【更新】当初「 2021年5月6日」に掲載されたこの記事は、「世界パスワードの日」についてより詳しく解説できるよう更新されました。 このイベントの基本的な内容は従来と変わりませんが、今回の更新版では、今日のデジタル環境において強力なパスワードセキュリティを維持するための最新技術やベストプラクティスについて、皆様の理解を深めていただけるよう、さらなる知見や詳細な解説を追加しております。
今日は「世界パスワードの日」です。この日は毎年5月の第1木曜日に制定されています。 この記念日は、個人や組織が、強固なパスワードを設定し、より良い習慣を身につけ、サイバーセキュリティのベストプラクティスに関する最新情報を常に把握することで、パスワードのセキュリティを積極的に向上させるよう促すものです。
この「世界パスワードデー」に際し、サイバーセキュリティの情勢が刻々と変化していること、そしてサイバー脅威から私たちのオンライン上の身元や個人アカウントを守る上で、堅固なパスワード管理が果たす役割について、改めて考えることが極めて重要です。
「世界パスワードデー」を記念して、この記念日についてさらに深く掘り下げ、パスワード管理の最新動向について議論しましょう。具体的には、最もよく使われているパスワードの分析、強固なパスワードの重要性、優れたパスワードの作成ポイント、そして今日から実践できるパスワード管理のベストプラクティスなどについて取り上げます。
パスワードを強化し、サイバーセキュリティ体制全体を向上させるための積極的な取り組みを行うことで、私たちは皆で協力して、すべての人にとってより安全なデジタル環境を築くことができます。
最も大切なものを守るために、引き続きサイバーセキュリティを最優先事項としていきましょう。
「世界パスワードの日」は誰が考案したのでしょうか？
2013 年にインテルによって制定された「世界パスワードの日」は、私たちのサイバーアイデンティティを守る「門番」のセキュリティ確保がいかに重要であるかを、毎年改めて認識させる日です。 この記念日が創設されて以来、独自の展開を見せており、何千人もの人々や、「National Cyber Security Awareness Alliance」のような団体、そして 、Google （新しいタブで開きます）、、 （の創設スポンサーでもある）といった大手テクノロジー企業が、強固なパスワードの作成方法やサイバーセキュリティ対策の向上に関するヒントを共有しています。また、FIDO Alliance （新しいタブで開きます）、、も同様の取り組みを行っています。
「世界パスワードの日」の変遷は、強固なサイバーセキュリティ対策の必要性に対する認識が高まっていることを反映しています。 当初は強固なパスワードの普及に重点が置かれていましたが、現在では、 多要素認証（MFA） （新しいタブで開きます） の重要性を強調するとともに、サイバーセキュリティのベストプラクティスに関する最新情報を常に把握することの重要性も訴えています。 この変化は、絶えず変化し続けるサイバー脅威の状況に適応するための継続的な取り組みと、デジタルセキュリティ対策の継続的な改善の必要性を浮き彫りにしています。
[関連記事：多要素認証は、その期待に応えているのでしょうか？] (新しいタブで開きます)
強力でユニークなパスワードの必要性が、これほどまでに重要になったことはかつてなかったことは明らかです。 しかし、依然として多くの人が、脆弱で推測されやすいパスワードを使い続けており、その結果、アカウントがサイバー脅威にさらされやすい状態になっています。
最もよく使われるパスワードについて詳しく見ていき、こうした選択がなぜ私たちのデジタルセキュリティに重大なリスクをもたらすのかを探ってみましょう。
最も一般的なパスワードは何でしょうか？
技術の進歩にもかかわらず、脆弱なパスワードは依然として重大なセキュリティ上の弱点となっています。 「Password1」のようなありふれたパスワードや、誕生日、ペットの名前、子供の名前、好きなスポーツチームなど、推測されやすい個人情報を使ったパスワードは、ソーシャルメディアのアカウントを監視してこうした情報を収集しているハッカーに簡単に見破られてしまいます。
さらに、よく使われるパスワードの多くは、依然として驚くほど単純なものです。 の「2025 Specops Breached Password Report」（ （新しいタブで開きます））によると、 2024 年に最も多く盗まれたパスワードには、123456、admin、passwordが含まれています。 また、この報告書では、多くのユーザーが「admin」や「welcome」といった単純な基本用語を使用する傾向があり、これらは辞書攻撃によって容易に悪用されやすいことも指摘されています。
