小さな事業のIT手帖

技術メモ担当者・業者向けの記事です。社長向けの入口は トップの困りごと です。

判断・選び方

パスワードの定期変更はもう要らない。小さな会社が今日決める3つ

公開 更新 読了10分

業者に提案されたパスワードアカウント

中身の図の縮小版。色が付いているのは: 社員の名簿と入館証（アカウント・パスワード）契約の名義とログイン情報ドメインDNSサイトメールアカウントファイルバックアップ電源・機器回線端末ソフトホームページとメール・パソコンの中身の図の、ここの話です社員の名簿と入館証（アカウント・パスワード）中身の図で位置を見る →

「パスワードは3か月ごとに変えること」。前任者が作った社内ルールがそのまま残っていて、社員は末尾の数字を1つずつ増やしてしのいでいる。セキュリティを任された人が最初に目にする光景です。

そのルールは、やめてください。総務省も米国のNISTも、定期変更を求めていません。守りを厚くするのは変更の回数ではなく、使い回さないことと、2要素認証です。読み終えると、今日決める3つ（記録する場所・2要素認証の方式・管理者アカウントの守り方）が決まり、最後の表を埋めて社内に配れます。

先に結論：私ならこの組み合わせにします

  1. 記録する場所は、専用のパスワード管理ソフト1つに決める。 2人以上の会社なら、ブラウザの保存機能や表計算ファイルではなくこちら
  2. 2要素認証は認証アプリを標準に、使えるサービスはパスキー。 SMSは「それしか無いとき」だけ
  3. 管理者アカウント（メールの管理者、ドメイン・DNS、銀行）には物理のセキュリティキーを2本。 1本は予備として金庫へ

やめるものも3つ。定期変更のルール、共有パスワードの表計算ファイル、SMSだけに頼る2要素認証です。

目次（7）
  1. 1. 定期変更をやめてよい根拠
  2. 2. パスワードをどこに記録するか
  3. 3. 2要素認証の方式：SMSで止めない
  4. 4. 小さな会社の決めごと1枚（書き込んで配る）
  5. 5. 確認表
  6. 6. 公的資料は何と言っているか（根拠の一覧）
  7. 出典（取得日: 2026-09-20）

1. 定期変更をやめてよい根拠

定期的に変えさせると、人は Spring2026! を Summer2026! にします。攻撃する側もそれを知っています。総務省の「国民のためのサイバーセキュリティサイト」は、定期変更は不要で、流出時に速やかに変更すること、定期変更はパターン化や使い回しを招くことを示しています。NIST SP 800-63Bも、定期的な変更は求めず、侵害の証拠があるときに変更させる、としています。

代わりに決めるのは「漏れたと分かったら、そのサービスをすぐ変える。誰に知らせるかを決めておく」です。

長さについて。NISTは利用者が決める場合は8文字以上（2025年8月の改訂版 SP 800-63B-4 では、パスワードだけで認証する場合は15文字以上、多要素認証の一部なら8文字以上）とし、文字種の混在などの構成ルールは課していません。私は社内の下限を15文字にします。管理ソフトが作って入力するので、長くても誰も困りません。「大文字と記号を必ず入れる」の決まりも外します。

2. パスワードをどこに記録するか

サービスごとに違う長いパスワードは、覚えられません。覚えさせようとすると使い回しが始まります。だから「どこに記録するか」を先に決めます。

方式内容私の評価
A. OS・ブラウザに組み込まれた機能端末やブラウザのアカウントに保存し、同じアカウントの端末間で同期する1人で、同じ系統の端末だけを使うなら十分。そのアカウント自体の2要素認証と、端末を失くしたときの復旧方法を確かめておく。会社のパスワードが社員個人のアカウントに入るので、2人以上の会社には勧めません
B. 専用のパスワード管理ソフト保管庫を1つのマスターパスワードで守る。1Password、Bitwarden など2人以上ならこれ。 共有の保管庫を作れて、人が抜けたら保管庫から外すだけで済む。選ぶときは、共有の単位、退職・契約終了時の取り消し方、書き出し（エクスポート）の可否を見る
C. 紙手帳などに書いて施錠して保管する日常用には勧めません。ただし復旧用コードとマスターパスワードの控えは紙で、施錠できる場所へ。持ち歩かない

よくあるのは、共有フォルダに置いた「パスワード一覧.xlsx」です。全社員が開けて、誰がいつ見たか分からず、退職者の手元にコピーが残ります。退職のたびに全部を変える手間を考えれば、管理ソフトの月数百円は安い買い物です。費用を足せない1人の事業なら、Aで構いません。そのかわり、そのアカウントの2要素認証だけは今日設定してください。

3. 2要素認証の方式：SMSで止めない

方式仕組み偽サイトに入力させる手口への強さ注意点
SMS・音声通話のコード電話番号あてに届くコードを入力コードを偽サイトに入力すると突破されうるNISTは「制限つき（RESTRICTED）」と位置づけ、代わりの方式の提供を求めている（2025年8月の改訂版でも同じ）。電話番号を変えるときに移行が必要
認証アプリ（TOTP）サービスと端末が共有した秘密の鍵と現在時刻から、短時間だけ有効なコードを計算する（RFC 6238。時間の刻みは30秒が推奨の既定値）コードを偽サイトに入力すると突破されうる機種変更の前に移行手順を確認する。復旧用コードを保管する
パスキー公開鍵暗号にもとづく。秘密鍵は端末から出ず、端末のロック解除（生体認証やPIN）で承認するFIDOアライアンスは「フィッシングに耐性がある」と説明している端末間で同期されるものと、1台の端末に結びつくものがある。どこに保存されるかを把握する
セキュリティキーUSB等で接続する専用の機器に鍵を持たせる（端末に結びつくパスキーの一種）同上紛失に備えて予備を登録する

