パスワードの作り方と管理。使いまわさない・定期変更は不要?

情報漏えいのニュースが続くと、「パスワードは、こまめに変えたほうがいいの?」「どんなパスワードにすればいいの?」と迷いますよね。総務省の「国民のためのサイバーセキュリティサイト」の考え方を、やさしく整理します。

安全なパスワードとは

他人に推測されにくく、ツールなどで割り出しにくいものです。理想は、最低でも10文字以上の、ある程度長いランダムな英数字の並びで、数字や記号、アルファベット(大文字と小文字)が混ざっていることです。

覚えなければならないときは、無関係な(文章にならない)複数の英単語をつなげて、間に数字列を挟むと、推測されにくく、覚えやすくなります。スマホやWebブラウザには、パスワード生成の機能があるものもあります。うまく使いましょう。

危険なパスワードの例

種類	例
IDと同じ文字列	IDとまったく同じもの
名前・電話番号・生年月日・住所	yamada、taro、09011112222、19960628、tokyo
車のナンバーなど	3470、1297
辞書にある英単語ひとつだけ	password、baseball、soccer、monkey、dragon
同じ文字の繰り返し・わかりやすい並び	aaaa、0000、abcd、123456、abc123、asdf、qwerty
短すぎる文字列	2〜3文字など

郵便番号、社員コード、他人に一度でも教えたことがあるパスワードなども、避けましょう。

保管のしかた

パスワードは、第三者に教えず、秘密にする。
電子メールで、やりとりしない。
メモを、ディスプレイなど人の目に触れる場所に貼らない。やむを得ずメモするときは、鍵のかかる机や金庫に保管する。
覚えきれないときは、パスワード管理ツールを使う。スマホやWebブラウザの標準の機能や、専用のアプリがあります。マスターパスワード(覚えられる十分に安全なもの)や、端末のロック(生体認証など)で守ります。

使いまわさない。定期的な変更は不要

パスワードは、できる限り、複数のサービスで使いまわさないようにします。サービスから流出したアカウント情報を使って、ほかのサービスへの不正ログインを試す手口が知られているからです。重要なサービスで、ほかのサービスと同じパスワードを使っていると、どこかで漏れたときに、重要な情報にアクセスされるおそれがあります。

一方で、サービスから流出した事実がなければ、パスワードを変える必要はありません。定期的に変えると、パスワードの作り方がパターン化して簡単になったり、使いまわしが増えたりするほうが、問題になります。定期的に変えるより、機器やサービスごとに、使いまわしのない固有のパスワードにすることが大事です。

パスワードを定期的に変える必要はなく、流出したときに、速やかに変えるという考え方は、米国の国立標準技術研究所(NIST)のガイドラインや、日本の内閣サイバーセキュリティセンターも示している、と紹介されています。

流出のニュースを見たら

そのサービスのパスワードを、変える。
同じパスワードを使っているほかのサービスも、変える。

さらに安全にする「多要素認証」

ユーザー名とパスワードに加えて、追加の要素を確認する方法です。要素には3種類あり、2つ以上を組み合わせます。

要素	例
知っているもの(知識)	パスワードなど
持っているもの(所持)	スマホなど
本人自身に関するもの(生体)	指紋、静脈、顔、虹彩など

不正アクセスやなりすましから、アカウントを守るのに役立ちます。くわしくは、二段階認証・多要素認証とは?仕組みと、安全性が高まる理由をご覧ください。

まとめ

パスワードは、10文字以上の、推測されにくいものにして、サービスごとに変えます。覚えきれないときは、管理ツールを使います。定期的な変更は不要で、流出のニュースがあったら、すぐに変えます。できるサービスでは、多要素認証をオンにしましょう。

出典

総務省「国民のためのサイバーセキュリティサイト」推測できる簡単なパスワードを利用しないようにしよう(2026年10月31日に確認)