パスワード作成のコツと会社のルールの決め方｜桁数の目安・定期変更の見直しも解説

パスワード作成の基本は、長く、推測されにくく、サービスごとに別のものにすることです。総務省の「国民のためのサイバーセキュリティサイト」は、理想は十分に長いランダムな英数字の並びで、覚える必要がある場合は無関係な単語をつなげる方法を紹介しています。米国国立標準技術研究所(NIST)のガイドラインも、文字種の混在を強制するより、長さを重視する方向です。本記事では、パスワードの作り方と桁数の目安、生成ツールを安全に使う確認点を整理し、そのうえで会社で決めるパスワードのルールと、全社員に浸透させる運用手順まで解説します。

目次

開く

閉じる

1. パスワード作成のポイントと、会社で全員にそろえる方法
2. 安全なパスワード作成の基本原則
3. パスワードの桁数の目安｜4桁・8桁・12文字以上で何が違うか
4. パスワード生成ツールの使い方と、安全に使うための確認点
5. 定期変更ルールの見直し(NISTの見解)
6. 安全性と運用しやすさのバランス
7. 企業での運用手順(アクセス権限管理・多要素認証の併用)
8. よくある失敗パターン
9. よくある質問(FAQ)
10. まとめ
11. 参考文献

パスワード作成のポイントと、会社で全員にそろえる方法

安全なパスワードは、15文字以上の長さで、個人情報や辞書にある言葉を避け、サービスごとに別のものにして作ります。覚えきれない場合は、パスワード管理ツールの生成機能でランダムな文字列を作って保存するか、無関係な単語をつなげたパスフレーズにします。

作り方そのものは難しくありませんが、会社では、社員一人ひとりが同じ基準でパスワードを作らなければ意味がありません。新しく入った人や異動した人が、昔ながらの「記号を混ぜて定期的に変える」やり方のままなら、付箋メモや使い回しが残ります。ルールを文書にして終わりにせず、全員が同じ基準で学び、理解を確かめる仕組みがあると定着しやすくなります。社内のパスワード運用を研修で周知する場合に使われる3つのeラーニングを、役割の違いで並べます(内容は各サービスの商品ページで確認した情報にもとづきます。パスワードそのものを扱うコースの有無は、資料で確認してください)。

個人情報保護法や情報セキュリティの研修を、全社員に同じコースで受けさせたい場合の一例が、OneCompliance(ワンコンプライアンス)です。法務・労務・情報領域のコンプライアンス研修をeラーニングで提供しており、コースには個人情報保護法や情報セキュリティが含まれます。受講のアサイン、自動リマインダー、受講状況の集計を管理画面でまとめて行えるため、パスワードのルールを含む社内の決まりを周知した記録を残しやすくなります。一方で、料金は受講人数に応じて変わり、デモや無料トライアルの期間・内容は問い合わせで確認する必要があります。「パスワード」を直接扱うコースの有無は、資料で確認してください。料金はプランによって異なるため、資料や公式サイトで確認してください。

社内に法務専任担当や教育専任担当がおらず、社内のみでの実施が困難

OneCompliance 導入事例(株式会社プリメディカ。導入の背景・課題感として掲載) 出典：導入事例ページ

安全なパスワード作成の基本原則

安全なパスワードの条件は、「長いこと」「推測されにくいこと」「使い回さないこと」の3つです。総務省の「国民のためのサイバーセキュリティサイト」では、理想はある程度長いランダムな英数字の並びであり、覚える必要がある場合は、無関係な複数の単語をつなげたり、その間に数字列を挟んだりしたものがよいとしています。

複雑さより長さを重視する

パスワードを総当たりで破る攻撃に対しては、文字の種類を増やすよりも文字数を増やすほうが効果的です。たとえば英小文字だけでも、1文字増えるごとに組み合わせは26倍になります。NISTが2025年に公表したデジタルアイデンティティのガイドライン(SP 800-63B Revision 4)では、パスワードだけで認証する場合は最低15文字、多要素認証の一部として使う場合でも最低8文字を求め、少なくとも64文字までは設定できるようにすべきとしています。社内ルールでは、管理するシステムの仕様も踏まえ、12文字から15文字以上を目安にするのが現実的です。

