minerva社内のパソコンやメール、仕事で使うWebサービスには、たいていパスワードがあります。どんなパスワードにすればよいか、どう覚えて、どう保管すればよいか。以前は当たり前だった「定期的に変える」は、今どう考えられているのか。総務省とIPAの案内をもとに、会社として決めておきたいことを整理します。
01推測されにくいパスワードとは
総務省の「国民のためのサイバーセキュリティサイト」では、安全なパスワードを、他人に推測されにくく、パスワードを割り出す道具でも見つけにくいもの、と説明しています。目安は少なくとも10文字以上で、ばらばらな英数字の並びが望ましく、数字や記号、大文字と小文字を混ぜるとよいとされています。
反対に、避けたいものとして挙げられているのは、IDと同じもの、名前・電話番号・生年月日・住所・車のナンバーなど本人に関わる情報、辞書にある単語1つだけ（password など）、同じ文字の繰り返しやキーボードの並び（qwerty など）、短すぎるものです。社員番号や郵便番号、一度でも人に教えたことのあるものも、推測されやすいとされています。
02覚えられないときの工夫
長くてばらばらな文字列は、人の頭ではなかなか覚えられません。総務省のサイトでは、意味のつながらない単語をいくつか並べ、その間に数字を挟む方法が、推測されにくく覚えやすいやり方として紹介されています。単語は英語でも、ローマ字の日本語でもかまいません。
もう一つの方法は、覚えることをやめて道具に任せることです。スマートフォンやWebブラウザには、ばらばらな文字列を作って保存しておく機能があります。たくさんのパスワードをまとめて保管するパスワード管理ツールも勧められています。ただし、その道具を開くための大元のパスワードや、端末のロック（指紋や顔での認証など）でしっかり守ることが前提です。会社で使う場合は、どの道具を使ってよいかを会社として決め、担当者に確かめてから使う形にしておくとよいでしょう。
03使い回さない。定期的に変える必要はない
とくに気をつけたいのは、同じパスワードをいくつものサービスで使うことです。あるサービスから流出したIDとパスワードを使って、ほかのサービスにログインを試す手口が知られています。私用のサービスと仕事のサービスで同じものを使っていると、会社とは関係のないところから入り込まれるおそれがあります。
一方で、パスワードを決まった時期ごとに変える必要はない、と総務省は案内しています。定期的に変えさせると、末尾の数字だけを変えるなど作り方が単純になったり、使い回しが増えたりして、かえって問題になるためです。変えるべきなのは、流出した、不正にログインされたといった事実があったときで、その場合は速やかに変えます。社内のルールに「3か月ごとに変更」と書かれたままの会社は、一度見直してみてもよいかもしれません。
04パスワードの保管と、もう一つの鍵
保管の仕方についても、総務省のサイトに目安があります。同僚にも教えない、メールでやりとりしない、画面のまわりに貼らない、やむを得ずメモに書くときは鍵のかかる机や金庫にしまう、の4つです。新しく入った人に初めのパスワードを伝えるときや、パスワードを忘れた人に再発行するときの手順も、あわせて決めておくと安心です。総務省は、電話で頼まれたときに本人かどうかを確かめずに教えないよう注意を呼びかけています。
パスワードだけに頼らない方法もあります。IPA（情報処理推進機構）は、パスワードに加えて、スマートフォンに届く確認の番号や指紋などで本人かどうかを確かめる「多要素認証」を勧めています。IDとパスワードが盗まれても、もう一つの確認がなければログインできないため、不正なログインを防ぐ効果があるとされています。メールや会計など、大事なサービスから設定できるか確かめてみてください。
05会社として決めておきたいこと
パスワードの扱いは、社員一人ひとりに任せきりにすると、人によってばらつきが出ます。かといって、細かすぎるルールは守られにくくなります。まずは、パスワードの長さと避けるものの目安、使い回しをしないこと、保管の仕方、使ってよい管理ツール、多要素認証を使うサービス、の5つを短い文書にまとめ、社内で共有するところから始めてみてください。
管理者の権限を持つアカウントは狙われやすいため、とくに丁寧に扱います。また、使われていないアカウントがないか、ときどき見直すことも総務省は勧めています。すでに社内にルールがある場合は、それが今の考え方に合っているかを確かめる機会にしてみてください。（記事の内容は2026年10月時点の公開情報にもとづいています）
記事一覧へ戻る
