企業初期パスワード管理完全ガイド：生成から配布までの安全実践

なぜ初期パスワード管理が重要なのか

初期パスワードの特殊性とリスク

初期パスワードは通常のユーザーパスワードと異なり、管理者が生成し配布するという特性を持ちます。これにより、以下の固有のリスクが発生します：

• 複数人が知りうる状態：生成者、配布担当者、受取者が同一のパスワードを知る期間が存在する
• 配布経路での漏洩リスク：メール、チャット、紙媒体など、配布方法によっては第三者の目に触れる可能性がある
• 使用開始までの時間差：配布から初回ログインまでの期間に不正利用されるリスク
• 未使用アカウントの放置：配布したが使用されなかったアカウントが不正アクセスの標的になる

想定すべき代表的な失敗

初期パスワード一覧をアクセス制御の弱い共有フォルダへ置く、本人確認せずにメールだけで配布する、未使用アカウントを期限なく残す、といった運用は漏洩や不正利用の経路になります。事例の有無を推測するのではなく、自組織の配布経路、閲覧権限、利用期限、再発行手続きを棚卸ししてください。

NISTの考え方を初期認証情報へ適用する際の注意

NIST標準の概要

NIST SP 800-63B-4は認証器、パスワード、検証器、アカウント回復などを扱います。パスワードを単一要素の認証に使う場合の最小長は15文字、多要素認証の一部としてのみ使う場合は8文字以上です。これは検証器に対する要件であり、初期パスワードの配布期限や監査ログの保持期間を定めるものではありません。対象システムと認証方式を確認してください（NIST SP 800-63B-4, Password Verifiers）。

初期パスワード運用の確認項目

公開ガイドラインを参照するメリットと限界

公開ガイドラインは設計レビューや監査資料の共通言語として役立ちます。ただし、参照しただけで法令、認証、保険、取引先要件への適合が保証されるわけではありません：

• 設計レビュー：生成、配布、失効、回復の抜けを確認しやすくする
• 監査準備：採用した統制と証跡を説明するための参考資料にする
• 適用範囲：契約、法令、認証、保険の要件はそれぞれの正式文書と専門家へ確認する

実務プロセス：7つのステップ

ステップ1：必要数の算出と生成

まず、対象者と必要なアカウント数を人事部門などの確定情報から確認します。余分な有効アカウントや配布されない初期パスワードを作らず、追加が必要な場合は承認済みの申請に応じて個別に生成します。

生成仕様の決定：

• 文字数：単一要素認証なら15文字以上、多要素認証の一部としてのみ使う場合は8文字以上（NIST SP 800-63B-4の検証器要件）。実際の長さは対象システムの制約と組織方針を確認
• 文字種：対象システムが受け付ける文字からランダムに選択。利用者が設定するパスワードに文字種の組み合わせを強制しない
• 除外文字：混同しやすい文字（I/l/1、O/0）は除外を検討
• 生成ツール：一括パスワード生成ツールを使用

ステップ2：配布リストの作成と保護

生成したパスワードを配布リストに記録する際、以下の項目を含めます：

ユーザーID, 氏名, 所属部署, 初期パスワード, 配布日, 初回ログイン期限, ステータス
emp001, 山田太郎, 営業部, Xk9#mP2vQ5nA, 2026-04-01, 2026-04-08, 未使用
emp002, 佐藤花子, 開発部, Lp4@rT8wE3bF, 2026-04-01, 2026-04-08, 未使用

配布リストの保護例：

• 必要な場合のみファイルを作成し、暗号化とアクセス制御を併用する。ファイルのパスワード設定だけに依存しない
• ファイル名に日付と管理番号を含める（例：initial_pwd_20260401_v1.xlsx）
• アクセス権限を管理者と配布担当者のみに限定
• 保存場所は暗号化されたフォルダまたはパスワードマネージャーのセキュアボールト
• 配布・初回変更が済み不要になった平文リストは、組織の保管・削除方針に沿って速やかに削除し、秘密を含まない削除記録を残す

ステップ3：安全な配布方法の選択

配布方法は組織の規模とセキュリティ要件により選択します：

小規模組織（10名以下）

• 対面配布：印刷した用紙を封筒に入れ、本人確認後に手渡し。受領サインを記録。
• メリット：最も確実な本人確認、第三者の介入リスクが最小
• デメリット：リモートワーク環境では実施困難

中規模組織（10〜100名）

• 本人確認済みの配布：個人ごとのアクセス権を設定した管理ポータルやパスワード管理ツールの共有機能で交付。受取人は事前に登録した手段で本人確認する
• メリット：リモート対応ができ、権限の回収や配布記録の管理もしやすい
• 注意点：暗号化ZIPをメールで送り、解凍パスワードをSMSで知らせる方法も、誤送信・端末侵害・転送のリスクが残るため標準の配布経路にしない。PPAP問題の解説も参照

大規模組織（100名以上）

• パスワード管理ツール経由：1PasswordやBitwardenのビジネスプランで共有Vaultを使用
• メリット：配布・失効・監査ログが一元管理可能、アクセス権限の細かい制御
• 確認事項：利用者ごとの権限、共有期限、閲覧履歴、未受領時の回収方法を確認する

ステップ4：初回ログイン時の変更強制

管理者が初期パスワードを知りうる場合は、初回ログイン時に変更を要求し、変更完了まで通常機能へのアクセスを制限します。次は概念的な実装例です：

-- データベーススキーマ例
CREATE TABLE users (
  user_id VARCHAR(50) PRIMARY KEY,
  password_hash VARCHAR(255) NOT NULL,
  is_initial_password BOOLEAN NOT NULL DEFAULT TRUE,
  initial_password_expires_at TIMESTAMP NOT NULL,
  account_status VARCHAR(20) NOT NULL DEFAULT 'ACTIVE',
  suspension_reason VARCHAR(100) NULL,
  password_changed_at TIMESTAMP NULL,
  last_login_at TIMESTAMP NULL
);