パスワードの作り方3通り｜ランダム・パスフレーズ・管理ツール

強いパスワードの作り方は、大きく3通りに分けられます。どれを選ぶかは、そのパスワードを人が覚える必要があるかどうかで決まります。

作り方	手順	向いている場面	注意したい点
ランダム生成(管理ツールなど)	長さと文字種を指定して、ツールにランダムな文字列を作らせ、そのまま保存する	覚える必要がないサービスのパスワード(大半のサービス)	作った文字列を平文のファイルやメモに残さず、管理ツールに保存する
パスフレーズ(無関係な単語をつなぐ)	自分の情報と関係のない3つから4つの単語をつなぎ、間に数字や記号を挟む	管理ツールのマスターパスワードやPCのログインなど、覚えて入力する必要があるもの	有名な歌詞やことわざなど、他人が知りうる文章は避ける
自分で考えた文字列	規則を決めて組み立てる	原則として避ける(やむを得ない場合のみ)	名前・誕生日・「社名+西暦」などの規則性は推測されやすい

覚えやすい「パスフレーズ」の作り方

長いパスワードを覚えるには、意味のつながらない3つから4つの単語を組み合わせるパスフレーズが便利です。たとえば「机」「傘」「ひまわり」「電車」のように、自分の情報と関係のない単語をローマ字でつなぎ、間に数字や記号を挟みます。自分だけの情景を思い浮かべると覚えやすく、文字数も自然に15文字を超えます。ただし、有名な歌詞やことわざ、座右の銘のように他人が知りうる文章は避けましょう。

避けるべきパスワードのパターン

攻撃者は、よく使われる単語や過去に漏えいしたパスワードの一覧を使って効率よく推測します。総務省のサイトも、IDと同じ文字列、名前・電話番号・生年月日・住所・車のナンバーなど推測されやすい情報、同じ文字の繰り返しや数字・英字の並び、キーボード配列を避けるよう示しています。次のようなパターンは、文字数が足りていても破られやすいため避けます。

避けるべきパターン	例	破られやすい理由
よく使われる文字列	123456、password、qwerty	攻撃ツールの辞書の最初に入っている
個人情報	名前、誕生日、電話番号、家族やペットの名前	SNSや名刺から推測できる
社名・サービス名の流用	社名+西暦、サービス名+01	標的を絞った攻撃でまず試される
キーボード配列や単純な規則	1qaz2wsx、abcd1234	見た目は複雑でも辞書に登録されている
一部だけ変えた使い回し	基本形+サービスごとの数字	1つ漏れると規則ごと見抜かれる

NISTのガイドラインでも、新しく設定されるパスワードを、よく使われるものや漏えいが確認されたものの一覧(ブロックリスト)と照合し、該当するものは使わせないことを求めています。社内システムで設定できる場合は、この照合機能を有効にしておくとよいでしょう。

サービスごとに別のパスワードにする

どれだけ強いパスワードでも、複数のサービスで使い回すと、どこか1つから漏えいしたときに他のサービスにも不正ログインされます。これは、流出したIDとパスワードの組み合わせを別のサービスで次々に試す「パスワードリスト攻撃」と呼ばれる手口です。総務省のサイトでも、サービスごとに異なる十分に安全なパスワードを使うよう呼びかけています。特に、業務用のアカウントと私用のアカウントで同じパスワードを使うと、個人のSNSの漏えいが会社のシステムへの侵入口になりかねません。

パスワードの桁数の目安｜4桁・8桁・12文字以上で何が違うか

桁数が増えるほど組み合わせは急激に増えるため、ログイン用のパスワードは数字だけの4桁や8桁ではなく、12文字以上、できれば15文字以上にします。ここでは、文字の種類と桁数を変えたときに、組み合わせが何通りになるかを計算で比べます。

パスワードの種類	文字の種類	桁数	組み合わせの数(完全にランダムに選んだ場合の理論値)
数字だけ(暗証番号など)	数字10種	4桁	10の4乗(1万通り)
数字だけ	数字10種	8桁	10の8乗(1億通り)
英小文字だけ	26種	8文字	10の11乗台(約2,088億通り)
英大小文字+数字+記号	約94種	8文字	10の15乗台
英小文字だけ	26種	15文字	10の21乗台
英大小文字+数字	62種	12文字	10の21乗台
英大小文字+数字+記号	約94種	12文字	10の23乗台
英大小文字+数字+記号	約94種	15文字	10の29乗台

