみることをおすすめします。