定期変更をやめたら、パスワードは何年も同じでよいですか？

経過日数だけで変更するのではなく、使い回しや漏えいの兆候、サービス側の指示を確認します。短く推測されやすいものや、他でも使っているものは、定期変更の時期を待たずに見直してください。

NISTは12文字と記号の混在を必須にしていますか？

現行版は、サービス提供者に対し、パスワードだけで認証する場合は最低15文字、多要素認証の一部として使う場合は最低8文字を求めています。一方、文字の種類を混在させるルールの強制は認めていません。8文字なら誰でも十分という利用者向けの保証ではありません。

個人の判断で会社の規定を無視せず、情報システム部門に相談してください。変更するときも、末尾の数字だけを変えたり、以前のパスワードに戻したりするのは避けます。

使い回しは避けてください。多要素認証は不正ログインの対策になりますが、すべての被害を防げる保証ではありません。パスワードと併せて、復旧用メールアドレスやバックアップコードの管理も必要です。

この記事の要点

漏えいの兆候がなければ、日数だけを理由に変更し続ける必要はありません。まず使い回しをやめ、長いパスワードと多要素認証を設定してください。会社やサービスの変更指示がある場合は、その手続きに従います。

どうする？編集部 · 最終更新 2026年10月3日 · 初出 2026年5月28日 · 読了約2分

「3か月たったから変更する」より先に確認したいのは、同じパスワードを別のサイトでも使っていないかです。使い回していると、一つのサービスで漏れた情報が別のアカウントでも悪用されるおそれがあります。

漏えいの兆候がなくても、使い回しや推測されやすいパスワードは見直してください。 そのうえで、サービスが対応していれば多要素認証を設定します。会社のシステムなど、変更を求める規定がある場合は個人で無視せず、担当部門へ相談してください。

NIST SP 800-63B-4は、主に認証の仕組みを作るサービス提供者向けの指針です。パスワードだけで認証する場合は最低15文字、多要素認証の一部としてのみ使う場合は最低8文字を要求しています。

一方、英大文字・小文字・数字・記号の混在を強制するルールや、日数だけを理由にした定期変更は認めていません。漏えいの証拠があれば変更を求めます。

これは「記号を使ってはいけない」「多要素認証なら8文字で十分」という意味ではありません。個人の設定では、サービスが許す範囲で長く、他で使わないものを選んでください。名前や誕生日、よく知られた例文をそのまま使うのは避けます。この記事に載ったパスワード例を実際の設定に使うことも勧めません。

すべてを覚えるのが難しければ、パスワードマネージャーの生成・保存機能を使う方法があります。選ぶときは、普段使う端末で使えるか、多要素認証に対応するか、端末を失くしたときにどう復旧するかを確認してください。

多要素認証を有効にしたら、バックアップコードや復旧用メールアドレスも確認します。コードを他人に渡したり、突然届いたメッセージの指示に従って入力したりしないでください。対応サービスではパスキーも選択肢ですが、導入しただけでアカウント全体のリスクがゼロになるわけではありません。

漏えいの通知や心当たりのないログインがあれば、日数に関係なく対応が必要です。

変更を何度も繰り返すこと自体を目標にせず、使い回しをなくし、不正利用に気づいたときに対応できる状態にしておくことが大切です。