パスワード・多要素認証の社内ルール：定期変更より「長く・使い回さない」とMFA必須化
「90日ごとにパスワード変更」というルールは見直されつつあります。総務省・IPA・国家サイバー統括室（旧NISC）の公開情報をもとに、長く複雑で使い回さないパスワード、流出時の速やかな変更、多要素認証（MFA）とパスキーの利用、パスワード管理ツール、共有アカウントの扱いを、社内ルールの文例とあわせて整理します。
- 対象読者
- 社内のパスワードルールを決めたい・見直したい総務担当者、情シス兼任の担当者
- 難易度
- 基本
- 所要時間
- 読了8分
- 最終確認日
この記事のポイント
- IPAはパスワードを「できるだけ長く」「複雑で」「使い回さない」ものにするよう推奨。総務省の解説では、定期的な変更は不要で、流出時に速やかに変更する考え方が示されている
- 多要素認証（記憶・所持・生体の2つ以上を組み合わせる認証）を使えるサービスでは有効にする。IPAはパスキーの利用も推奨している
- 社内ルールは「長さ・使い回し禁止・MFA必須・管理ツール・共有アカウント・流出時の対応」を短く定め、設定で強制できるものは設定で強制する
不正ログインの被害は、規模の大小を問わず起きています。IPAの安心相談窓口には、2025年7月に不正ログインに関する相談が144件寄せられ、月間で過去最多になったと報告されています。パスワードが盗まれたり推測されたりすると、メールの乗っ取りやなりすましによる送金詐欺にもつながります（→なりすましメール・ビジネスメール詐欺（BEC）対策）。
この記事では、公的機関の推奨をもとに、社内のパスワードと多要素認証のルールの作り方を整理します。情報セキュリティ対策の全体像は情シス兼任総務の情報セキュリティ最低限チェックで解説しています。
公的機関の推奨を確認する
サイバーセキュリティ対策9か条
国家サイバー統括室（NCO。旧・内閣サイバーセキュリティセンター（NISC））とIPAは、インターネットを使うすべての人が最低限実施すべき「サイバーセキュリティ対策9か条」を示しています。パスワードと認証に関係するのは次の項目です。
| 項目 | 内容 |
|---|---|
| その2 | パスワードは長く複雑にして、他と使い回さないようにしよう |
| その3 | 多要素認証を利用しよう |
| その6 | スマホやPCの画面ロックを利用しよう |
パスワードの作り方と変更
| 論点 | 公的機関の情報 |
|---|---|
| 長さ・複雑さ | IPAは「できるだけ長く」「複雑で」「使い回さない」ものとすることを推奨。総務省の解説では、長いランダムな文字列や、無関係な単語と数字の組合せを例示 |
| 使い回し | 複数のサービスで使い回さない。1か所から漏れたID・パスワードで別のサービスに不正ログインされる（リスト型攻撃）ため |
| 定期変更 | 総務省の解説では、NIST（米国国立標準技術研究所）のガイドラインやNISCの資料で、定期的な変更は不要で、流出時に速やかに変更する旨が示されていると説明 |
| 管理 | 他人に教えない、メールで送らない、人目につく場所に貼らない。総務省はパスワード管理ツールの利用も紹介 |
「90日ごとに変更」のような定期変更ルールは、覚えやすい単純なパスワードや、末尾の数字だけを変える運用を招きがちです。社内ルールを見直すときは、定期変更をやめる代わりに「長さ・使い回し禁止・MFA」を必須にするのが現実的です。
多要素認証とパスキー
多要素認証（MFA）は、記憶情報（パスワードなど）、所持情報（スマートフォンの認証アプリ、セキュリティキーなど）、生体情報（指紋・顔など）のうち2つ以上を組み合わせて本人確認する方法です。IPAは、多要素認証を設定していれば、仮にIDとパスワードを不正に使われても、それだけではログインできないため、不正ログイン防止に効果があるとしています。
さらにIPAは2025年8月の注意喚起で、パスワードに代わる新たなログイン方法としてパスキーの利用を推奨しています。パスキーは、端末の生体認証や画面ロックの解除でログインする仕組みで、漏れるパスワードそのものがありません。使えるかどうかはサービスによって異なります。