この表から、2つのことが分かります。1つ目は、数字だけの8桁は1億通りしかなく、英小文字だけの8文字にも及ばないことです。2つ目は、文字の種類を94種に増やした8文字よりも、英小文字だけでも15文字にしたほうが、組み合わせが桁違いに多くなることです。複雑さを求めるより、長さを確保するほうが効果的だという、前の節の考え方を数字で確かめられます。なお、この表は完全にランダムに選んだ場合の計算上の数字です。誕生日や単語など人が考えた規則性があると、実際に破られるまでの手間は大きく下がります。

パスワードの4桁の決め方

4桁の数字は1万通りしかないため、インターネットのログインには向きません。使う場合は、スマートフォンの画面ロックやカードの暗証番号のように、入力を間違えられる回数が制限される場面にとどめます。決め方は、誕生日・電話番号の下4桁・「1234」のような連番・同じ数字の繰り返しを避け、自分に関係のない数字をランダムに選びます。NISTのガイドラインも、サービス側が認証の失敗回数に上限を設け、超えたら認証器を無効にすることを前提にしています。短い桁数のパスワードは、この仕組みで守られているからこそ成り立ちます。

8桁の数字だけのパスワードは安全か

8桁の数字だけでは、組み合わせが1億通りで、長さも条件も足りません。ログイン用なら、英字を含めた12文字以上、できれば15文字以上にします。システムの仕様で数字8桁などに制限されている場合は、失敗回数の制限や、多要素認証と組み合わせて守るほうが現実的です。

Gmail(Googleアカウント)のパスワードの作り方

Googleアカウントのヘルプは、長いパスワードのほうが安全性が高いとして、12文字以上にするよう案内しています。そのうえで、ニックネームやイニシャル、家族やペットの名前、誕生日などの個人情報、よくある単語、「1234」や「qwerty」のような並びは避け、特にメールやオンラインバンキングのような重要なアカウントでは、別々のパスワードを使うよう示しています。覚えきれないときは、安全な場所に書き留めるか、パスワードマネージャーを使う方法が案内されています。会社でGoogleアカウントを使う場合は、これに加えて、社内のパスワードルールと多要素認証の設定にも従う必要があります。

パスワード生成ツールの使い方と、安全に使うための確認点

パスワード生成ツールは、ブラウザの中で生成が完結し、作った文字列を外部に送らないものを選び、生成したパスワードは管理ツールに保存して使います。「パスワード 作成」で検索すると、無料の生成ツールが数多く表示されます。手軽な反面、ツールの仕組みによっては、作った文字列を提供元に送る可能性があるため、業務で使うパスワードを作る前に、次の点を確認してください。

確認する点	見るところ	確認する理由
生成した文字列を外部に送るか	提供元の説明(ブラウザ内で生成する、サーバーに送らない等の記載)	生成した文字列が提供元に送られる仕組みだと、パスワードが第三者に知られるおそれがある
長さと文字種を指定できるか	文字数・英大小文字・数字・記号を選べるか。システムが使える記号に制限がある場合の指定	15文字以上を作れないツールや、システムの仕様に合わせられないツールは使いにくい
乱数の作り方の説明があるか	暗号用の乱数を使っているかの記載	推測しやすい乱数だと、ランダムに見えても予測される可能性がある
提供元が分かるか	運営会社・提供元の情報、プライバシーポリシー	提供元が不明なツールは、安全性を判断できない
生成後の扱いを決めているか	管理ツールへの保存、クリップボードや画面の履歴の扱い	作ったパスワードを平文のファイルやメールに残すと、せっかくの強さが意味をなくす

スマートフォンやブラウザには、パスワードを提案する生成機能が最初から備わっているものがあり、総務省のサイトでも、管理ツールの例として標準機能が挙げられています。会社で使える範囲は社内のルールで決まっていることがあるため、使う前に情報システム担当者に確認しましょう。

ブラウザ内だけで動く簡易ジェネレーター

下のツールは、お使いのブラウザの中だけで動き、生成した文字列をこのページから外部へ送信する処理はありません。長さや文字種を変えたときの変化を試す用途に使えます。実際に業務で使うパスワードは、会社が許可した管理ツールの生成機能で作り、そのまま保存するのが基本です。

紛らわしい文字(数字の0と英字のO、数字の1と英字のlなど)を除いているのは、手で入力する場面で打ち間違えを減らすためです。システムが使える記号を制限している場合は、「記号」を外して長さで補います。

