# パスワードはどのくらいで変えるべきか——理由があるときだけ > ほとんど誰も言わない答えがある。カレンダーで変える必要はない。何かが起きたときに変えるのだ。その「何か」に当たるものの一覧と、残りの時間——つまりほぼいつも——に何をすべきか。 2026-09-02 · David Carrero · password.es Original: https://password.es/ja/blog/password-wa-dono-kurai-de-kaeru-beki-ka/ --- 先に結論から言おう。答えは短いのに、丸ごと言われることがほとんどないからだ。 **理由があるときに。九十日ごとにではない。** カレンダーで変える習慣は体に染みついていて、歯を磨くのと同じ衛生習慣のように 感じられる。だがそれは賞味期限つきの勧告で、期限はもう切れている。米国のNISTが 2003年に書き、2017年に撤回し、その文書の著者は同じ年に公の場で謝罪した。この 経緯は[パスワードとは何か](/ja/blog/password-toha/)で丸ごと語っている。ここで 問題にしたいのはもう一方、ほとんど説明されない側だ。**あなたが今日、自分の パスワードに対して何をするか。** ## カレンダーは、あなたが何か盗まれたかどうかを知らない 日付で回すことの問題は、日付が何の情報も持っていないことにある。 誰かが二月の火曜日にあなたのパスワードを手に入れていたなら、期日だからと四月 一日に変えるのは、その相手に一か月半以上のアクセスを贈るのと同じだ。そして誰も 触れていなかったのなら、変えたことは何からも守っていない。良いパスワードを、 おそらくもっと悪いものに取り替えただけである。義務で書かされるパスワードは、 気のない書き方をされるからだ。 失敗の仕組みはここに全部ある。**強制的なローテーションは新しいパスワードを生ま ない。変種を生む。** `Natsu2026!` は `Aki2026!` になり、次は `Fuyu2026!` になる。 攻撃する側はそれを知っている。その並びは、出どころの壁掛けカレンダーと同じくらい 予測できるからだ。システムは満足する——パスワードは「変わった」——のに、実際の 安全性は上がるどころか下がっている。 だからNISTは**SP 800-63B**で二つを一緒に言う。時間を理由にした恣意的な変更は するな、そして**侵害の兆候があればただちに変更を強制せよ**、と。変えることが どうでもいいという話ではない。引き金は日付ではなく事実でなければならない、と いう話である。 ## 本当に数えるべき理由 これがその一覧だ。次のどれかが起きたなら、パスワードは来月ではなく今日変える。 - **流出に出てきた。** そのサービス自身の流出でも、同じものを使っていた別の サービスの流出でも。 - **使い回していた。** `X` が流出し、それを他の四つのサイトにも置いているなら、 変えるパスワードは一つではなく五つある。 - **そのサイトではなかったサイトに入力した。** 急かすメール、リンク、よく似た フォーム。二秒後に気づいたかどうかは関係ない。送信はもう済んでいる。 - **共有した。** 家族に、同僚に、仕事のチャットに、紙に。誰が読むかを自分で 管理できない経路を通ったパスワードは、もうあなたのものではない。 - **おかしな動きが見える。** 行ったことのない場所からのログイン、頼んでいない 再設定メール、書いた覚えのない送信済みメッセージ。 - **端末が侵害された。** マルウェアの入ったパソコン、なくした携帯、見知らぬ 修理業者を経由したノートパソコン。 - **サービスから警告が来た。** 企業がそのメールを送ってきたら、その日のうちに 対応する。まさにSP 800-63Bが想定している場合だ。 - **同居が終わった。** 元パートナー、シェアハウス、共同経営者。二人のものだった アカウントが、いま一人のものになった。 共通点に注目してほしい。**どれも事実である。** 「九十日たった」というものは一つ もない。 最初の一つには道具がある。あるパスワードがすでに出回っている一覧に載っているか、 ついでにどれくらい持ちこたえるかを知りたければ、 [パスワードチェッカー](/ja/checker/)に通してほしい。解析はあなたのブラウザの中で 行われ、そこから外には出ない。 ## 理由があるときは、順番が効いてくる パスワードを変えるのは当然の一手だが、多くの場合それは最初の一手ではない。同じ 作業を二度しなくて済む順番はこうだ。 **まず端末。** 打鍵を読み取る何かが仕込まれている疑いがあるなら、その同じ機械 からパスワードを変えることは、新しいほうを手渡すのに等しい。先に掃除するか、 別の端末を使うこと。 **次にメール。