[こちらもご覧ください：今すぐやめるべき、パスワードに関する4つのよくある間違い] (新しいタブで開きます)
一般的なパスワードに伴うリスクを理解し、パスワードの管理方法やポリシーを強化するための積極的な対策を講じることで、個人や組織は不正アクセスの発生確率を大幅に低減し、サイバーセキュリティ体制全体を強化することができます。
次のセクションでは、強固でユニークなパスワードを使用することの重要性、およびそれらがサイバーセキュリティ体制をいかに大幅に強化できるかについて解説します。
なぜ強固なパスワードを使用することが重要なのでしょうか？
サイバー脅威がますます巧妙化している現代において、たった1つのパスワードが漏洩するだけで、なりすまし、金銭的損失、機密データへの不正アクセスなど、甚大な被害を招く恐れがあります。
脆弱なパスワードに伴うリスクは広く知られているにもかかわらず、多くの人が依然としてそのようなパスワードを使い続けていたり、複数のアカウントで同じパスワードを再利用したりしています。 この慣行は、サイバー犯罪者に対する脆弱性を著しく高めてしまいます。
例えば、「solarwinds123」というパスワードを考えてみてください。これは、ネットワーク管理ソフトウェア企業SolarWindsの従業員が、セキュアなサーバーにアクセスするために設定したパスワードです。
その後の経緯はご存知の通りです。ハッカー が （新しいタブで開きます） に侵入し、米国史上最悪のサイバー攻撃の一つを仕掛け、300 社と9つの連邦機関を感染させ、$100 billion （新しいタブで開きます） もの復旧費用を発生させました。
「ハッカーは侵入するのではなく、ログインするのです。」IBM X-Force 2025 脅威インテリジェンス・インデックス
の「IBM X-Force 2025 Threat Intelligence Index」（ （新しいタブで開きます））によると、フィッシングメールを介した情報窃取型マルウェアの発生件数も、毎週 84％増加しているとのことです。 AIを活用してフィッシング攻撃の規模を拡大し、その効果を高めているサイバー犯罪者たちによって、情報窃取型マルウェアの増加が可能となり、その結果、数百万件もの盗まれた認証情報がダークウェブ上で出回ることになりました。
[関連記事：はい、ChatGPTはハッキングを加速させるでしょう――しかし、その対策にも役立つのです] (新しいタブで開きます)
デジタルアイデンティティや機密情報を保護するために、強固なパスワードの使用がなぜ重要なのかがわかったところで、皆さんはこうお考えになるかもしれません。「では、具体的にどのようなパスワードが、優れた強固なパスワードと言えるのでしょうか？」 では、自分のアカウントを効果的に保護できるパスワードを、どのように作成すればよいのでしょうか？
優れたパスワードの重要な特徴について見ていきましょう。安全かつ管理しやすいパスワードを作成するための実用的なヒントもご紹介します。
良いパスワードとはどのようなものでしょうか？
従来、パスワードのセキュリティを高めるには、数字や「#」、「@」、「&」などの英数字を含めるだけで十分だと考えられてきました。実際、一部のアプリケーションではそれが必須条件となっている場合もあります。
しかし、多くの人が気づいていないのは、複雑性の要件を満たしているパスワードであっても、流出したパスワードの既知のリストに含まれている場合は、依然として脆弱である可能性があるということです。
例えば、「P@ssw0rd!」のようなパスワードは 一見強固に見えますが、データ漏洩によって情報が流出してしまうと、単純なパスワードと同じくらい危険なものになってしまいます。 さらに、これらの文字を含めると、かえって不必要な複雑さをもたらすことになりかねません。
最悪の事態を想定し、 、「Have I Been Pwned」 （新しいタブで開きます）、、 などを確認して、企業のデータ漏洩事例や流出したメールアドレスのリストを確認しておくことをお勧めします。
では、なぜ複雑なパスワードを設定することが、セキュリティを確保するための最優先事項ではなくなったのでしょうか？
米国国立標準技術研究所（NIST）は先ごろ、パスワードのセキュリティに関する画期的な一連のガイドラインを発表し、従来の慣行からの転換を示しました。 これらの新しい推奨事項は、『 』（NIST特別刊行物 800-63B） （新しいタブで開きます） に詳述されており、サイバーセキュリティを強化しつつ、ユーザー体験を向上させることを目的としています。
