規制対象業界のためのパスワードのベストプラクティス：実践的なセキュリティガイド

パスワードのベストプラクティスは、実際に効果のある、短くてほとんど地味なリストに集約されます。パスワードマネージャーを使ってすべてのアカウントに長くて固有のパスワードを生成し、多要素認証（MFA）を有効にし、複数のサービスで同じパスワードを使い回さないことです。医療、法務、金融分野のチームにとって、最大のリスクは単純すぎるパスワードではありません。使い回されたり、盗まれたりしたパスワードです。現在、アカウント侵害の多くは、攻撃者が推測したパスワードではなく、すでに入手している認証情報から始まります。そのため、本当の目標は、使い回しをなくし、第2の要素を加えることです。

‍

重要ポイント

• パスワードマネージャーとMFAを組み合わせれば、自動化されたアカウント乗っ取り攻撃の大部分を防げます。巧妙な文字列を覚えることではなく、この組み合わせこそがパスワードセキュリティの中核です。
• 使い回しが最大の脆弱性です。業界の調査では、ほとんどの人がパスワードを使い回していることが一貫して示されており、1件の情報漏えいが、そのパスワードを共有するすべてのアカウントに波及する可能性があります。
• 弱いパスワードの多くは、ランダムではなく予測しやすいものです。季節ごとの入れ替え、ペットの名前、会社名は、まさに攻撃者が最初に試すものです。
• 脅威はパスワードの推測から窃取へと移っています。そのため、文字種の複雑さそのものよりも、固有性とMFAのほうが重要です。
• 業務用と個人用の認証情報は決して混在させないでください。分けて管理することで、どちらかが侵害された際の被害を抑えられます。

‍

パスワードのベストプラクティスとは？

パスワードのベストプラクティスとは、アカウントの認証情報が推測、解読、使い回し、窃取されるのを防ぐための習慣と対策の総称です。パスワードの作成方法（長さとランダム性）、保管方法（付箋、スプレッドシート、ブラウザではなくパスワードマネージャー）、保護方法（MFA）、共有方法（安全なチャネルのみ）が含まれます。標準化団体による最近のガイダンスは、複雑な文字ルールや頻繁な変更を強制する方針から、長さ、固有性、強力な第2の要素を重視する方針へと移っています。

‍

パスワードセキュリティがこれまで以上に重要な理由

攻撃者の手口は変わりました。10年前は、多数の組み合わせを試して弱いパスワードを総当たりで破ることが主な懸念でした。現在、より大きな脅威は認証情報の窃取です。攻撃者はデータ侵害、フィッシング、インフォスティーラー型マルウェア（感染したデバイスから保存済みのパスワードやログインセッションをひそかに収集するソフトウェア）によって有効なパスワードを入手し、そのままログインします。Verizonのデータ侵害調査レポート（Data Breach Investigations Report）によると、盗まれた認証情報は、攻撃者が最初の足がかりを得る最も一般的な方法の1つです。またIBM X-Forceは、脆弱性攻撃（エクスプロイト）ではなく、盗まれた有効な認証情報を使った侵入が大きな割合を占めると報告しています。

‍

これには実務上の理由が1つあります。すでに使えるパスワードを攻撃者が購入または窃取できるなら、そのパスワードの強度ではもはや守れません。守ってくれるのは、パスワードが固有であること（ほかのものを一切開けられない）と、盗まれたパスワードとアカウントの間に第2の要素があることです。機密性の高い記録を扱う規制対象のチームにとって、この転換こそが、以下のプラクティスの根拠のすべてです。

‍

強力なパスワードの条件とは？

パスワードを強力にする特性は、長さ、ランダム性、固有性の3つです。最も重要なのは長さです。米国国立標準技術研究所（NIST）は特別刊行物800-63B-4で、単一要素として使うパスワードには最低15文字を推奨しており（少なくとも64文字までの長さをサポートすることも求めています）、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は少なくとも16文字を目標にすることを推奨しています。ランダム性とは、辞書にある単語や個人情報を避けることです。固有性とは、アカウントごとに異なるパスワードを使うことです。

‍

ランダムな文字列の代わりに便利なのがパスフレーズです。無関係な4〜7個の単語をつなげたもので、長く、解読されにくく、はるかに覚えやすいのが特長です。CISAは、無関係な数個の単語を1つのフレーズにまとめた例を示しています。

‍

‍

実際の違いは次のとおりです。

‍

‍

強力なパスワードの作り方

最も速く確実な方法は、パスワードマネージャーにパスワードを生成させることです。手動で作成する必要がある場合（たとえば、パスワードマネージャーのロックを解除するマスターパスワードなど）は、パスフレーズを作成しましょう。

‍

1. 無関係でランダムな単語を4〜7個選びます。ご自身、勤務先、日付に関連するものは避けてください。
2. それらを1つのフレーズにまとめます。スペースは残しても削除してもかまいません。
3. 複雑さではなく長さを加えましょう。記号を含む短い文字列よりも、長いフレーズのほうが強力です。
4. 必ず1か所だけで使用し、ほかでは使い回さないようにしてください。
5. 平文で保存しないでください。マスターパスワードだけを記憶し、残りはパスワードマネージャーに任せましょう。