生成したパスワードの扱い

パスワードを作ったあとの扱いが、強さを決めることも少なくありません。総務省のサイトは、パスワードを同僚などに教えない、メールでやりとりしない、ディスプレイなど人の目に触れる場所に貼らない、メモに残す場合は鍵のかかる机や金庫に保管する、覚えきれない場合は管理ツールを使い、そのツールをマスターパスワードや端末の生体認証などで保護する、と示しています。Excelやメモ帳のファイルに一覧を作ると、端末の紛失や感染で一度に漏れるため、会社が許可した管理ツールに集約するのが基本です。

定期変更ルールの見直し(NISTの見解)

漏えいの兆候がないのに定期的な変更を強制することは、現在では推奨されていません。「パスワードは90日ごとに変更する」というルールは、多くの企業の規程に残っています。

定期変更をやめる流れになった理由

NISTは2017年のSP 800-63B改訂の段階で定期変更を求めない方針を打ち出し、2025年のRevision 4では、利用者に定期的な変更を要求してはならないと明記しました。総務省の「国民のためのサイバーセキュリティサイト」もこのNISTの考え方を紹介し、定期変更を求めると、パスワードの作り方がパターン化して簡単なものになったり、使い回しが増えたりする問題があると説明しています。実際に、変更のたびに末尾の数字を1つ増やすだけ、季節名を入れ替えるだけといった変え方になりやすく、攻撃者にとっては推測の手がかりが増えるだけです。

変更が必要になるのはどんなときか

定期変更が不要になっても、パスワードを変えなくてよいわけではありません。次のような場合は、速やかに変更させる必要があります。

• 利用しているサービスから情報漏えいの発表があったとき
• 身に覚えのないログイン通知や、不審な操作の履歴が見つかったとき
• フィッシングサイトにパスワードを入力してしまった疑いがあるとき
• パスワードを他人に教えた、画面をのぞかれた、メモを紛失したとき
• 共用アカウントを使っていた担当者が異動・退職したとき

NISTのガイドラインも、漏えいの証拠がある場合には変更を強制すべきとしています。社内規程では「定期変更は求めない」と書くだけで終わらせず、「漏えいの疑いがあるときは直ちに変更し、情報システム担当へ報告する」という手順をセットで定めておくことが大切です。

定期変更を残す場合の考え方

取引先との契約や業界の基準、利用しているシステムの仕様などによって、すぐには定期変更をやめられない場合もあります。その場合は、変更の際に過去のパスワードの使い回しを禁止する設定を入れる、変更間隔を必要以上に短くしない、多要素認証を導入した段階で定期変更の廃止を検討する、といった形で、定期変更による弊害を小さくする工夫をしましょう。

安全性と運用しやすさのバランス

パスワードのルールは、厳しくするほど安全になるのではなく、社員が実際に守れる水準にするほど効果が出ます。守れないルールは形だけになり、実態とのずれが新たなリスクを生みます。

複雑すぎるルールが招く「付箋メモ」のリスク

文字種の組み合わせ、定期変更、システムごとに異なるパスワードといった条件を同時に課すと、社員が覚えなければならない文字列はすぐに十数個を超えます。その結果起きやすいのが、パソコンのモニターに付箋を貼る、デスクトップに「パスワード.txt」を置く、手帳の最終ページに一覧を書くといった行動です。これでは、オフィスに来た来訪者や清掃業者、ノートパソコンを盗んだ人にパスワードを渡しているのと変わりません。在宅勤務やカフェでの作業が増えた今は、社外でメモが人目に触れる機会も増えています。

NISTのガイドラインでも、文字種の混在を強制するような構成ルールを課してはならないとしています。これは複雑さが不要という意味ではなく、強制すると人間が覚えやすい単純な規則に逃げてしまい、かえって推測されやすくなるためです。

パスワード管理ツールを認める

サービスごとに異なる長いパスワードを全部覚えるのは現実的ではありません。そこで有効なのが、パスワード管理ツール(パスワードマネージャー)の利用です。ツールが長いランダムな文字列を自動で作成・保存し、社員は管理ツールにログインするための1つのパスワードだけを覚えればよくなります。NISTのガイドラインでも、パスワード管理ツールや自動入力の利用を認めること、パスワード入力欄への貼り付けを許可することを求めています。社内でツールを使う場合は、会社が許可したツールを指定し、管理ツール自体にも長いパスワードと多要素認証を設定させましょう。