社内ルールに入れる項目
| 項目 | ルールの例 |
|---|---|
| 適用範囲 | 会社が管理するPC・スマートフォン、業務で使うすべてのクラウドサービス |
| 長さ | 〇文字以上（推測されにくい長さを社内で決める）。単語を組み合わせたパスフレーズも可 |
| 禁止事項 | 他のサービスとの使い回し、私用サービスとの共用、氏名・誕生日・社名・単純な並び |
| 多要素認証 | メール・チャット・ファイル共有・給与・会計・銀行など、使えるサービスはすべて必須 |
| パスキー | 対応しているサービスでは利用を推奨 |
| 管理方法 | 会社が指定するパスワード管理ツールを使う。紙のメモ・付箋・表計算ファイルでの管理は禁止 |
| 変更 | 定期変更は求めない。漏えいの疑い、端末紛失、退職者が知っていた場合は直ちに変更 |
| 共有アカウント | 原則禁止。やむを得ない場合は管理者・利用者を登録し、利用者が変わったら変更 |
| 画面ロック | 離席時は画面ロック。自動ロックの時間を設定で固定 |
| 報告 | 不審なログイン通知、フィッシングにパスワードを入力した場合は、すぐに総務（担当者）へ報告 |
文例（就業規則の別規程・情報セキュリティ規程の一部として）
第〇条（パスワード）
- 従業員は、業務に使用するシステムおよびサービスのパスワードを、会社が定める長さ以上で、他人に推測されにくいものとしなければならない。
- 従業員は、業務用のパスワードを他のサービスで使用し、または他人に知らせてはならない。
- 会社が指定するサービスについては、多要素認証を設定しなければならない。
- 従業員は、パスワードの漏えいまたはそのおそれがあるときは、直ちにパスワードを変更し、会社に報告しなければならない。
IPAのガイドラインの付録「情報セキュリティ関連規程（サンプル）」も、規程を作るときの下敷きになります。新しい規程や改定は社内規程を改定するときの手順に沿って進めます。
ルールを「設定」で強制する
ルールを書いても、守られているかを1人ずつ確認するのは困難です。設定で強制できるものは設定で強制しましょう。
| 対象 | 設定で強制できること（サービスによって異なる） |
|---|---|
| Microsoft 365・Google Workspaceなど | パスワードの最低文字数、多要素認証の必須化、管理者による状況の確認 |
| PC | 画面の自動ロック、ログインパスワード、ディスクの暗号化 |
| スマートフォン | 画面ロックの必須化、紛失時の遠隔ロック・消去（MDMなどの管理ツール） |
| 銀行のインターネットバンキング | ワンタイムパスワード、承認者の分離 |
多要素認証の設定状況は、管理画面で一覧できることが多いので、四半期に1回は未設定者を確認します。アカウント全体の棚卸しは情シス兼任のIT資産・ライセンス管理で整理しています。
導入の進め方
- 重要なサービスから：メール、ファイル共有、給与・会計、インターネットバンキングの順に多要素認証を必須にする
- 事前に説明する：認証アプリの入れ方、スマートフォンを機種変更したときの手順を、画面付きの手順書で配る
- 私物スマホで認証する場合の扱いを決める：認証アプリだけを私物スマホに入れてもらう場合は、その旨と費用負担を整理しておく（→私物スマホ（BYOD）業務利用のルール）
- 予備の手段を用意する：スマートフォンの紛失・故障に備え、管理者がリセットする手順やバックアップコードの保管方法を決める
- 入社時に設定する：入社日のオリエンテーションで、パスワード管理ツールと多要素認証の設定を済ませる
まとめ
- 公的機関の推奨は「長く・複雑で・使い回さない」。定期変更より、流出時の速やかな変更を重視する
- 多要素認証は、ID・パスワードが盗まれても不正ログインを防ぎやすい。パスキーが使えるサービスでは利用を検討する
- 社内ルールには長さ・使い回し禁止・MFA必須・管理ツール・共有アカウント・報告を短く定める
- ルールは文章だけでなく、管理画面の設定で強制し、未設定者を定期的に確認する
- 重要なサービスから順に導入し、端末紛失時の予備手段も用意しておく