パスワードの「定期的な変更」はなぜ不要になったのか？総務省・NISTの方針転換と新基準

かつて企業や学校、Webサービスでは「パスワードは3ヶ月に1回変更しましょう」といった定期的な変更が強く推奨されていました。

しかし現在では、米国の標準技術研究所（NIST）や日本の総務省もガイドラインを改定し、「流出が疑われる場合を除き、定期的な変更は不要」と方針を180度転換しています。

なぜ長年信じられてきたセキュリティの常識が覆されたのか、その背景にある人間心理の弊害と、現代におけるパスワード管理の基準について整理しました。

1. 定期変更を強制したことによる弊害

定期変更が推奨されなくなった最大の理由は、「頻繁に変更を強いると、かえってパスワードが脆弱になる」という逆転現象が実証されたためです。

単純なパターン化（インクリメント）：3ヶ月ごとに新しい文字列を覚える負担に耐えきれず、多くの人が「Password2026!」から「Password2026?」に変えたり、末尾の数字を「1→2→3」と増やすだけの安易な変更に頼るようになります。攻撃者側もこの傾向を熟知しているため、古いパスワードが分かれば次のパスワードを推測するのが極めて容易になってしまいます。
物理メモや平文保存への依存：記憶しきれなくなった結果、オフィスのモニターに付箋で貼り付けたり、スマートフォンのメモ帳に平文のまま書き残すなど、物理的な漏洩リスクを自ら作り出す行動につながっていました。
文字数の短小化：頻繁に入力し直す負担から、覚えやすい短めのパスワード（8文字程度）を設定しがちになり、総当たり攻撃（ブルートフォース攻撃）への耐性が下がっていました。

「定期的に変えさせること」そのものが、セキュリティ強度を落とす根本的な原因になっていたのが実態です。

この問題に対し、セキュリティ基準の国際的なデファクトスタンダードとなっている米NIST（国立標準技術研究所）が、ガイドライン『SP 800-63B』で明確な方針転換を打ち出しました。

米NIST（SP 800-63B）の指針：ユーザーに定期的な変更を強制すべきではない（定期変更の廃止）。また、大文字・小文字・数字・記号を無理に混ぜさせる複雑性ルールの強制も推奨しない。代わりに「十分な長さ（最低8文字、推奨12〜16文字以上）」を確保させ、過去に流出した既知の脆弱なパスワードを登録させないチェックを重視する。
総務省の対応：総務省の「国民のためのサイバーセキュリティサイト」においても指針が改定され、「パスワードの定期的な変更は不要」「流出が確認された場合のみ変更する」ことが明記されました。

現在では、国内外の公的機関において「無用な定期変更は行わず、強固なパスワードを長期間安全に維持する」という考え方が共通認識となっています。

定期変更が不要になった代わりに、現在求められているパスワード管理の基本は以下の通りです。

推測されにくい十分な長さを確保する：最低でも12文字以上、できれば16文字以上の長い文字列を設定する。近年の計算機の進化を考えると、「複雑な8文字」よりも「意味のないランダムな16文字」の方が圧倒的に突破されにくくなります。
パスワードの使い回しを完全に排除する：ある1つのサービスからID・パスワードが流出した際、他のサービスに不正ログインされる「パスワードリスト攻撃」が最も深刻な脅威です。サービスごとに必ず異なるパスワードを割り当てる必要があります。
パスワードマネージャーを活用する：人間が頭で何十個もの複雑・長文パスワードを覚えるのは不可能です。パスワード管理アプリ（Bitwardenや1Password、OS標準のキーチェーン等）を使ってランダム生成し、自動入力させるのが最も安全かつ現実的です。
2段階認証（2FA）やパスキーの導入：万が一パスワードが漏洩してもアカウントを守れるよう、認証アプリによるワンタイムパスワードや、指紋・顔認証でログインできる「パスキー（Passkeys）」を併用します。

これまでの運用ルールと、現在の推奨基準を整理すると以下のようになります。

※社内システムや金融機関などでいまだに定期変更が求められるケースがありますが、これはシステムの改修遅れや古い社内規定が残っていることによる例外的な運用です。

パスワードの定期変更が不要になったのは、「サボって良くなった」わけではなく、攻撃者の手口と人間の心理的限界を踏まえた合理的な防御策へのシフトです。

「3ヶ月ごとに変える労力」を手放し、そのぶん「パスワード管理ツールの導入」や「2段階認証の設定」にリソースを充てるのが、現代において最も堅牢なセキュリティ対策になります。