パスワードだけに頼らない

パスワードは、どれだけ工夫してもフィッシングや漏えいで盗まれる可能性があります。そのため、パスワードに加えてスマートフォンの認証アプリや生体認証などを組み合わせる多要素認証を導入すると、パスワードが漏れても不正ログインを防ぎやすくなります。総務省のサイトも、利用するシステムで多要素認証の設定が可能な場合は積極的に利用するよう呼びかけています。多要素認証を前提にすれば、パスワード自体のルールを社員にとって無理のない水準に保つこともできます。パスワードを入力しない認証方式(パスキーなど)に対応したサービスでは、選べる場合にそちらを検討する方法もありますが、対応状況はサービスごとに異なるため、導入するシステムの仕様で確認してください。本人確認アプリの最新の動向はデジタル認証アプリとは？マイナアプリ統合後のできること・使い方・ビジネス活用で整理しています。

比較項目	従来型のルール	見直し後のルール例
文字数	8文字以上	12文字から15文字以上(パスフレーズ推奨)
文字種	英大文字・小文字・数字・記号を必須	強制せず、よく使われる文字列を禁止
変更	90日ごとに定期変更	漏えいの疑いがあるときに直ちに変更
保管	記憶に頼る(実態はメモが多い)	会社が許可したパスワード管理ツール
認証	パスワードのみ	多要素認証を併用

企業での運用手順(アクセス権限管理・多要素認証の併用)

社内のパスワードルールは、棚卸し、文書化、権限の見直し、多要素認証、研修と点検の5つのステップで定着させます。ここからは、総務・情報システム担当者が、社内のパスワードルールを見直し、定着させるまでの手順を紹介します。

ステップ1：アカウントと利用実態を棚卸しする

まず、社内で使っているシステムやクラウドサービスと、そのアカウントを一覧にします。誰がどのサービスを使っているか、管理者権限を持つのは誰か、複数人で1つのIDを共有している共用アカウントはないかを確認します。あわせて、社員にパスワードの保管方法を匿名アンケートで聞くと、付箋メモや使い回しなど、規程と実態のずれが見えてきます。

ステップ2：パスワードポリシーを文書化する

棚卸しの結果をもとに、パスワードポリシー(社内のパスワードに関する決まり)を規程として定めます。文字数の下限、禁止するパターン、使い回しの禁止、変更が必要になる場面と報告先、許可するパスワード管理ツール、初期パスワードの扱いなどを盛り込みます。システムから発行される初期パスワードは、初回ログイン時に必ず変更させ、未使用のまま長期間放置しない運用にします。ルールの数は増やしすぎず、なぜそのルールなのかを1行で添えると、社員が納得しやすくなります。規程に入れる項目と文例は、次のように整理できます(文例は、前の節の考え方を規程の形にしたひな形で、自社のシステムの仕様に合わせて調整してください)。

項目	文例	理由・根拠
文字数	パスワードは15文字以上とする。システムの仕様で上限がある場合は、設定できる最大の長さとする	NIST SP 800-63B Revision 4(単独認証は最低15文字)
文字種	文字種の組み合わせは問わない。よく使われる文字列、名前・誕生日などの個人情報、社名やサービス名の流用は使用しない	NISTは構成ルールの強制を禁止。総務省は推測されやすい情報を避けるよう示している
使い回し	業務用のパスワードを他のサービスや私用のアカウントで使い回してはならない	総務省がパスワードの使い回しを避けるよう求めている
変更	定期変更は求めない。漏えいの疑いがあるときは直ちに変更し、情報システム担当へ報告する	NISTは定期変更を要求しない。侵害の証拠があれば変更を強制する
保管	会社が許可したパスワード管理ツールに保存する。付箋・ファイル・メールでの保管と共有は行わない	総務省は、同僚に教えない・メールで送らない・人目に触れる場所に貼らないとしている
多要素認証	メール・クラウド・社外から接続するシステムでは、多要素認証を有効にする	総務省は、設定できる場合は積極的に利用するよう求めている
初期パスワード	発行された初期パスワードは初回ログイン時に変更する	初期値のまま放置するとアカウントが推測されやすい(運用上の対策)

