月曜の朝9時。席に着く前から、内線が鳴っています。「ログインできないんです」「パスワードの期限が切れたと出ます」。
先週の金曜に気づかなかった通知が、週末をはさんで一気に問い合わせになります。公開されている声と公式の資料から、期限の考え方と、本人が自分で再設定できる仕組みをまとめました。
週明けに問い合わせが集まる理由
パスワードの期限が近づくと、画面に残り日数が出ます。Yahoo!知恵袋には、金曜日に「残り3日」と出た会社のPCを、月曜に変えても大丈夫かと尋ねた質問があります(2014年12月の投稿)。
もし、全くログインできなくなったなら、上司かセキュリティ管理部門に連絡でしょう
出典: Yahoo!知恵袋「パスワードの有効期限についての質問です。会社のパソコンで金曜日時…」
質問した人は、月曜に出社すると表示が「今日が期限」に変わっていて、その日のうちに変更できたそうです。10年以上前の話ですが、期限の日が週末をはさむと、数え方が分かりにくくなる点は今も同じです。
月曜に集中しやすい理由を、整理します。
| 理由 |
何が起きるか |
| 週末をまたぐ |
金曜に残り日数が出ても、気づかず帰る |
| 連休明け |
連休中に期限が来て、出社したらログインできない |
| 在宅から出社に変わる |
社内のネットワークにつないだとき、初めて変更を求められる |
| 複数のサービス |
別々の期限で、まとめて切れる |
| スマホやメールの設定 |
パスワードを変えると、古いパスワードで再試行を続けて、ロックされる |
パスワードの期限は、もう要らないのでは
問い合わせを減らす一番の方法は、期限そのものを見直すことです。
総務省の「国民のためのサイバーセキュリティサイト」は、次のように説明しています。
定期的に変更する必要はありません。むしろ定期的な変更をすることで、パスワードの作り方がパターン化し簡単なものになることや、使い回しをするようになることの方が問題となります。
出典: 総務省「安全なパスワードの設定・管理」
同じページは、NISTのSP800-63B(2017年)と、内閣サイバーセキュリティセンター(当時)のハンドブックに触れています。
海外の基準も、同じ方向です。米国のNISTが2025年7月に出したSP 800-63B-4の3.1.1.2には、次の趣旨が書かれています。
| 項目 |
内容 |
| 定期変更 |
認証を確かめる側は、利用者に定期的な変更を求めてはならない |
| 例外 |
認証の手段が漏れた証拠があるときは、変更を強制しなければならない |
| 長さ |
パスワードだけの認証は15文字以上、多要素認証と組み合わせる場合は8文字以上 |
Microsoftも、クラウド専用のアカウントについて、パスワードの有効期限のポリシーを推奨しないとしています(Microsoft 365 管理者向け、2026年4月8日更新)。Microsoft Entra IDの既定は、有効期限なしです。2021年より前に作られたテナントは、既定で90日の期限が設定されている場合がある、とも書かれています。
それでも期限が残る会社がある
では、なぜ今も期限がある会社が多いのでしょうか。レバテックLABの記事(2026年6月25日)は、東京通信大学の前川徹教授へのインタビューをもとに、定期変更が残る会社で起きていることを書いています。
- 利用者が「Password01」から「Password02」のように、予想しやすい変更をする
- 経営層の古い知識や、現状維持を好む組織の癖が残る
- 同じ記事は、NIST(2017年)、総務省、国家サイバー統括室が「定期変更は不要」と明言しているにもかかわらず、2019年の調査では54.5%の企業が続けていたとしています
Qiitaにも、定期変更を強制されたときの反論の材料をまとめた投稿があります(2025年1月)。NISTの文書、NISCのハンドブック、政府機関向けの統一基準などを根拠に挙げています。なお、カード業界の基準(PCI DSS 4.0)は、パスワードだけで認証する場合は90日ごとの変更か、別の自動的な制御を求めているとも書かれています。取引先や業界の基準で期限が決まっている会社もあります。
パスワードの決め方そのものは、パスワードの定期変更は不要?付箋はダメ?いまどきの社内パスワードルールにまとめています。
期限を残す場合に、月曜に集めない工夫
期限を残す会社は、期限の日を「月曜の朝」に当てない工夫ができます。
| 工夫 |
中身 |
| 通知を前の週に出す |
木曜に、期限が近い人へメールを送る(金曜の夕方は避ける) |
| 通知を複数回にする |
14日前、7日前、3日前、前日の4回 |
| 通知に手順を入れる |
「ここを押すと変更できます」というリンクを書く |
| 社外からも変更できるようにする |
VPNをつながなくても変更できる画面を用意する |
| 連休の前に確認する |
連休中に期限が来る人の一覧を出し、連休前に知らせる |
| 一斉に切れないようにする |
全員が同じ日に変更した会社は、1年後も同じ日に切れる。部署ごとに日をずらす |
最後の工夫は、特に効果があります。導入の時期に全員のパスワードを変えると、期限も全員そろって来ます。ずらしておくと、毎日少しずつの問い合わせで済みます。
本人が自分で再設定できる仕組みを入れる
期限を残しても、なくしても、「パスワードを忘れた」「ロックされた」はなくなりません。本人がその場で再設定できる仕組みがあれば、窓口の電話を減らせます。
MicrosoftのセルフサービスのパスワードリセットSSPR(Microsoft Entra IDの機能)は、利用者が自分でパスワードを変更またはリセットできる仕組みです。再設定のときも、会社のパスワードのルールが確認されます。ルールを満たさなければ、もう一度入力を求められます。
入れるときの順番
- 利用者に、本人確認の方法(電話番号、認証アプリなど)を先に登録してもらう
- 再設定の画面の場所を、ログインの画面に分かりやすく案内する
- 再設定の手順を、スクリーンショット付きで1ページにする
- 社外のスマホからでも使えることを確かめる
- 窓口でできないこと(本人確認なしのリセット)を決める
窓口に来た人へのひとこと
どうしても窓口に来る人はいます。そのときの案内を決めておくと、1件あたりの時間が短くなります。
| 場面 |
案内の例 |
| ログインできない |
「画面の下の『パスワードを忘れた場合』を押すと、ご自分で再設定できます」 |
| 登録をしていない |
「本人確認のため、電話番号か認証アプリを登録していただきます。今回は私が確認して再設定します」 |
| 再設定後も入れない |
「スマホやメールの古い設定が試し続けている可能性があります。いったん設定から削除して入れ直してください」 |
このテンプレは、社内のパスワードの規程のひな形です。期限、長さ、再設定の方法を、1枚で決められます。
期限をなくすときに、セットで入れるもの
期限を外すだけでは、安全は上がりません。次の3つをセットにします。
| 入れるもの |
理由 |
| 多要素認証 |
パスワードが知られても、別の確認でログインを止められる |
| 禁止パスワードの設定 |
「password」「123456」のような推測されやすい語を使えなくする |
| 漏えいの疑いがあるときの変更 |
「流出の通知があった」「怪しいメールで入力した」ときは変更を求める |
Microsoftの推奨にも、14文字以上の長さを保つ、推測しやすいパスワードを使わない、多要素認証の登録を求める、リスクベースの対策を有効にする、が並んでいます。
今日からできること
社員の方へ
情シスの方へ
月曜の朝の電話は、情シスの「あるある」のひとつです。ただ、毎週鳴る電話は、仕組みで減らせます。期限を見直し、再設定を本人に任せて、朝のコーヒーを落ち着いて飲める月曜にしておきましょう。