[関連記事：パスワードのセキュリティに関する新しい考え方に、きっと驚かれることでしょう] (新しいタブで開きます)
NISTのアプローチにおける最も重要な変更点の1つは、パスワードの複雑さよりも長さを重視している点です。 大文字と小文字、数字、特殊文字を組み合わせるという従来の通説から一転し、NISTは現在、パスワードの強さを決定する重要な要素として、その長さを最優先しています。 （ただし、複雑さは、 のようなブルートフォース攻撃 （新しいタブで開きます） といった脅威を防ぐ上で、依然として重要な役割を果たす可能性があります。）
「パスワードは長いほど、一般的にセキュリティが高く、ユーザーにとっても覚えやすくなります。 私たちは、予測可能なパターンを生み出しがちな複雑なルールから離れ、ユニークで長いパスフレーズの使用を推奨する方向へと移行しています。1”NISTのサイバーセキュリティ専門家、ポール・ターナー博士
NISTは現在、パスワードの最小文字数を 8 文字とすることを推奨しており、それ以上の長さのパスワードを強く推奨しています。 パスフレーズに対応できるよう、組織にはパスワードの長さを少なくとも 64 文字まで許可することを推奨します。
もう一つの重要な更新として、NISTは、パスワードの定期的な変更を義務付ける要件を撤廃しました。 同研究所は、頻繁なパスワードのリセットは、パスワードの強度を低下させたり、予測可能な変更を招いたりすることが多く、その結果、不適切なパスワードの習慣を助長してしまうと指摘しています。 その代わり、パスワードは、不正アクセスされたという証拠がある場合にのみ変更すべきです。
「ユーザーに定期的なパスワードの変更を強制しても、セキュリティは向上せず、かえって逆効果になる可能性があります」とターナー氏は説明しました。 「認証情報の漏洩を監視し、必要な場合にのみ変更を求める方が効果的です。」
また、新しいガイドラインでは、よく使われるパスワードや漏洩したパスワードのリストと照らし合わせてパスワードを確認することの重要性も強調されています。 NISTは、各組織に対し、脆弱なパスワードの最新ブロックリストを維持し、ユーザーがリストに掲載されているパスワードを選択できないようにすることを推奨しています。
さらに、NISTは、パスワードのヒントや知識ベースの認証質問の使用を推奨していません。これらは、ソーシャルエンジニアリングやフィッシングによって、容易に推測されたり、特定されたりすることが多いためです。
[関連記事：Taniumの専門家が、パスワードに関するよくある誤解を解き明かす] (新しいタブで開きます)
NISTが策定したこの先見性のあるガイドラインは、パスワードのセキュリティをより強固かつユーザーフレンドリーにするための最新の技術革新を取り入れ、優れたパスワードの作成とは何かを再定義するものです。
パスワードのセキュリティを向上させるための主な方法
しかし、パスワードの安全性を高めるのは、パスワードの作成方法だけではありません。以下のような適切なセキュリティ習慣を実践することも、パスワードの安全性を向上させるのに役立ちます。具体的には：
パスワードの変更頻度は、増やすのではなく、減らしましょう
多くの組織では、従業員に対し、 30 日から45 日ごとにネットワークアクセス用のパスワードを変更するよう促しています。 しかし、この方法では、パスワードの変更に予測可能なパターンが生じる恐れがあるため、問題となる可能性があります。 例えば、ユーザーがパスワードを「 2024Yankees 」から「2025Yankees」に変更するだけの場合、セキュリティが大幅に向上するわけではありません。 ハッカーは、オンラインアカウントを監視したり、所属チームの情報を利用したりして、こうした設定の微調整を簡単に把握し、適切な組み合わせが見つかるまで試行錯誤を繰り返すことができます。
弱いパスワードを少しずつ変更するよりも、1つの強力なパスワードを作成して、それを守り続けるほうがよいでしょう。 ただし、例外があります。サーバーや、特権の高いアカウントを持つ他のユーザーを管理するシステム管理者のパスワードは、およそ1か月に1回変更する必要があります。
なぜですか？ システム管理者などのユーザーロールは、多くの場合、高い権限を持ち、重要なインフラへのアクセス権限を有しているため、そのアカウントはサイバー攻撃の主要な標的となります。 これらのパスワードを定期的に変更することで、不正アクセスや情報漏洩のリスクを軽減することができます。
実際、 において、マイクロソフトは (新しいタブで開きます) で、サイバーセキュリティに対する多層防御アプローチの一環として、特権アカウントでは高度に安全なパスワードを使用するだけでなく、認証情報の盗難リスクを低減するために定期的にパスワードを変更するよう求めるガイドラインを定めていることを説明しています。