ステップ3：アクセス権限を必要最小限にする

パスワードが漏れたときの被害を小さくするには、一人ひとりが使える範囲を業務に必要な分だけに絞ることが重要です。管理者権限は日常業務用のアカウントと分け、使う人を限定します。入社・異動・退職のタイミングでアカウントの発行・権限変更・削除を行う手順を決め、退職者のアカウントが残ったままにならないよう定期的に点検しましょう。共用アカウントは原則として個人ごとのアカウントに切り替え、どうしても残す場合は利用者と変更のタイミングを記録します。

ステップ4：多要素認証とシステム側の対策を有効にする

メールやクラウドストレージ、社外から接続できるシステムなど、重要度の高いサービスから多要素認証を有効にします。あわせて、ログインの失敗が続いたときにアカウントをロックする、普段と違う場所からのログインを通知するといったシステム側の機能も確認しましょう。社員の努力に頼る部分を減らし、仕組みで守る範囲を広げることが、無理のない運用につながります。

ステップ5：研修で周知し、定期的に見直す

ポリシーを作ったら、全社員に内容と理由を伝えます。メールで規程を送るだけでは読まれないことが多いため、短時間の研修や理解度テストを組み合わせると効果的です。新入社員や中途入社者には入社時の研修に組み込み、既存社員には年に1回程度の受講を求めると、ルールが形骸化しにくくなります。国家サイバー統括室が公開している「インターネットの安全・安心ハンドブック」のような公的資料を教材として活用するのも一つの方法です。受講記録が残る仕組みを使えば、誰に周知が届いていないかも把握できます。従業員教育の進め方全般はDXセキュリティとは｜4つのリスク要因と対策、従業員教育の進め方で、クラウドサービスを使う側の責任範囲はSaaSセキュリティとは｜利用者の責任範囲とリスク・対策の基本で解説しています。

決めたパスワードのルールや、自社のシステムごとの設定手順を、自社の資料や動画をもとにした研修コースにまとめたい場合の一例が、Smart Boardingです。商品ページでは、社内独自の教育内容を学習プログラムにして属人化を防ぎ、教育を標準化できること、自社オリジナルのコースを作成して学習の進捗を管理できることが紹介されています。内定者・新人教育から管理職の育成まで幅広い場面で使われているため、入社時の研修にパスワードのルールを組み込む使い方もできます。一方で、情報セキュリティ専用のコースの記載は商品ページになく、電話・メールでの相談や教育プログラムの設計といった手厚いサポートは「充実サポートプラン」のみで利用できます。料金はプランによって異なるため、資料や公式サイトで確認してください。

【自社オリジナルコンテンツ】と【FCEプログラム】を活用した自社独自の学習コースを作成

Smart Boarding 導入事例(株式会社ミツハシ)の見出し 出典：導入事例ページ

よくある失敗パターン

パスワードルールの失敗の多くは、ルールの中身ではなく、ルールが社員に届いていないことから起きます。見直しで起こりがちな失敗と、その改善策を整理します。

よくある失敗	起こりやすい問題	改善の方向性
規程を厳しくしただけで終わる	社員が覚えきれず付箋メモや使い回しが増える	長さ重視のルールにし、管理ツールと多要素認証を併用する
定期変更を廃止したが漏えい時の手順がない	漏えいに気づいても誰も変更・報告しない	変更が必要な場面と報告先を規程に明記する
共用アカウントを放置する	退職者もログインでき、誰が操作したか追えない	個人アカウントへ切り替え、異動・退職時に権限を見直す
周知をメール1通で済ませる	ルールの存在や理由が伝わらず、守られない	研修と理解度テストで理由まで伝え、受講状況を記録する
一度決めたルールを見直さない	新しい攻撃手口や導入した新システムに合わなくなる	年1回など時期を決めて棚卸しとルールの点検を行う
生成ツールを確認せずに使う	作ったパスワードが外部に送られたり、平文で保存されたりする	使えるツールと保管先(管理ツール)を規程で指定する

