「パスワードは半年に一度変更してください」

多くの企業が、こうした社内ルールを設けています。情報システム担当者がいる企業ほど、この一斉変更を厳格に運用している傾向があります。

これは、セキュリティ意識の高さの表れであり、その姿勢自体は評価されるべきものです。
ただ、近年の国際的な指針では、この「定期変更」に対する考え方が大きく変わってきていることをご存じでしょうか。

本記事では、パスワード定期変更に関する国際的な指針の変化と、その負担を解消する手段としての多要素認証について紹介します。

定期変更が現場にもたらす負担

パスワードの一斉変更を運用すると、必ずと言っていいほど発生するのが「パスワードを忘れた」「ログインできない」という問い合わせの急増です。

対応に追われる情シス担当者は、本来注力すべき設計業務やベンダー対応の時間を削られてしまいます。周知、変更確認、例外対応まで含めると、変更のたびに数日分の工数が消えていき、これは見えにくいコストとして、多くの現場に静かに積み重なっています。

国際的な指針は「定期変更を求めない」方向に

ここ数年、海外の主要機関の見解は明確に変化しています。

米国国立標準技術研究所（NIST）は、2024年公開のデジタル認証ガイドライン（SP 800-63B 改訂4版）で、定期的なパスワード変更を要求すべきではないとする、強い表現の指針を示しました。変更が必要なのは、漏えいの証拠がある場合に限る、という考え方です。

Microsoftも同様の立場を取っており、2019年の段階でWindowsのセキュリティ基準から定期変更の推奨項目を削除しています。

背景にあるのは、人間の行動特性です。強制的な変更を繰り返すと、人は「わずかに変えただけ」のパスワードを使い回したり、覚えきれずにメモを残したりしがちです。結果として、定期変更を課すほどパスワードが推測されやすくなる——これが、両機関が方針を転換した根拠です。

「ISOで決まっているから」は正確ではない

「ISMS（ISO 27001）を取得しているので、定期変更は必須のはず」という声もよく聞かれます。

しかし、ISO 27001:2022の認証情報に関する管理策には、変更周期についての具体的な規定はありません。「90日ごと」「半年ごと」といったルールは、多くの場合、規格そのものではなく、過去の慣習や社内判断に基づいて運用されているのが実情です。自社のルールの根拠を、一度見直してみる価値はあるかもしれません。

定期変更に代わる解決策としての多要素認証

定期変更の本来の狙いは、「パスワードが漏れた場合の被害を、時間の経過とともに小さくする」ことでした。しかし攻撃者は、盗んだパスワードをほぼ即座に悪用するため、次の変更時期を待ってはくれません。

多要素認証は、この課題に別の角度からアプローチします。パスワードに加えてもう一つの認証要素を求めることで、パスワード単体が漏れても不正ログインを防げる仕組みです。パスワードの「鮮度」に頼らずに済むため、定期変更という運用自体が不要になります。

情シス担当者は一斉変更対応から解放され、従業員側も頻繁な変更のストレスから解放される。
セキュリティ強化と運用負担の軽減を、同時に実現できる数少ない対策のひとつです。

まとめ

・パスワードの定期変更は、情シスに見えない負担をかけている
・NIST・Microsoftとも、定期変更を推奨しない方針へ転換している
・定期変更が、かえってパスワードを弱くする可能性も指摘されている
・ISO 27001は、変更周期そのものを義務付けてはいない
・多要素認証の導入で、定期変更という運用自体から卒業できる

東日本サポートセンターでは、中小企業向けの多要素認証「アプリップリキー」の導入支援を行っています。

パスワードポリシーの見直しをご検討の際は、東日本サポートセンターまでお気軽にお問い合わせください。

---

▼医療機関のサイバーセキュリティ対策に。多要素認証サービス「applippli-key」のご案内
https://ejsc.co.jp/system/security-key/