あなたのパスワードポリシー、まだ8文字＋定期変更ですか？ NIST 800-63-4 の新常識2025

はじめに 「パスワードは8文字以上、記号を混ぜて、90日ごとに変更」——もしあなたの組織のポリシーがまだこれなら、いくつかはもう古い常識かもしれません。 システム管理者はもちろん、システムを利用するユーザーにも知っておいてほしい、パスワードに関する新常識 を、2025年に最終版が出た NIST のガイドラインをベースに紹介します。 本記事は、もともと筆者が LinkedIn に投稿した内容を Zenn へ移し、最新版（SP 800-63-4 final）の内容にあわせて再構成・ファクトチェックしたものです。 NIST SP 800-63 とは？ 正式名称は NIST Special Publication 800-63「Digital Identity Guidelines」です。最新版は Revision 4 で、2025年7月に最終版が公開されました。 これは、オンラインでの本人確認や

[tmatsuu]

パスワードを単独の要素として使うなら最低15文字、多要素認証と組み合わせるなら最低8文字。まぁ多要素認証と組み合わせるとしてもパスワードマネージャに記録する前提で15文字以上でいいでしょう。