NIST SP 800-63B Rev 4を考える: 長いパスワードを、安全に運用するために

2026-02-12

2025年7月、NISTはデジタルアイデンティティガイドラインの最新版である「NIST SP 800-63 Revision 4」を正式公開しました。

そのうち「SP 800-63B-4」は、認証と認証器（Authenticator）の管理について定めたガイドラインです。パスワード、OTP、セキュリティキー、パスキーなどとその組み合わせについて、認証保証レベル（AAL）に応じた要求事項を整理しています。

近年、NIST SP 800-63B-4 が公表され、「複雑なパスワードは不要になった」「パスフレーズが推奨されるようになった」といった点が注目されることが増えました。

わたしたちZUNDAは、この一連の要件は、「現実的に運用できるパスワード」を重視する方向へ舵を切ったものだと捉えています。

この記事では、NIST SP 800-63B-4の内容を読み解き、企業の認証情報管理について考えていきます。

1. NISTは「複雑なパスワードを作れ」とはもう言っていない

従来、多くの組織では、次のようなパスワードポリシーが採用されてきました。

大文字、小文字、数字、記号をすべて含める
一定期間ごとに変更する
コピー＆ペーストを禁止する

しかし、最新版のNIST SP 800-63B-4では、パスワードを受け付けるサービス提供者に対し、主に次のような要件を示しています。

パスワードの長さ

パスワードのみで認証する場合は最低15文字
MFAの一要素として利用する場合は最低8文字
少なくとも64文字まで設定可能とする

パスワードの設定・変更

文字種の組み合わせを強制しない
理由のない定期変更を要求しない
漏えい済み・一般的・推測されやすいパスワードを拒否する

入力・認証処理

オンライン試行回数を制限する
パスワードマネージャーや自動入力を妨げない
パスワードの貼り付けを許可する

ここから読み取れるのは、NISTは「複雑なパスワード」よりも、「長く、現実的に運用できるパスワード」を重視する方向へ舵を切っているということだと、わたしたちZUNDAは考えています。

そこで、人間が覚える必要があるのであれば、単語や文章などを組み合わせた、長さを確保しながら記憶しやすくできる、いわゆる、パスフレーズも有効です。

しかし、企業の認証を考えると、話はそれだけでは終わりません。

パスワードそのものをどう作るかだけではなく、サービスごとに異なる認証情報を、どう管理し、どう安全に運用するかも考える必要があります。

2. 企業では、多数のパスワードを安全に運用しなければならない

企業では、一人の利用者が数十のシステムやSaaSを利用することも珍しくありません。

一人の利用者だけでも、サービスごとに異なるパスワードを管理し続けるのは大変です。十分な長さを確保し、漏えい時に個別に変更するとなれば、その負担はさらに大きくなります。

また、企業では、共有アカウントや管理者アカウントの管理、入社・異動・退職に伴う権限変更、委託先へのアクセス権の付与や回収など、組織として考えなければならない運用上の課題も数多くあります。

人間の記憶だけに頼った運用は現実的ではありません。同じパスワードを使い回したり、サービス名や年号だけを変えて使い分けたり、メモや表計算へ保存したりと、運用を続けるための「工夫」が、結果としてセキュリティリスクになってしまいます。

長いパスワードやパスフレーズは、一つのパスワードを作成する考え方です。しかし、企業が直面する「多数の認証情報をどう安全に管理し、運用するか」という課題は、それとは別に考える必要があります。

3. なぜNISTは自動入力を妨げてはならないとするのか

NIST SP 800-63B-4は、サービス提供者に対して、パスワードマネージャーと自動入力を許可することを必須要件としています。

Verifiers SHALL allow the use of password managers and autofill functionality.
「サービス提供者は、利用者がパスワードマネージャーや自動入力機能を利用できるようにしなければなりません。」

また、自動入力が利用できない場面に備えて、貼り付けも許可すべきとしています。

さらに、

Password managers have been shown to increase the likelihood that subscribers will choose stronger passwords, particularly if the password managers include password generators.
「パスワードマネージャーは、利用者がより強力なパスワードを選択する可能性を高めることが示されています。特に、パスワード生成機能を備えている場合、その傾向はより顕著です。」

と説明しています。

ここで私たちが重要だと考えているのは、NISTが「長いパスワードを使いましょう」「推測されにくくしましょう」で終わらせていない点です。十分に長く、サービスごとに異なるパスワードを利用するのであれば、それを現実的に運用できる仕組みも必要になるはずです。