-- password_hashには平文ではなく適切なパスワードハッシュを保存
-- 初回ログイン判定ロジック（擬似コード）
IF user.account_status != 'ACTIVE' THEN
  DENY login
ELSE IF user.is_initial_password = TRUE THEN
  IF user.initial_password_expires_at <= CURRENT_TIMESTAMP THEN
    DENY login AND REQUIRE reissue
  END IF
  REDIRECT TO password_change_page
  BLOCK access to main_application
  ALLOW access to password_change_function ONLY
END IF

ステップ5：有効期限の設定と未使用アカウントの失効

初期パスワードの有効期限は、配布方法、入社日、業務上の待機期間、再発行体制に応じて組織が決めます。以下の7日間は運用例であり、NIST等が一律に求める期間ではありません：

• 3日目：未ログインユーザーにリマインダーメール送信
• 6日目：最終リマインダー + 上長への通知
• 期限到来時：未変更の初期パスワードを失効させ、必要に応じてアカウントを一時停止
• 再発行：組織で定めた本人確認と承認を経て、新しい初期パスワードを再発行

初期パスワードの有効期限をアカウントごとに保存した場合のSQL例（実際の配布・有効化時点に合わせて期限を設定し、日次バッチで実行）：

-- 期限が到来した未変更の初期パスワードだけを停止
UPDATE users
SET account_status = 'SUSPENDED',
    suspension_reason = 'Initial password expired'
WHERE account_status = 'ACTIVE'
  AND is_initial_password = TRUE
  AND password_changed_at IS NULL
  AND initial_password_expires_at <= CURRENT_TIMESTAMP;

ステップ6：配布記録とアクセスログの監査

監査に必要な記録と保持期間は、適用法令・契約・組織の保存方針に合わせて決めます。1年間を一律の必須期間とはせず、パスワードそのものを監査ログに残さないでください：

• 配布日時、配布方法、配布担当者
• 初回ログイン日時、ログインIPアドレス
• パスワード変更日時（変更前後のパスワードは記録しない）
• 失効処理日時、失効理由

監査ダッシュボードで以下のメトリクスを可視化することを推奨します：

• 初回ログイン完了率（組織で定めた期限まで）
• パスワード変更完了率
• 失効アカウント数と失効理由の内訳
• 再発行依頼件数とその理由

ステップ7：配布リストの完全削除

配布リストが不要になったら、未受領・失効・再発行の状況を確認したうえで、組織の保存・削除方針に沿って平文の秘密を削除します：

• 暗号化ファイルの削除（ゴミ箱からも完全削除）
• バックアップの保存期間と削除・失効手順を確認
• 承認された配布経路以外に秘密の複製を作らない
• 印刷物のシュレッダー処理（クロスカット以上）
• 削除作業の実施記録を監査ログに記録

組織の運用方針に照らした確認項目

次の項目は本ガイドから整理した実務用チェックリストです。IPA「システム管理基準」の条番号や必須要件を引用したものではありません。採用する統制と記録の範囲は、対象システムの仕様と自組織に適用される正式な規程で確認してください。

• 対象者を確定し、アカウントごとに異なる初期パスワードを発行したか
• 単一要素・多要素の区別に応じた長さを検証器で受け付けるか
• 本人確認済みの受取人だけが配布情報を閲覧できるか
• 初回変更まで通常機能へのアクセスを制限するか
• 期限切れや未受領時の失効・再発行手順を定めたか
• 配布状況の記録と平文リストの削除手順を定めたか

よくある間違いと改善策

× 間違い1：全員に同じ初期パスワードを設定

リスク：一人のパスワードが漏洩すると、全アカウントが危険にさらされる

改善策：必ずユーザーごとに異なるランダムパスワードを生成する

× 間違い2：メールで平文のパスワードを送信

リスク：メールサーバー、ネットワーク経路、受信者のメールボックスが侵害された場合に漏洩

改善策：本人確認後、個別の権限と期限を設定した管理ポータルまたはパスワード管理ツールの共有機能で交付

× 間違い3：初回変更を「推奨」にとどめる

リスク：ユーザーが変更を怠り、管理者が知る初期パスワードが長期間使用される

改善策：システムで強制的にパスワード変更画面にリダイレクトし、変更完了まで他の機能を使用不可にする

× 間違い4：配布リストを社内共有フォルダに放置

リスク：権限外の従業員、退職者、外部委託先がアクセス可能になる

改善策：アクセス権限を厳格に制限し、使用後は速やかに削除。削除前はパスワード保護 + 暗号化フォルダに保存

× 間違い5：有効期限を設定しない

リスク：配布から数ヶ月後に初回ログインされ、その間に漏洩していた場合に被害が拡大

改善策：業務に合った有効期限を定め、期限切れ後は未変更の初期パスワードを失効。再発行時は本人確認を実施

まとめ：安全な初期パスワード管理の実践

企業の初期パスワード管理は、単に「ランダムな文字列を配る」だけでは不十分です。NISTの公開ガイドラインの適用範囲を確認しつつ、生成・本人確認・配布・初回変更・失効管理・監査記録を対象システムに合わせて設計してください。

本ガイドで紹介した7つのステップを実践することで、以下の効果が期待できます：

• 初期パスワード起因のセキュリティインシデントの大幅な削減
• 監査・コンプライアンス対応の証跡確保
• 新入社員のオンボーディング体験の向上（スムーズな初回ログイン）
• 管理者の運用負荷軽減（自動化による）