先に結論
普通のユーザーアカウントに対し、全員へ一律・固定周期で手作業の変更を求める方法は、万能な対策ではありません。
パスワードが漏れた、共有した、不審なログインがあったなどのリスクを検知した時点で変更し、既存セッションも失効させる運用が重要です。ただし、組織が定期変更をやめる場合は、MFA、漏えいパスワードの拒否、異常検知、セッション失効、復旧手順を一緒に整える必要があります。
なぜ「定期的に変える」が広く使われてきたのか
考え方は単純です。攻撃者がパスワードを盗んでも、次の強制変更で古いパスワードが使えなくなれば、悪用できる期間を短くできる可能性があります。この考え自体が常に誤りというわけではありません。
問題は、効果が出るまでに複数の条件が必要なことです。攻撃者がまだ使っていないこと、組織が漏えいに気づいていないこと、すでにログイン状態を維持していないこと、そして新しいパスワードが古いものから予測できないことが同時に求められます。
攻撃のタイミングで効果が変わる
すぐ使われる
効果はごく限定的
次の変更日を待つ前に不正ログインされます。変更しても、すでに行われたアクセスは取り消せません。
しばらく保管される
条件付きで一部有効
盗まれてから初回利用までの間に変更でき、新しいパスワードを予測されなければ、旧パスワードを無効化できます。
セッションを奪われる
パスワード変更だけでは不足
ログイン済みセッションや更新トークンが残る設計では、パスワードを変えてもアクセスが続く場合があります。
つまり、定期変更が狙っているのは主に「盗まれたものの、まだ使われていないパスワード」です。フィッシング直後の悪用、キーロガー、オンライン推測、脆弱なパスワード保存、奪われたセッションには、それぞれ別の対策が必要です。
手作業の変更が新しい弱点を作ることもある
頻繁な変更を求められたユーザーは、覚えやすくするために末尾の数字だけを増やす、記号を置き換えるといった変更を行うことがあります。過去のパスワードを分析した研究では、古いパスワードを知る攻撃者が、こうした変換パターンを新しいパスワードの推測に利用できる可能性が示されています。
これは、すべてのユーザーが必ず予測可能な変更をするという意味ではありません。パスワード管理アプリが毎回生成する長くランダムな値には、そのまま当てはめられません。問題は「変更した」という事実だけでは、新しい秘密が古い秘密から独立していると保証できないことです。
NIST・NCSC・Microsoftはどう変わったか
NIST
2025年に最終版となったNIST SP 800-63B-4は、パスワードを任意の周期で定期変更させない方針を示し、漏えいの証拠がある場合の変更、よく使われる・漏えい済みのパスワードを拒否するブロックリスト、失敗回数の制限などを重視しています。
英国NCSC
NCSCは、強制的な定期変更が予測可能な変更や書き留めを招き得るとして、以前から常規的な期限切れに反対しています。
Microsoft
Microsoftは2019年、Windowsのセキュリティベースラインから固定的なパスワード有効期限を外しました。これらは重要な政策変更ですが、あらゆる組織で同じ結果になることを証明する比較実験ではありません。自社の対象システム、規制、検知・対応能力を確認する必要があります。
個人ユーザーが優先したいこと
- サービスごとに異なるパスワードを使う。1件の漏えいが他サービスへ広がるのを防ぎます。
- 長くランダムなパスワードを管理アプリで生成・保存する。覚えるための規則的な変形を避けられます。
- MFAを有効にする。可能ならFIDO/WebAuthnなど、フィッシング耐性のある方法を優先します。
- 漏えい通知や不審なログインを確認したらすぐ変更する。同じパスワードを使い回していたサービスも確認します。
- 全端末からログアウトする。変更画面にセッション一括失効の選択肢があれば利用します。
新しいパスワードは、パスワード生成ツールで長さや文字種を指定して作成できます。現在のパスワードの弱点を確認する場合は、入力内容をブラウザ内だけで処理するパスワード強度診断を利用できます。
組織が定期変更を見直す前のチェック
次は、NIST、CISA、OWASPの公開資料と本記事の脅威モデルを組み合わせた実施上の確認項目です。単一の規格が全項目を一律に求めるという意味ではなく、適用範囲や既存の認証基盤に応じて評価してください。
- MFAが対象ユーザーと重要システムを十分にカバーしている
- よく使われるパスワードや漏えい済みパスワードを登録時・変更時に拒否できる
- ログイン試行を制限し、不審な場所・端末・行動を検知できる
- パスワード変更時に既存セッションと更新トークンを失効できる
- MFAとアカウント復旧手段の変更を監査し、乗っ取り時に復旧できる
- 漏えい、共有、誤送信、退職、権限変更などのイベントで変更を強制できる
これらに大きな不足がある組織では、定期変更を外すだけでは安全性が上がりません。現在のルールが実際に防いでいるリスクと運用負担を記録し、対象を限定した試行と監視を行うのが現実的です。
管理者・サービスアカウント・APIキーは別に考える
この記事の結論は、普通のユーザーが手作業で変更するアカウントを対象にしています。管理者アカウントには特権アクセス管理、強いMFA、一時的な権限付与、操作監査が必要です。サービスアカウント、APIキー、証明書などの機械用認証情報には、短い有効期間、自動ローテーション、依存先の更新、失効とロールバックを含む別のライフサイクル設計が必要です。
「ユーザーの定期変更は一律に不要」という結論を、機械用の秘密や高権限アカウントへそのまま広げないでください。
まとめ
パスワードの定期変更が役立つのは、盗まれたパスワードがまだ使われておらず、攻撃者がアクセスを維持しておらず、新しいパスワードも予測できないという狭い条件がそろった場合です。普通のユーザーアカウント全体へ同じ周期を課す根拠としては十分ではありません。
重要なのは、カレンダーの日付ではなくリスクに反応できることです。漏えい時の変更に加え、MFA、漏えいパスワードの拒否、異常検知、セッション失効、復旧手順を組み合わせてください。
この記事の調査範囲
本記事は、公的ガイド、標準の公開情報、プラットフォームのセキュリティ基準、査読研究を目的に沿って選び、攻撃のタイミングと証拠の限界を整理した解説です。システマティックレビューや独自の比較実験ではなく、個別組織の法令・規格適合性を判断するものでもありません。PCI DSSやISO/IEC 27002の適用は、最新版の原文、対象範囲、専門家の評価を確認してください。
参考資料
- NIST SP 800-63B-4（2025年最終版）
- 英国NCSC・The problems with forcing regular password expiry
- Microsoft・Windows 10 v1903 Security Baseline
- Zhang, Monrose, Reiter（2010）・The security of modern password expiration
- Chiasson, van Oorschot（2015）・Quantifying the security advantage of password expiration policies
- CISA・Use Strong Passwords
- CISA・Implementing Phishing-Resistant MFA
- OWASP・Authentication Cheat Sheet
- OWASP・Session Management Cheat Sheet
- OWASP・Forgot Password Cheat Sheet
著者・編集：passwordgenjp.com。公開資料の確認日：2026年7月21日。