今回紹介するのは、「NIST SP 800-63B」と呼ばれる文書です。これは米国国立標準技術研究所（NIST）が発行する「デジタルアイデンティティガイドライン」の一部で、ユーザー認証の要件を定義しています。2025年8月にアップデートされ、最新のパスキー対応が追加されるなど、まさに“旬”の資料となっています。

図1　NIST SP 800-63B（https://pages.nist.gov/800-63-4/sp800-63b.html）［クリックで拡大］ 出所：NIST

　この中から、今回は身近なパスワードに関するポイントを取り上げます。

定期変更も記号必須も過去のもの？　最新のパスワード要件

　NIST SP 800-63Bの「3.1.1.2 Password Verifiers」では、パスワードに関する最新の要件が記載されています。主な内容を要約すると、以下の通りです。

　文書では「SHALL」「SHALL NOT」という表現で、何をすべきか、何をしてはいけないかが明確に記されています。中でも目を引くのは、「定期的なパスワード変更を求めてはならない」という点です。最近では日本でも、「パスワードの定期変更はむしろ悪である」という認識が広まりつつあります。多くの方が実感していると思いますが、定期変更を強制すると、パスワードはどんどん推測可能な簡単なものに近づいていきます。例えば「Password1」といった、攻撃者の辞書に載っていそうなパスワードを使った経験はないでしょうか。このような安易なパスワードの使用を防ぐためにも、定期変更は行わない方が安全です。

　では、どのようなパスワードが“強い”のでしょうか。意外かもしれませんが、上記のルールの中には「記号や数字を少なくとも1つ入れる」という指示はありません。これも以前までのパスワード設定の定石でしたが、現在では複雑で覚えにくいため、必須とはされていません（もちろん、入れても構いません）。

　上記のルールを眺めてみると、“強いパスワードの条件”が見えてきます。実は、最新のパスワードでは、複雑さよりも“長さ”こそが重要な要素となっています。「多要素認証」を使っていないサービスでは、パスワードの長さを「15文字以上にする」ことが、最も重要なルールです。逆に言えば、これさえ守れば、それなりに強いパスワードの運用ができるのです。