わたしたちは、この一連の要件は「長いパスワードを設定すること」だけでなく、「それを現実的に運用できること」まで含めて考えられていると理解しています。

4. パスワードマネージャーが解決できること

わたしたちZUNDAは、パスワードマネージャーを「パスワードを覚えるためのツール」ではなく、「組織として認証情報を安全に運用するための基盤」の一つだと考えています。

そのため、多くの法人向け製品には、単なる保存機能だけでなく、運用を支えるさまざまな機能が備わっています。代表的なものを見てみましょう。

サービスごとに強いパスワードを生成する

サービスごとに、十分な長さを持つランダムなパスワードを生成できます。利用者自身が文字列を考える必要がないため、推測されやすいパスワードや使い回しを減らせます。

認証情報を安全に保存する

サービスごとに異なる認証情報を一元的に保管できます。長いパスワードを記憶する必要がなくなり、サービスごとの使い分けもしやすくなります。

自動入力する

保存した認証情報を自動入力できます。長くランダムなパスワードでも、利用者が毎回手入力する必要はありません。また、URLに応じたパスワードを自動入力するので、フィッシング詐欺に一定の効果があります。

組織で共有・管理する

法人向けのパスワードマネージャーでは、共有アカウントや管理者アカウントを安全に共有できます。

また、製品によりますが、入社・異動・退職に合わせてアクセス権を管理したり、弱いパスワードや使い回しを検出する機能も備えています。

さらに、これも製品によりますが、パスワードと併せてMFAの認証器やパスキーもセットで共有できる機能を備えていることも特長と言えます。

漏えいした認証情報を検知する

製品によっては、保存しているパスワードが既知の情報漏えいに含まれていないかを確認し、危険な認証情報を利用者や管理者へ通知できます。

もちろん、パスワードマネージャーだけで認証の課題がすべて解決するわけではありません。しかし、パスワードを利用せざるを得ないサービスについては、人間の記憶だけに頼らず、安全に運用するための基盤として有効な選択肢の一つです。

4. 覚える秘密を減らす認証設計へ

そもそも、企業が目指すべきなのは、社員が覚え、管理しなければならない秘密情報を減らすことです。

例えば、

SSOやIdP統合でパスワードそのものを減らす
パスキーへ移行する
MFAを利用する
残るパスワードをパスワードマネージャーで管理する
条件付きのアクセス制御や端末管理を組み合わせる

といった方法があります。

SSOやパスキーは、パスワードそのものを減らします。

パスワードマネージャーは、残るパスワードを安全に運用します。

パスフレーズは、人が覚えるパスワードを改善します。

どれか一つが正解ではありません。

「どのようなパスワードを設定するか」という話は、すでに終わっています。その先の「認証情報の管理・運用をどうするか」が、現在のサイバーセキュリティにおける命題の一つになっています。

企業が守るべきなのは、パスワードそのものではありません。

利用するサービス、端末の管理状態、認証方式、アクセス制御、そして日々の運用。それぞれを組み合わせながら、認証基盤全体を設計することが重要です。

パスワード管理とID認証の最適化、ZUNDAにお任せください

ZUNDAでは、Keeperをはじめとするパスワードマネージャーの導入だけでなく、Google WorkspaceやMicrosoft Entra IDを利用したIdP統合、SSO、端末管理、条件付きアクセス、SaaSの認証整理まで含めてご支援しています。

Keeper の国内屈指のパートナー: 日本国内で豊富な導入実績を持つ法人向けパスワードマネージャー「Keeper」 の正規パートナーとして、セキュアなパスワード管理環境の構築を支援します。
IDaaS連携の豊富な知見: Microsoft Entra ID や Okta の導入・運用経験も豊富です。Keeper とこれらの IDaaS を連携させ、管理の集約化と高度なガバナンスを同時に実現します。
「パスワードをなくす」アプローチ: パスワードマネージャーによる管理の徹底はもちろん、シングルサインオン (SSO) やパスキーを活用し、最終的に「ユーザーにパスワードを意識させない (認証の簡略化)」という一歩進んだ解決策もご提案可能です。
規模を問わない柔軟なアドバイス: スタートアップから大規模なエンタープライズまで、組織のフェーズや現在のシステム構成に合わせた現実的かつ効果的なアドバイスを行います。

認証基盤やパスワード運用の見直しをご検討の際は、お気軽にご相談ください。