‍

予測しやすい要素は一切使わないでください。攻撃者は、辞書攻撃（よく使われる単語や既知のパスワードのリストを使った自動推測）やクレデンシャルスタッフィング（ほかの情報漏えいで流出したユーザー名とパスワードの組み合わせの使い回し）を行います。123456、admin、passwordなど、漏えいした一般的なパスワード（NordPassの調査で定期的に挙げられています）は瞬時に破られます。ペットの名前、会社名、季節と年といった状況に基づく選択も同様です。

‍

パスワードの使い回しをやめる：最も重要な対策

1つだけ習慣を変えるなら、これを変えてください。セキュリティ研究で引用されている各種調査によると、ほとんどの人が複数のアカウントでパスワードを使い回しています（Forbes Advisorは約78パーセントという数字を報告しています）。また、SpyCloudの漏えい分析では、情報漏えいの被害に遭った人の多くが、すでに流出したパスワードを使い回していたことが判明しています。使い回しは、1件の漏えいを連鎖反応に変えてしまいます。1つのサービスが侵害されると、攻撃者にメールアカウントへの鍵を渡すことになり、そのメールアカウントはほかのすべてのサービスのリセット経路になるからです。

‍

ここから2つのルールが導かれます。1つ目は、例外なくサービスごとに1つのパスワードを使うことです。2つ目は、仕事用と個人用の認証情報を完全に分けることです。動画配信サービスのパスワードを社内システムの近くで使うべきではなく、会社のパスワードで個人アカウントを保護してもいけません。分離はマナーではなくセキュリティ対策と考えてください。被害範囲（ブラストラディウス）を抑え、一方で発生した侵害がもう一方に波及するのを防ぎます。

‍

パスワードマネージャーとは何か、使うべきか

パスワードマネージャーは、暗号化された保管庫内でパスワードの生成、保存、自動入力を行うアプリケーションです。覚えるのは強力なマスターパスワード1つだけで、それ以外は、とても記憶できない長いランダムなパスワードも含めてマネージャーが管理します。また、脆弱なパスワードや重複したパスワードを警告してくれるため、修正できます。CISAや多くのセキュリティチームは、すべてのアカウントで強力かつ固有のパスワードを現実的に運用するうえで、パスワードマネージャーが最も簡単な方法だと考えています。

‍

大きく分けて2つのカテゴリがあります。個人向けのパスワードマネージャーは、個人ユーザーや小規模チーム向けです。エンタープライズ向けのソリューションは、特権アクセス管理（PAM:重要度の高い管理者認証情報を保護・監視する取り組み）の一部であることが多く、集中管理、アクセス制限、監査、シングルサインオン（SSO:1回の認証で承認済みの複数のアプリケーションにアクセスできる機能）が加わります。注意点として、重要な認証情報についてはブラウザ内蔵の保存機能に頼らないでください。ブラウザに保存されたパスワードは、専用の暗号化されたマネージャーに保存されたものと比べて、侵害されたデバイスや盗まれたデバイスから抽出されやすい場合があります。

‍

多要素認証（MFA）を有効にする

多要素認証（MFA）では、パスワードに加えて、認証アプリのコード、ハードウェアキー、生体認証などによる2つ目の本人確認が必要になります。盗まれた、あるいは推測されたパスワードだけでは侵入できないため、MFAは自動化された大量攻撃の大部分を防ぎます。CISAとMicrosoftはいずれも、基本的な対策として推奨しています。

‍

すべての要素が同等というわけではありません。対応している場合は、FIDO2とWebAuthn標準に基づく、フィッシングに強い方式を選びましょう。これにはパスキー（お使いのデバイスに紐づく暗号鍵で、パスワードを完全に置き換え、2つ目の要素ではなく単独のログイン方法として機能します）も含まれます。SMSで送信されるワンタイムコードは、一般的な要素の中で最も脆弱です。SIMスワップや、ネットワークレベルでSMSメッセージを傍受できるSS7プロトコル攻撃に対して脆弱であるためで、NISTとCISAはいずれも、より強力な選択肢がある場合はSMSに依存しないよう勧めています。

‍

パスワードは定期的に変更すべきか

いいえ、少なくとも一般的なユーザーアカウントについては、固定のスケジュールで変更する必要はありません。NISTは現在、ユーザーパスワードの定期的な強制変更を推奨していません。強制的なローテーションは、予測しやすいパターン（Summer2025がSummer2026になるなど）や、パスワードを書き留める行動を招くためです。代わりに、理由がある場合にパスワードを変更してください。たとえば、侵害が判明した、または疑われる場合、漏えい通知を受けた場合、把握できなくなった認証情報がある場合などです。「たぶん大丈夫」と思っていても、流出が確認されたなら、ローテーションする理由として十分です。（特権を持つ管理者の認証情報は例外で、定期的にローテーションされることが多くあります。）