パスワードマネージャーの使用は、今でもベストプラクティスと見なされていますか？
クリス・ハレンベック （新しいタブで開きます）、TaniumのCISOである同氏は、パスワードマネージャーはあらゆるアプリケーション用に暗号化されたパスワードを生成できる点で優れたツールである一方、それらにも強固なマスターパスワードが必要であると注意を促しています。
セキュリティ対策を多層的に構築しましょう
従来のセキュリティモデルは、安全な境界に依存しており、ネットワーク内のユーザーやデバイスを信頼しています。 しかし、このアプローチには限界があります。特に、 で取り上げられているような脅威の進化や、リモートワークの普及 (新しいタブで開きます) 、そしてクラウドコンピューティングの台頭といった状況においてはなおさらです。
こうしたセキュリティ上の脆弱性に対処するため、各組織では「最小権限の原則」に基づくアクセス制御や、 のゼロトラストアーキテクチャ (新しいタブで開きます) を採用し、より堅牢かつ適応性の高いセキュリティアプローチを実現することで、リソースへのアクセスが継続的に検証され、厳格に管理されるようにしています。
「最小権限の原則」という概念は単純明快です。従業員は、業務を行うために必要なアプリケーションやデータベースへのアクセスのみを持つべきです。 例えば、組織がクラウドに移行するにつれ、多くのシステム管理者にクラウド上のすべてのデータベースへのアクセス権を付与する傾向が見られます。 システム管理者が必要とするデータベースに基づいて、割り当てを分割するのが最善です。 そうすれば、万が一クラウドデータベースが侵害されたとしても、攻撃者が会社のすべてのシステムにアクセスすることはできなくなります。
ゼロトラストは、「決して信頼せず、常に検証する」という原則に基づいており、すべてのアクセス要求に対して継続的な認証と認可を必要とします。 このアプローチでは、脅威はどこからでも発生し得ると想定し、厳格なアクセス制御と継続的な監視を重視しています。
さらに、ゼロトラストや最小権限の原則を、強固なパスワードポリシーや多要素認証と組み合わせることが、多層的な防御戦略を構築する上で重要です。 MFAは、従来のパスワードによるログインと、ユーザーがスマートフォンからアクセスするサードパーティ製の認証アプリを組み合わせることで、セキュリティを強化します。 この多段階のプロセスは「スムーズ」とは言い難いという意見もあるかもしれませんが、消費者にとっても労働者にとっても、もはや一般的なものとなっています。 Cisco Duo、Google Authenticator、Authyといった人気の認証アプリは、今や広く知られた存在となっており、その手順も馴染み深く、簡単になっています。
ゼロトラスト、最小権限の原則、および多要素認証（MFA）を統合することで、組織は包括的なセキュリティフレームワークを構築することができます：
- ゼロトラストは継続的な検証を実現します
- 最小権限の原則により、アクセス権限を最小限に抑えることができます
- MFAは、さらなる保護層を追加します
これらのアプローチを組み合わせることで、組織はサイバーリスクを先手を打って低減し、機密データを保護し、規制要件への準拠を確保することができます。
従来のパスワードのあり方を再考しましょう
朗報なのは、進化し続ける脅威に対応しようと、認証のあり方がさらに進化を続けているということです。 ここで登場するのが、従来のパスワードを完全に不要にする「パスワードレス認証」という方法です。 パスワードを入力して認証する代わりに、ユーザーは、デバイスに保存された一意のデジタルキーである「パスキー」や、指紋スキャンや顔認識などの の生体認証方法を利用することができます。 （新しいタブで開きます）。 これらの高度な技術は、セキュリティを強化するだけでなく、ユーザー体験を円滑にし、安全性と利便性を両立させています。
生体認証やパスキーは、本当にパスワードよりも安全なのでしょうか？
生体認証やパスキーは、確かに従来のパスワードよりも安全であると考えられています。
指紋や顔認証などの生体認証（）は、唯一無二で模倣が困難な認証手段を提供します。
デバイスに保存された暗号鍵を利用する「Passkeys」は、フィッシング攻撃やクレデンシャルスタッフィング攻撃に対して強固な保護を提供します。 これらの方法により、複雑なパスワードを覚える必要がなくなり、パスワードの流用リスクを軽減することができます。
しかし、これらの方法には独自の課題があり、 そのため、一部の認証の専門家からは、それらが本当に安全なのかという疑問の声が上がっています。 (新しいタブで開きます)。