組織全体のセキュリティ意識を底上げするには、パスワードに限らず、メールの添付ファイルや不審なリンクへの対応など、情報セキュリティ全般を継続して学べる環境を用意することが効果的です。研修で周知したあとに、理解できているかを小テストで確かめたい場合の一例が、SAKU-SAKU Testingです。CBT(コンピューターを使った試験)の技術を活かしたテスト機能が充実したeラーニングで、既存の設問と自社で作った設問を1つのテストにまとめられます。パソコン・スマートフォン・タブレットに対応し、ユーザーに管理者権限を付与して、部署やグループごとに管理の範囲を決められます。コンテンツには、コンプライアンス・ハラスメント・情報セキュリティをはじめとする階層別の研修が挙げられています。一方で、事務局の運営やカスタマーデスクを利用する場合はオプション扱いです。料金はプランによって異なるため、資料や公式サイトで確認してください。

よくある質問(FAQ)

Q1. パスワードは何文字以上で作ればよいですか？

A. 社内ルールでは12文字から15文字以上を目安にするのが現実的です。NISTのガイドライン(SP 800-63B Revision 4)は、パスワードだけで認証する場合は最低15文字、多要素認証の一部として使う場合は最低8文字を求めています。Googleアカウントのヘルプは12文字以上を案内しています。

Q2. パスワードの4桁の決め方は？

A. 4桁の数字は1万通りしかないため、スマートフォンの画面ロックなど、入力を間違えられる回数が制限される場面にとどめます。誕生日・電話番号の下4桁・「1234」のような連番や同じ数字の繰り返しを避け、自分に関係のない数字を選びます。インターネットのログインには長いパスワードを使います。

Q3. 8桁の数字だけのパスワードは安全ですか？

A. 安全とはいえません。数字だけの8桁は組み合わせが1億通りで、英小文字だけの8文字(約2,088億通り)にも及びません。ログイン用には英字を含めた12文字以上、できれば15文字以上にします。システムの仕様で数字8桁に制限される場合は、失敗回数の制限や多要素認証で守ります。

Q4. パスワードを生成するにはどうすればよいですか？

A. 管理ツールやブラウザの生成機能で、長さと文字種を指定してランダムな文字列を作り、そのまま管理ツールに保存します。無料の生成ツールを使う場合は、ブラウザ内で生成が完結し、作った文字列を外部に送らないことを確認します。覚える必要があるものは、無関係な単語をつなげたパスフレーズにします。

Q5. Gmail(Googleアカウント)のパスワードはどうやって作ればよいですか？

A. Googleアカウントのヘルプは、12文字以上の長いパスワードを案内しています。名前・誕生日などの個人情報、よくある単語、「1234」や「qwerty」のような並びは避け、メールなど重要なアカウントでは別々のパスワードにします。覚えきれない場合はパスワードマネージャーを使い、多要素認証もあわせて設定します。

Q6. 会社のパスワードルールを社員に浸透させるにはどうすればよいですか？

A. 規程を配布するだけでなく、ルールの理由まで伝える研修や理解度テストを組み合わせるのが効果的です。入社時と年1回程度の受講を求め、受講記録を残すと、周知が届いていない社員も把握できます。ルールの数を増やしすぎず、守れる水準にすることも大切です。

まとめ

パスワード作成のルールは、「複雑にして頻繁に変える」から「長くして使い回さず、仕組みで守る」へと考え方が変わっています。本記事のポイントを整理します。

1. パスワードは文字種の複雑さより長さを重視し、12文字から15文字以上を目安にする。数字だけの4桁・8桁はログイン用に使わない
2. 生成ツールは、ブラウザ内で生成が完結し、作った文字列を外部に送らないものを選び、管理ツールに保存する
3. よく使われる文字列や個人情報を避け、サービスごとに別のパスワードにする
4. 漏えいの兆候がない定期変更は求めず、漏えいの疑いがあるときの変更手順を定め、管理ツールと多要素認証を併用する
5. ルールの理由まで全員に伝えて定着させるため、eラーニングなどの研修の資料を請求して比較する

まずは社内のアカウントとパスワードの実態を棚卸しし、守れるルールに見直すところから始めてみてください。

参考文献

• 総務省「国民のためのサイバーセキュリティサイト｜安全なパスワードの設定・管理」https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/business/staff/06/
• 国家サイバー統括室「インターネットの安全・安心ハンドブック」https://security-portal.cyber.go.jp/guidance/handbook.html
• NIST「SP 800-63B Digital Identity Guidelines: Authentication and Authenticator Management(Revision 4)」https://pages.nist.gov/800-63-4/sp800-63b.html
• Googleアカウントヘルプ「強力なパスワードを作成して安全に管理する」https://support.google.com/accounts/answer/32040?hl=ja