‍

パスワードを安全に共有する方法

認証情報をどうしても共有しなければならない場合もあります。その場合は、パスワード自体と同じくらい、共有経路が重要です。Slack、メール、テキストメッセージでパスワードを送らないでください。検索可能な履歴に残ったり、転送されたり、どちらかのアカウントが侵害された際に漏えいしたりする可能性があります。代わりに、パスワードマネージャーの安全な共有機能を使って共有してください。認証情報が暗号化されたまま保たれ、後でアクセス権を取り消すこともできます。パスワードがチャットやメールを経由した場合は、流出したものとみなしてローテーションしてください。

‍

規制対象業界向けのパスワードのベストプラクティス

医療、法務、金融の各組織には、さらに重い責任があります。対象となるアカウントが、規制対象のデータを保護していることが多いためです。医療分野では、保護対象保健情報（PHI、個人を特定できる健康データ）がこれに該当します。各種フレームワークは、認証情報の適切な管理によって満たしやすくなる要件を定めています。たとえばHIPAAセキュリティルールは、PHIを扱うシステムにアクセス制御と認証の保護措置を求めており、固有の認証情報とMFAは、これらの要件を支える現実的な方法です。（HIPAAは、Business Associate Agreement（BAA）を通じてベンダーとの関係も規定しています。BAAは、サービスプロバイダーにPHIを保護する責任を負わせる契約です。）

‍

心に留めておきたい考え方があります。コンプライアンスとセキュリティは関連していますが、同じものではありません。パスワードポリシーが、古いチェックリストを形式上は満たしていても、実際のリスクが残ったままになることがあります。また、厳格に見えるポリシー（頻繁な強制変更や複雑な文字ルールなど）は、長さ、固有性、パスワードマネージャー、MFAを軸にしたシンプルなポリシーより、実際には弱くなる場合があります。規制対象のチームにとっての目標は、監査人に対して説明できると同時に、現在の攻撃者の手口に対して実際に効果を発揮するポリシーを持つことです。強力で固有の認証情報、MFA、安全な共有、暗号化された保管庫は、使いやすさを損なうことなく、HIPAA、SOC 2、ISO 27001などのフレームワークで認められている統制を支えます。

‍

よくある質問

‍

最も安全なパスワードとは？

最も安全なパスワードは、パスワードマネージャーが生成して保管する、長くてランダムなものです。覚えたり入力したりする必要がないためです。記憶しなければならない唯一のパスワードには、関連性のない4〜7語を組み合わせたパスフレーズを使うと、長さと覚えやすさを両立できます。どちらの場合も、パスワードは1つのアカウントにつき固有のものにしてください。

‍

避けるべき、よくあるパスワードは？

NordPassの年次分析など、流出した認証情報に関する調査では、123456、admin、password といった同じパスワードが繰り返し上位に挙がっています。辞書にある単語1語、人名やペットの名前、会社名、季節に年を加えたものも、同じ落とし穴にはまります。これらは自動化された攻撃が最初に試す推測であるため、完全に避けてください。

‍

パスワードマネージャーは安全ですか？

はい。ほとんどの場合、信頼できるパスワードマネージャーは、使い回し、弱いパスワード、付箋といった代替手段よりはるかに安全です。保管庫は暗号化されており、保護が必要なのは1つの強力なマスターパスワード（できればパスフレーズ）だけで、それにMFAを有効にします。この利便性があるからこそ、数十のアカウントでも強力で固有のパスワードを現実的に使えます。

‍

パスワードの長さはどのくらいが適切ですか？

長いほど強力です。NISTは、単一要素のパスワードには最低15文字を推奨し、少なくとも64文字までの長さに対応することを求めています。CISAは少なくとも16文字を目安にするよう提案しています。パスフレーズを使えば、覚えられないほど複雑なものを作らずに、この長さに達しやすくなります。

‍

パスワードは定期的に変更すべきですか？

通常のアカウントでは、決まったスケジュールでの変更は不要です。NISTは、定期的な強制変更は予測しやすいパターンを招くため、推奨していません。パスワードを変更するのは、情報漏えいの通知や侵害の兆候など、実際のきっかけがあった場合です。

‍

ブラウザにパスワードを保存しても安全ですか？

重要なアカウントには、ブラウザ内蔵の保存機能よりも、専用のパスワードマネージャーのほうが安全です。ブラウザに保存されたパスワードは、紛失、盗難、マルウェア感染にあったデバイスから抽出されやすくなる場合があります。ブラウザのログイン情報の保存機能は、使う場合でも、重要度の低いアカウントに限ってください。

‍

同僚とパスワードを共有するには、どうすればよいですか？

パスワードマネージャーの安全な共有機能を使ってください。認証情報が暗号化されたまま保たれ、後からアクセス権を取り消すこともできます。Slack、メール、テキストメッセージでは送らないでください。パスワードがこれらの経路を一度でも通ったことがある場合は、変更してください。