生体認証データが盗まれた場合、生体認証のセキュリティが侵害される可能性があります。 さらに、攻撃者はAIで生成されたディープフェイクや合成指紋、音声クローンなどを利用して、生体認証システムを欺くことができます。
パスキーは従来のパスワードに代わる堅牢な手段ではありますが、広く普及し、さまざまなデバイスやプラットフォーム間で互換性が確保される必要があります。 パスキーも、攻撃に対して完全に無防備というわけではありません。 潜在的な脆弱性のひとつとして、フィッシング攻撃を利用してユーザーを騙し、パスキーを明かさせてしまうことが挙げられます。 さらに、攻撃者がパスキーが保存されているデバイスへのアクセス権を取得した場合、そのデバイスを乗っ取り、それを利用して自身を認証することが可能になります。
こうした課題はありますが、そのメリットは大きいと言えます。生体認証やパスキーは、シームレスかつ安全な認証体験を提供し、従来のパスワードのみに依存することを減らすことで、サイバーセキュリティ全体の強化につながります。
[関連記事：未来はパスワードレス] (新しいタブで開きます)
この「パスワードレス認証」への移行は、パスワードの利用習慣における大きな進化を示すものであり、相互接続がますます進む現代社会において、機密情報を保護するための新たなセキュリティ対策を取り入れることの重要性を浮き彫りにしています。
ユーザーへの啓発と能力向上
パスワードのセキュリティを強化する上で最も効果的な方法の一つは、その重要性についてユーザーに定期的に啓発し、意識を高めることです。 継続的な研修やリソースの提供は、パスワードセキュリティの高い水準を維持するための鍵となります。 定期的なワークショップ、ウェビナー、および双方向型のトレーニングセッションを通じて、ユーザーは最新のベストプラクティスや新たな脅威に関する情報を常に把握することができます。
しかし、この教育は、単に「強固なパスワードを設定するように」と伝えるだけにとどまらず、こうした対策がなぜ重要なのか、またそれによって個人データと組織データの両方をどのように保護できるのかについて、深い理解を育むものでなければなりません。 ユーザーが脆弱なパスワードに伴うリスクを理解すれば、従業員は自分のアカウントを保護するために、より積極的に対策を講じるようになるでしょう。 さらに、パスワード管理に関する控えめな通知やリマインダーを導入することで、良い習慣を定着させ、セキュリティ侵害の発生リスクを低減することができます。
ユーザー教育と能力向上への投資を通じて (新しいタブで開きます)、機密情報の保護において全員が役割を果たす、セキュリティ意識の高い環境を構築することができます。 この先を見据えた取り組みは、パスワードのセキュリティを強化するだけでなく、絶えず変化し続けるサイバー脅威の情勢に対して、強靭な防御体制を構築することにもつながります。
「世界パスワードの日」を迎えるにあたり、サイバーセキュリティ対策を強化するのに絶好の機会です。 Taniumは、エンドポイントに対する完全な可視性と制御を提供することで、パスワードのセキュリティとサイバーセキュリティ全般を強化する包括的なソリューションを提供し、お客様の環境内のデバイスが安全かつコンプライアンスに準拠していることを保証します。
Taniumは、パスワードのセキュリティに関連する脆弱性をはじめとする各種脆弱性の特定と是正を支援し、多要素認証をはじめとするセキュリティ対策の導入および設定を、環境全体にわたってサポートします。 これにより、ポリシーを一貫して適用し、侵害された認証情報をリアルタイムで検知することが可能となり、脅威に対する防御体制をさらに強化することができます。
、Tanium Autonomous Endpoint Management （新しいタブで開きます）、、 といった当社の自動化機能の進歩により、パッチ管理やセキュリティワークフローといった重要な分野の業務が効率化され、パスワードの管理や予防的なセキュリティ対策に必要な時間と労力を削減します。 インシデントが発生した際、不審なマシンや感染したマシンを迅速に隔離することで、対応時間を短縮し、機密情報を保護する能力を高めることができます。
セキュリティ侵害が発生してから行動を起こすのはやめましょう。 Taniumのエンドポイント管理およびセキュリティに対する予防的なアプローチが、脆弱なパスワードや漏洩したパスワードに伴うリスクをどのように軽減し、デジタル資産を保護する、より強靭なIT環境を構築するかをご覧ください。 今すぐ、お客様に合わせたデモをご予約ください （新しいタブで開きます）。