** メールのアカウントは数あるうちの一つではない。他のすべての 「パスワードを忘れた」リンクを受け取るアカウントである。メールを握る者は、 残り全部を正面玄関から握る。始めるパスワードが一つだけなら、それだ。 **続いて、開いているセッションを閉じる。** パスワードを変えても、すでに中に いる者が必ず追い出されるわけではない。アカウント設定で「すべての端末から ログアウト」に当たる項目を探して使う。そうしないと、侵入者はあなたのパスワードを もう必要としないセッションでつながったままになる。 **そして最後に、何を仕込まれたかを確認する。** ここがいちばん飛ばされる段階だ。 アカウントに入った者は眺めるだけでは終わらない。復旧用のメールアドレスを変え、 電話番号を足し、自分の二要素を有効にし、アプリを接続し、受信箱に転送ルールを 仕込む。**パスワードを変えてもそこを見なければ、開いたままの扉から明日また 入ってくる。** 復旧手段、承認済み端末、接続済みアプリ、転送ルールを見直すこと。 もう一つ、当たり前すぎるがゆえにいちばん守られないこと。変えるなら、新しいものは **新しく**なければならない。いつものものの数字違いではだめだ。 [ジェネレーター](/ja/)で生成し、自分の記憶に頼らない場所に保管する。 ## 残り三百六十日に何をするか 引き金が事実であり、その事実がまれなのだとしたら、問いは別のものになる。では 何もしなくていいのか。逆である。ローテーションが下手に解こうとしていたことは、 四つのことでうまく解ける。しかもどれも一度きりで済む。 **長くする。** SP 800-63Bは、ひねりよりも長さを前に置く。長いパスワードは、記号 を詰め込んだ短いものより価値がある。仕事の大半はここにある。 **サイトごとに違うものにする。** 他人の流出を火事ではなく小さな事故に変えるのは これだ。アカウントごとに固有なら、一つ漏れても他には及ばない。使い回していれば、 使った覚えすらないサービスがあなたの銀行の安全性を決めることになる。 **流出一覧と照合する。** これこそNISTが行った置き換えである。記号を要求する 代わりに、あなたのパスワードがすでに出回っていないかを確かめる。この確認は確かに 期限切れになる——今日一覧にないパスワードが来年は載っているかもしれない——。だから 良い管理ソフトはこれを自分で繰り返し、あなたに知らせる。 **できる場所には二要素を。** 二要素が入っていれば、盗まれたパスワードは鍵で あることをやめ、半分の鍵になる。 この四つが揃うと、ローテーションが一度もできなかったことができる。**理由がある その瞬間にパスワードを変える。理由があると知ることができるからだ。** 一覧を見張る 管理ソフトは警報装置である。カレンダーは何も知らせない。ただ過ぎていくだけだ。 ## 会社が九十日ごとに強制してくる場合 よくある。十五年前に書かれ、その後だれも開いていない規程があるからだ。二つ。 一つめ、実務として。変えなければならないなら、**本当に変える**。まるごと新しい ものを生成して管理ソフトに入れる。季節ごとの変種は、変えないことより悪い唯一の 選択肢だ。何かをやった気にさせてしまうからである。 二つめ、規程を動かせる立場の人へ。論拠を考え出す必要はない。**SP 800-63B**に 書いてある。NISTの公式ガイドラインであり、パスワードの定期変更を要求すべきでは なく、侵害の兆候があるときには変更を強制すべきだと明記されている。今日なお 九十日ルールを維持している組織は、それを出した当の機関が何年も前に差し替えた 文書に従っている。 ## 短い答え、もう一度 パスワードはどのくらいで変えるべきか。**何かが起きたときに。** そして「何かが起きたとき」は、起きたと知ることができて初めて機能する。だから 長い答えはこうなる。すべてのパスワードを、長く、別々に、見張られた状態にして おくこと。そうすれば、変えるべき日が来たとき、あなたはそれを知り、対象は一つ だけで、二分で終わる。 それ以外は、安心したいがためにカレンダーの升目に印をつけているだけである。 --- *出典：NIST SP 800-63「Electronic Authentication Guideline」（2003年）、構成規則と 定期変更が現れる文書 · NIST SP 800-63B「Digital Identity Guidelines: Authentication and Lifecycle Management」（2017年）：複雑さより長さ、恣意的な定期 変更なし、侵害の兆候があるときの強制変更、流出パスワード一覧との照合 · 2003年の ガイドラインの著者ビル・バーが2017年8月にウォール・ストリート・ジャーナルへ語った 発言。*