どの方式でも、設定しないよりは守りが厚くなります。総務省もIPAも、多要素認証を利用すること自体を勧めています。だからSMSしか無いサービスは、SMSで設定します。

ただし「SMSを入れたから済んだ」で止めるのは勧めません。理由は2つ。SMSと認証アプリのコードは、偽のログイン画面に入力してしまえばそのまま使われること。もう1つは運用の問題で、会社の共用アカウントのSMSが、設定した社員個人の電話番号に届く形になりやすいことです。その人が辞めた日に、誰もコードを受け取れなくなります。

私の優先順位はこうです。

  1. パスキーまたはセキュリティキーが使えるなら、それ
  2. 次に認証アプリ。共用アカウントは管理者2人の端末に登録する
  3. SMSしか無いなら、SMSでも設定する。宛先は個人の番号ではなく、会社で持つ番号に

管理者アカウントにだけ物理のセキュリティキーを勧めるのは、そこを取られると全部を取られるからです。メールの管理者を取られれば、ほかのサービスのパスワード再設定がすべて通ります。ドメインとDNSを取られれば、メールの行き先ごと変えられます。全社員に配る必要はありません。管理者の2〜3アカウントに、キーを2本です。

4. 小さな会社の決めごと1枚（書き込んで配る）

下の表を埋め、関わる人全員に同じものを渡します。

決めごとうちの場合（記入）
パスワードはサービスごとに別のものにし、長くする長さの下限：　　文字
パスワードを記録する場所は1つに決める（2節のA・B・C）記録する場所：
定期的な変更はしない。漏えいの連絡を受けたら、そのサービスをすぐ変える連絡を受けたときに知らせる相手：
2要素認証を、メール → ドメイン・DNSの管理画面 → 銀行・決済 → 会計・請求 → クラウドストレージ → SNS の順に設定する設定が済んだところ：
方式は、パスキー・セキュリティキー → 認証アプリ → SMS の順に、使えるものを選ぶ例外のサービス：
復旧用コードは、端末とは別の場所に保管する保管場所：
機種変更の前に、認証アプリ・パスキーの移行手順を確認する次の機種変更の予定：
共有アカウントは利用者を書き出し、人が抜けたらすぐパスワードを変える共有アカウントと利用者：

メールを最初に守るのは、ほかのサービスのパスワード再設定がメールに届くためです。よくある事故は機種変更で、古いスマートフォンを下取りに出した後に、認証アプリの中身を移していなかったと気づきます。復旧用コードが無ければ、サービスごとに本人確認の手続きをやり直すことになり、ドメインの管理画面だと数日かかります。表の6行目と7行目は、そのための行です。

人が辞めるときの入れ替えは → 退職者のアカウント、消す前に止める

5. 確認表

#確認すること済
1事業で使うアカウントの一覧がある□
24節の表を埋め、関わる人に渡した。定期変更のルールを廃止した□
3メールとドメイン・DNSの管理画面に2要素認証を設定した□
4銀行・決済・会計に2要素認証を設定した□
5同じパスワードを複数のサービスで使っていない□
6復旧用コードを、端末とは別の場所に保管した□

設定の操作手順はサービスごとに違います。IPAの「不正ログイン対策」のページに、主要サービスの設定手順への案内がまとまっています。

6. 公的資料は何と言っているか（根拠の一覧）

論点総務省「国民のためのサイバーセキュリティサイト」IPANIST SP 800-63B（米国）
強さ他人に推測されにくく、機械的に割り出しにくいもの。名前・生年月日・辞書の単語・同じ文字の繰り返し・短い文字列は避ける「できるだけ長く」「複雑で」「使い回さない」利用者が決める場合は8文字以上（改訂版では、パスワードだけで認証する場合は15文字以上、多要素認証の一部なら8文字以上）。文字種の混在などの構成ルールは課さない
使い回し複数のサービスで使い回さない。流出した情報が他のサービスへの不正ログインに使われる複数サービス間で使い回さないことが重要新しいパスワードは、よく使われる値・漏えい済みの値の一覧と照合する
定期変更不要。流出時に速やかに変更する。定期変更はパターン化や使い回しを招く—定期的な変更は求めない。侵害の証拠があるときに変更させる
多要素認証知識・所持・生体のうち2つ以上を組み合わせる認証の利用を勧める多要素認証の設定を推奨し、主要サービスの設定手順を掲載方式ごとに要件を定める。SMS・音声通話は「制限つき」

IPAの「中小企業の情報セキュリティ対策ガイドライン」（第4.0版）も、基本の6か条の1つに「パスワードを強化しよう！」を挙げています。NISTの指針はサービスを運営する側に向けた文書です。下限15文字、セキュリティキー2本、という数は筆者の目安です。

出典（取得日: 2026-09-20）

この記事は特定の製品の使用レビューではありません。公式仕様と公的情報をもとに整理しています。 ・仕様の取得日