パスワード管理と2要素認証：公的資料の整理と、方式を選ぶ基準

小さな事業のIT・バックオフィス公開

この記事は特定の製品の使用レビューではありません。公式仕様と公的情報をもとに整理しています。 ・仕様の取得日

結論

  • 公的資料が共通して示しているのは、「長くする」「サービスごとに変える（使い回さない）」「定期的な変更は不要で、漏れたと分かったらすぐ変える」「多要素認証を設定する」 の4点です。
  • サービスごとに違う長いパスワードは覚えきれないので、「どこに記録するか」を先に決めます。方式は、OSやブラウザに組み込まれた機能、専用のパスワード管理ソフト、紙、の3つです。
  • 2要素認証は、どの方式でも設定しないよりは守りが厚くなります。そのうえで方式には差があり、米国NISTの指針はSMS・音声通話による方式を「制限つき（RESTRICTED）」と位置づけています。選べるなら、認証アプリ、さらにパスキーやセキュリティキーを優先します。

1. 公的資料は何と言っているか

論点総務省「国民のためのサイバーセキュリティサイト」IPANIST SP 800-63B（米国）
強さ他人に推測されにくく、機械的に割り出しにくいもの。名前・生年月日・辞書の単語・同じ文字の繰り返し・短い文字列は避ける「できるだけ長く」「複雑で」「使い回さない」利用者が決める場合は8文字以上（2025年8月の改訂版 SP 800-63B-4 では、パスワードだけで認証する場合は15文字以上、多要素認証の一部なら8文字以上）。文字種の混在などの構成ルールは課さない
使い回し複数のサービスで使い回さない。流出した情報が他のサービスへの不正ログインに使われる複数サービス間で使い回さないことが重要新しいパスワードは、よく使われる値・漏えい済みの値の一覧と照合する
定期変更不要。流出時に速やかに変更する。定期変更はパターン化や使い回しを招く—定期的な変更は求めない。侵害の証拠があるときに変更させる
多要素認証知識・所持・生体のうち2つ以上を組み合わせる認証の利用を勧める多要素認証の設定を推奨し、主要サービスの設定手順を掲載方式ごとに要件を定める（次節）

IPAの「中小企業の情報セキュリティ対策ガイドライン」（第4.0版）も、基本の6か条の1つに「パスワードを強化しよう！」を挙げています。

NISTの指針はサービスを運営する側に向けた文書です。SMS・音声通話を「制限つき」とする扱いは、2025年8月の改訂版でも同じです。

2. パスワードをどこに記録するか

方式内容向いている場面確認しておく点
A. OS・ブラウザに組み込まれた機能端末やブラウザのアカウントに保存し、同じアカウントの端末間で同期する1人で、同じ系統の端末だけを使うそのアカウント自体の2要素認証。端末を失くしたときの復旧方法
B. 専用のパスワード管理ソフト保管庫を1つのマスターパスワードで守る。1Password、Bitwarden など複数人で一部を共有する。OSやブラウザが混在する共有の単位、退職・契約終了時の取り消し方、書き出し（エクスポート）の可否
C. 紙手帳などに書いて施錠して保管するオンラインに置きたくないものが少数ある保管場所、写しの有無、持ち歩かないこと

「人数」「端末の混在」「共有の必要」で決まります。混ぜて使って構いません（日常のものはAかB、復旧用のコードはC、など）。

3. 2要素認証の方式の違い

方式仕組み偽サイトに入力させる手口への強さ注意点
SMS・音声通話のコード電話番号あてに届くコードを入力コードを偽サイトに入力すると突破されうるNISTは「制限つき」と位置づけ、代わりの方式の提供を求めている。電話番号を変えるときに移行が必要
認証アプリ（TOTP）サービスと端末が共有した秘密の鍵と現在時刻から、短時間だけ有効なコードを計算する（RFC 6238。時間の刻みは30秒が推奨の既定値）コードを偽サイトに入力すると突破されうる機種変更の前に移行手順を確認する。復旧用コードを保管する
パスキー公開鍵暗号にもとづく。秘密鍵は端末から出ず、端末のロック解除（生体認証やPIN）で承認するFIDOアライアンスは「フィッシングに耐性がある」と説明している端末間で同期されるものと、1台の端末に結びつくものがある。どこに保存されるかを把握する
セキュリティキーUSB等で接続する専用の機器に鍵を持たせる（端末に結びつくパスキーの一種）同上紛失に備えて予備を登録する

選ぶ基準は次の順です。

  1. そのサービスが対応している方式の中から選ぶ
  2. パスキーまたはセキュリティキーが使えるなら優先する
  3. 次に認証アプリ
  4. SMSしか無いなら、SMSでも設定する（総務省・IPAはいずれも、多要素認証を利用すること自体を勧めています）

4. 小さな会社の決めごと1枚（書き込んで配る形）

下の表を埋め、関わる人全員に同じものを渡します。左の列は1〜3節の公的資料に沿った決めごと、右の列が自分たちで決める中身です。

決めごとうちの場合（記入）
パスワードはサービスごとに別のものにし、長くする長さの下限：　　文字
パスワードを記録する場所は1つに決める（2節のA・B・C）記録する場所：
定期的な変更はしない。漏えいの連絡を受けたら、そのサービスをすぐ変える連絡を受けたときに知らせる相手：
2要素認証を、メール → ドメイン・DNSの管理画面 → 銀行・決済 → 会計・請求 → クラウドストレージ → SNS の順に設定する設定が済んだところ：
方式は、パスキー・セキュリティキー → 認証アプリ → SMS の順に、使えるものを選ぶ例外のサービス：
復旧用コードは、端末とは別の場所に保管する保管場所：
機種変更の前に、認証アプリ・パスキーの移行手順を確認する次の機種変更の予定：
共有アカウントは利用者を書き出し、人が抜けたらすぐパスワードを変える共有アカウントと利用者：

メールを最初に守るのは、ほかのサービスのパスワード再設定がメールに届くためです。人の入れ替わりの場面では、共有アカウントの洗い出しが後回しになりやすいので、表の8行目は人が増える前に埋めておきます。

5. 確認表

#確認すること済
1事業で使うアカウントの一覧がある□
24節の表を埋め、関わる人に渡した□
3メールとドメイン・DNSの管理画面に2要素認証を設定した□
4銀行・決済・会計に2要素認証を設定した□
5同じパスワードを複数のサービスで使っていない□
6復旧用コードを、端末とは別の場所に保管した□

設定の操作手順はサービスごとに違います。IPAのページに主要サービスの設定手順への案内がまとまっています。

出典（取得日: 2026-09-20）